klient küsib, kuidas me oleme kaitstud meie tarnijate kaudu tulevate rünnete eest

See küsimus käsitleb artikli 21 lõike 2 punkti d, mitte teie kogu turvalisuspoliitikat

See küsimus käsitleb konkreetselt tarneahela turvalisust: mida te teete, et vältida, et teie tarnija nõrkus võimaldaks teile rünnakut. See on üks kümmetest NIS2 artikli 21 lõike 2 meetmetest, kõrval näiteks riskianalüüsiga, juhtumite käsitlemisega ja krüptograafiaga. Küsija tahab seega teada mitte seda, kuidas teie omad süsteemid on kaitstud — see on teine küsimus nimekirjast — vaid seda, kuidas teil on kontroll kolmandalt osapoolelt tulevate riskide üle.

Konkreetne tõend selle kohta koosneb tavaliselt kolmest osast: tarnija hindamine enne lepingu sõlmimist, turvalisusnõuded, mis on lepinguliselt kinnitatud (mõelge andmetöötleja lepingule või eraldi turvalisuse lisale), ja ülevaade sellest, milliste tarnijate juurdepääs on milliste süsteemide või andmetega. Kui teil seda ei ole, siis on "ei" ausaks vastuseks — tarnijate nimekiri ilma aluseks olevate nõueteta ei ole kontrolli tõend. Kui soovite sügavamalt vaadata, mida klient selle küsimusega täpselt mõtleb, siis aitab, kui näete, kas ettevõte seab turvalisusnõuded oma tarnijaile on eraldi välja töötatud ketidossees, eraldi küsimusest, kas te ise kuulute direktiivi alla.

Kui te olete ISO 27001 sertifitseeritud, on vastus sageli juba valmis: Lisa A sisaldab konkreetset haldusmeedet tarnija suhete jaoks (A.5.19 kuni A.5.22 2022. aasta versioonis), ja audiitor on seda juba kontrollinud. Sertifikaadita pole vastus automaatselt "ei" — see käib selle kohta, mida te tegelikult teete, mitte templi kohta. Kahtluse korral kontrollige, kas ettevõte on ISO 27001-sertifitseeritud on juba dossiesse registreeritud, see säästab sel küsimusel uurimistööd.

Kust see pärineb: NIS2 artikli 21 lõike 2 punkt d

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punkt d nimetab selgesõnaliselt "tarneahela turvalisust" riskijuhtimise kohustusliku osana, sealhulgas suhet üksikute tarnijaiga. Küberturvalisuse seadus võtab selle kohustuse üle kohe, kui see seadus jõustub; seni võib see küsimus siiski ilmneda, sest klient ise kuulub juba direktiivi alla ja edastab seda ahelas, isegi kui te ise ei ole NIS2-subjekt.