πρέπει να θέσουμε τις ίδιες κυβερνοερωτήσεις στους δικούς μας προμηθευτές

Ναι, διότι το άρθρο 21 παράγραφος 2 το υποχρεώνει ρητά

Ναι, στις περισσότερες περιπτώσεις πρέπει. Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 απαριθμεί δέκα μέτρα που πρέπει να λάβει μια οντότητα, και το σημείο (d) αυτού αφορά ειδικά την ασφάλεια της αλυσίδας εφοδιασμού — συμπεριλαμβανομένης της σχέσης με και μεταξύ κάθε προμηθευτή ή παροχέα υπηρεσιών. Εάν λοιπόν ο πελάτης σας ρωτά για ασφάλεια αλυσίδας, δεν είναι αρκετό να δείξετε τι κάνετε εσείς. Πρέπει επίσης να μπορείτε να δείξετε τι απαιτείτε από τους δικούς σας υπεργολάβους και πώς το ελέγχετε.

Στην πράξη, αυτό συνήθως σημαίνει μια στρωματοποιημένη προσέγγιση, όχι ένα αντίγραφο ολόκληρης της λίστας ερωτήσεων του πελάτη σας. Ζητήστε συνήθως: έχει ο υπεργολάβος βασικά μέτρα διευθετημένα (πρόσβαση, αντίγραφα ασφαλείας, διαχείριση συμβάντων), υπάρχει συμβατική διάταξη σχετικά με υποχρέωση γνωστοποίησης σε περίπτωση συμβάντος, και — για κρίσιμους προμηθευτές — υπάρχουν αποδεικτικά στοιχεία όπως ένα πιστοποιητικό ISO 27001 ή δική του δήλωση. Όσο μεγαλύτερη είναι η επίδραση του υπεργολάβου στην παροχή υπηρεσιών σας προς τον πελάτη, τόσο πιο συγκεκριμένες οι απαιτήσεις που μπορείτε να μεταφέρετε. Αυτό είναι το ίδιο ερώτημα που ο πελάτης σας σας θέτει τώρα για απαιτήσεις ασφάλειας για δικούς προμηθευτές — βρίσκεστε εδώ στη μέση της αλυσίδας, όχι στην αρχή.

Όπου αυτό υπάρχει στην κατευθυντήρια γραμμή και το πρότυπο

Η ίδια η υποχρέωση αναφέρεται στο άρθρο 21 παράγραφος 2 στοιχείο (d) της Οδηγίας NIS2, που αναφέρει την ασφάλεια της αλυσίδας ως ένα από τα δέκα υποχρεωτικά μέτρα. Για την ολλανδική πρακτική, αυτό μεταφράζεται στο Κυβερνοασφάλειας Νόμο, την ενσωμάτωση της NIS2 που ισχύει από τις 15 Αυγούστου 2026 — από εκείνη τη στιγμή, η υποχρέωση ισχύει επίσης επίσημα δυνάμει του ολλανδικού δικαίου για οντότητες που εμπίπτουν στον νόμο. Όποιος μπορεί να αποδείξει ότι αυτό είναι συστηματικά οργανωμένο, συχνά αναφέρεται στο Παράρτημα Α του ISO/IEC 27001, όπου οι σχέσεις με προμηθευτές και η ασφάλεια στην αλυσίδα εφοδιασμού αναφέρονται ως ξεχωριστά μέτρα ελέγχου. Το εάν η επιχείρησή σας ίδια εμπίπτει στην Οδηγία NIS2 ως οντότητα, είναι εξάλλου ένα ξεχωριστό ερώτημα που δεν εξαρτάται από αυτό που ο πελάτης σας σας απαιτεί συμβατικά· αυτή η διαφορά αναλύεται στο το εάν η επιχείρηση εμπίπτει στην οδηγία.