kas me peame esitama samad küberküsimused oma tarnijatele

Jah, sest artikkel 21 lõige 2 kohustab seda otsesõnaliselt

Jah, enamikul juhtudel peab. NIS2-direktiivi artikkel 21 lõige 2 nimetab kümmet meetmete, mida üksus peab rakendama, ja selle punkt (d) käsitleb spetsiaalselt tarneahela turvamist — sealhulgas suhet iga tarnija või teenusepakkujaga. Kui teie klient küsib tarneahela turvamise kohta, siis ei piisa sellest, et näidata, mida te ise teete. Peate suutma näidata ka seda, mida te oma alamhankijatelt nõuate ja kuidas te seda kontrollite.

Praktikas tähendab see tavaliselt mitmetasandilist lähenemist, mitte teie kliendi kogu küsimustiku koopiat. Tavaliselt küsite oma poolt: kas alamhankijal on põhimeetmed korras (juurdepääs, varukoopiad, juhtumite käsitlemise protsessid), kas on lepinguline säte juhtumist teatamise kohta, ja — kriitiliste tarnijate puhul — kas on olemas tõendid nagu ISO 27001 sertifikaat või enda deklaratsioon. Mida olulisem on alamhankija teie teenuse pakkumises kliendile, seda konkreetsemad nõudmised peate tegema. See on sama küsimus, mida teie klient nüüd teist esitab turvalisuse nõudeid enda tarnijatele — te asute siin ahela keskel, mitte alguses.

Kus see juhendis ja normi sees asub

Kohustus ise asub NIS2-direktiivi artikli 21 lõike 2 punktis (d), mis nimetab tarneahela turvamist ühe kümnest kohustuslikust meetmest. Hollandlaste praktika tähendab seda, et see tõlgitakse Küberneetilise turvamise seadusesse, NIS2 rakendamisse, mis jõustub 15. augustil 2026 — alates sellest kuupäevast kohaldub kohustus ka ametlikult Hollandi õigusele üksuste suhtes, kes kuuluvad seaduse alla. Kes saab tõendada, et see on süsteemselt korraldatud, viitavad sageli ISO/IEC 27001 lisale A, kus tarnijate suhted ja tarneahela turvamine on eraldi juhtimismeetmetena loetletud. Kas teie ettevõte ise kuulub NIS2-direktiivi alla üksusena, on eraldi küsimus, mis ei seostu sellega, mida teie klient teilt lepinguliselt nõuab; see erinevus käsitletakse küsimuse juures, kas ettevõte kuulub direktiivi alla.