Ο πελάτης ζητά πώς διαχειριζόμαστε την πρόσβαση των εξωτερικών προμηθευτών

Η πρόσβαση για εξωτερικούς προμηθευτές είναι μέρος του άρθρου 21 παράγραφος 2

Αυτή η ερώτηση αφορά τον τρόπο με τον οποίο διαχειρίζεστε την πρόσβαση τρίτων στα συστήματά σας και τα δεδομένα, και αυτό επηρεάζει δύο από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της NIS2 ταυτόχρονα: σημείο (i), η πολιτική ελέγχου πρόσβασης, και σημείο (d), η ασφάλεια της αλυσίδας εφοδιασμού προς τους προμηθευτές. Ο πελάτης λοιπόν δεν θέλει μόνο να ξέρει εάν οι εξωτερικές μερίδες έχουν πρόσβαση, αλλά και πώς αυτή η πρόσβαση είναι περιορισμένη, ποιος της χορηγεί και την ανακαλεί, και εάν αυτή η διαδικασία είναι τεκμηριωμένη. Μια απάντηση όπως «οι προμηθευτές λαμβάνουν πρόσβαση μόνο μετά από έγκριση» είναι πολύ αόριστη χωρίς να αναφέρεται πώς διαδραματίζεται αυτή η έγκριση και πόσο συχνά αναθεωρείται.

Αυτό που χρειάζεστε συγκεκριμένα: μια περιγραφή της διαδικασίας εξουσιοδότησης για εξωτερικούς λογαριασμούς, κατά προτίμηση με αναφορά της αρχής της ελάχιστης προνομίας (η πρόσβαση περιορίζεται στο απαραίτητο) και του χρονικού διαστήματος κατά το οποίο η πρόσβαση αναθεωρείται ή ανακαλείται κατά το τέλος της εργασίας. Εάν λείπει αυτή η διαδικασία, τότε το «όχι» είναι η ειλικρινής απάντηση εδώ — ένα υποδηλωτικό «ναι» χωρίς υποκείμενο έγγραφο καθιστά μεγαλύτερη ζημιά κατά ένα δείγμα του πελάτη από ένα όχι με εξήγηση ότι η πολιτική είναι υπό ανάπτυξη. Αυτό το θέμα επικαλύπτεται με τη πολιτική πρόσβασης και τη διαχείριση επιχειρηματικών πόρωνόπου η ευρύτερη δομή εξουσιοδότησης αναφέρεται, και με την ερώτηση εάν η επιχείρηση θέτει απαιτήσεις στους δικούς της προμηθευτέςγιατί η διαχείριση εξωτερικής πρόσβασης είναι στην πράξη συχνά μέρος της ίδιας πολιτικής της αλυσίδας εφοδιασμού.

Όπου αυτό βρίσκεται: άρθρο 21 παράγραφος 2, σημεία (d) και (i)

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει υπό (i) «πολιτική ελέγχου πρόσβασης» ως ένα από τα δέκα υποχρεωτικά μέτρα, και υπό (d) την ασφάλεια της αλυσίδας εφοδιασμού συμπεριλαμβανομένης της σχέσης με προμηθευτές — η εξωτερική πρόσβαση εμπίπτει και στα δύο. Στο Annex A του ISO/IEC 27001 οι σχετικές ελεγκτικές ενέργειες για τον έλεγχο πρόσβασης και τις σχέσεις με προμηθευτές αναπτύσσονται σε επίπεδο ελέγχου, το οποίο εξηγεί γιατί ένας πελάτης συχνά ζητά ένα συγκεκριμένο αριθμό ελέγχου Annex A αντί για το ίδιο το κείμενο της οδηγίας. Για τις επιχειρήσεις που εμπίπτουν στην ολλανδική ενσωμάτωση, αυτή η υποχρέωση επανεμφανίζεται στο Cybersecurity Act, το οποίο τίθεται σε ισχύ στις 15 Αυγούστου 2026.