trebamo dokazati da provjeravamo naše dobavljače na kibernetičku sigurnost, kako to učinim

Sigurnost lanaca opskrbe: što zahtijeva članak 21 stavak 2 podstavak d

Članak 21 stavak 2 podstavak d Direktive NIS2 navodi sigurnost dobavnog lanca kao jednu od deset obaveznih mjera, uključujući aspekte sigurnosti odnosa između subjekta i njegovih izravnih dobavljača. To konkretno znači: trebali biste moći dokazati da pri sklapanju i održavanju odnosa s dobavljačima procjenjujete predstavlja li taj dobavljač rizik za vašu vlastitu djelatnost. Napisana politika dobavljača s najmanje tri elementa obično pokriva ovo: kriterijum izbora unaprijed (koje zahtjeve postavljate novim dobavljačima), periodička provjera tijekom trajanja, i eskalacijski put ako dobavljač prijavi incident. Ovo je isto pitanje koje vam vaš kupac postavlja o rizicima u lancu — u biti ovdje popunjavate svoj vlastiti odgovor, ali jedan sloj dublje u lancu.

Što se računa kao dokaz ovisi o tome koliko je zreo vaš proces. Ugovorom predviđena klauzula u kojoj se vaš dobavljač obvezuje na određene zahtjeve sigurnosti početna je točka, ali nije provjera. Jače je pitanja koju sami šaljete dobavljačima, povezana s jednostavnom oznakom rizika (nisko/srednje/visoko) na osnovu onoga što taj dobavljač vidi ili dira vaših sustava. Ako to nemate, tada je najiskrenniji odgovor da proces trebate još uspostaviti — a ne da popunite "da" na ugovornu klauzulu koja nije relevantna. Napomena: ovo je drugo pitanje nego što vaše vlastito poduzeće pada pod direktivu; čak i ako sami ne potpadaš izravno pod NIS2, kupac to može od vas zahtijevati putem obveze lanca.

Odakle ovo dolazi: Direktiva i hrvatski zakon

Obveza je sadržana u članku 21 stavak 2 podstavak d Direktive (EU) 2022/2555; Zakon o kibernetskoj sigurnosti uključuje ovo u hrvatsko pravo i očekuje se da će biti na snazi od 15. kolovoza 2026. ISO/IEC 27001 Dodatak A sadrži sličnu kontrolnu mjeru o odnosima s dobavljačima, što objašnjava zašto kupci s ISO pitanjima često postavljaju isto pitanje kao kupci koji se pozivaju na NIS2.