küsimustik küsib, kuidas me kaardistame riske oma tarneahelas

Tarneahela riskid puudutavad kahte erinevat küsimust

Küsimus tarneahela riskide kohta küsib praktikas kahte asja korraga ja küsimustik ei tee seda erinevust sageli selgesõnaliselt. Esiteks: kas ettevõttel endalgi on ülevaade riskidest, mis tulevad tema enda tarnijate ja teenusepakkujate kaudu – mõelge IT-tarnijale, kellel on juurdepääs võrgule, või kolmanda osapoole tarkvara komponentile. Teiseks: seab ettevõte nõudeid nendele tarnijatele ja kontrollib neid. See teine punkt kattub küsimustega, kas ettevõte seab oma tarnijatele turvameetmete nõudeid – sageli on see täpselt sama küsimus, ainult loendis muude sõnadega esitatud. Kes on ISO/IEC 27001 sertifitseeritud, saab tavaliselt viidata Lisas A olevatele kontrollimisvahendile, mis puudutavad tarnija suhteid – need on spetsiaalselt selle osa jaoks ja auditor on neid juba hinnanud. Sertifikaadita pole vastus automaatselt "ei": oluline on, kas on olemas riskianalüüs, milles tarnijad on arvestatud, isegi kui see pole ametlik. See joondub küsimusega

parema riskianalüüsi poliitika kohta kus tarneahela riskid on tavaliselt üks lõik, mitte eraldi dokument. Kui midagi pole dokumenteeritud, siis on "ei" aus vastus – „jah. esitamine ilma aluseks oleva riskianalüüsita, lepingu klauslita või tarnija ülevaateta ei kehtus siis, kui klient nõuab tõestust.

Kust see pärit on: NIS2 direktiivi artikkel 21 lõige 2

Tarneahelakaitse on nimetatud eraldi osana NIS2 direktiivi artikli 21 lõike 2 kümmest abinõust. Kellele direktiiv selle endi kohaldub – või varsti Küberturvalisuse seadus, Hollandi transponeering, mis jõustub 15. augustil 2026 – pole see vabatahtlik osa vaid üks kohustuslikest abinõudest. Kellele see ei kohaldu, kuid küsimuse saab kliendilt, on see tavaliselt sama nõude edasi kuulutamine: klient peab ise demonstreerima, et ta juhib oma tarneahelat, ja küsib seda seepärast.