küsimustik küsib, kuidas me hallame oma tarnijate riske

Ahela turvalisus on üks kümme kohustuslikust meetmest

See pole lihtsalt lisaküsimus: tarneahela turvalisus on eraldi osana nimetatud artikli 21 lõikes 2 NIS2, kõrval teiste üheksa meetmega nagu riskianalüüs, juhtumitest teatamine ja juurdepääsu kontroll. Klient, kes seda küsib, kontrollib, kas teie ettevõte vaatab ka tagasi: mitte ainult teie oma turvalisus, vaid ka nende osapoolte turvalisus, kellest te sõltute. See vastab turvalisuse nõuetele, mille ettevõte ise oma tarnijatele seab — sama põhimõte, üks samm edasi ahelas.

Praktikas küsitakse tavaliselt kolme asja kohta: kas teil on poliitika või protsess tarnijate hindamiseks küberriskide alusel, seate te lepingulisi nõudeid (mõelge teatamiskohustusele juhtumite puhul, miinimumtaseme turvalisusele), ja monitoorite te seda pärast lepingu allkirjastamist endiselt. Kui teil sellist protsessi pole, on "ei" lühike selgitusega täiesti korrektne vastus — parem kui "jah", mida te ei saa toetada. Kui teil on tarnija hindamine, kuid eraldi küberosast puudub, nimetage see täpselt nii: tõendavad dokumendid peavad vastama sellele, mida te sisestate. ISO 27001 -sertifikaadiga Annex A-ga kaetakse see teema tavaliselt, seega kui ettevõte on ISO 27001 -sertifitseeritud , on see sageli kiireim tõendava dokumendi esitamiseks.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Artikli 21 lõike 2 NIS2 kümme meetmet nimetavad ahela turvalisust eraldi punktina, lahus üldisest riskianalüüsist. ISO/IEC 27001 täiendab seda Annex A juhtimismeetmetega, mis on konkreetselt suunatud tarnija suhetele ja nõuetele, mida teie neile seate. Küberturvalisuse seadus paneb selle kohustuse kehtestama Hollandi õigusesse ja jõustub 15. augustil 2026. Praegu on Euroopa Liidu direktiiv ise allikaks, ja klient küsib praktikas sageli juba selle ette ette.