küsimustik küsib, kuidas me jälgime meie enda tarnijate küberturvalisust

Tarneahela turvalisus: mida klient täpselt teada soovib

See küsimus käsitleb NIS2 direktiivi artikli 21 lõike 2 punkti d: tarneahela turvalisust, sealhulgas suhet iga üksikute tarnijaga. Klient ei taha seega teada, kas teie ise olete turvaline, vaid kas te seda nõuate ja kontrollite ka oma tarnijatelt. Konkreetselt otsib küsimustik tavaliselt kolme asja: kas olete tarneahelate turvanõudeid lisanud tarnijaiga lepingutesse, kas hindasite tarnijaid enne nende kaasamist, ja kas teete neid perioodiliselt uuesti hinnata. Vastus nagu "me usaldame oma tarnijaid" ei ole selle välja jaoks tõestus — taga peab olema protsess.

Kui teil see protsess on, siis tõendusdokument on tavaliselt tarnijapoliitika või klausel standardlepingus, võimaluse korral täiendatud teostatud hindamiste ülevaatega. Kui teil seda ei ole, siis "ei" on siin aus vastus — eeldusele tuginev täitmine ei anna "jah"-i, sest dossieeril puudub selleks allikas. See teema on muide seotud sama küsimustiku teise väljaga: kas ettevõte seab tarneahelate turvalisuse nõudeid oma tarnijatele on sageli eraldi esitatud küsimus, kuid tõendid kattuvad sellega, mida siin küsitakse. Samuti on oluline, kas teie enda riskianalüüs võtab tarnijad eraldi riskikategooriana arvesse; see on kooskõlas riskianalüüsi ja infoturbe poliitikaga mida küsimustikus muudes kohtades uuritakse.

Alus: artikkel 21 lõige 2 ja lisa A

Kohustus tuleneb direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktist d, mis nimetab tarneahela turvalisust ühe kümme kohustuslikust meetmest. ISO/IEC 27001 käsitleb seda lisas A juhisena tarneahela suhete kontrolliviiside kohta: seal tehakse vahet nõuduste vahel suhte alguses ja perioodilise seire vahel. Hollandil registreeritud ettevõtete jaoks ilmneb sama kohustus ka küberturvalisuse seaduses, mis jõustub 15. augustil 2026 kui NIS2 transpooneering. Kas see kohustus teie ettevõttele kehtib, sõltub sellest, kas te jäate direktiivi alla; see on erinev küsimus sellest, mida siin küsitakse, ja on eraldi selgitatud väljal kas ettevõte ise kuulub NIS2 alla.