trebamo li postaviti ista kibernetička pitanja našim vlastitim dobavljačima

Da, jer članak 21 stavak 2 to izričito propisuje

Da, u većini slučajeva to mora biti tako. Članak 21 stavak 2 NIS2 direktive navodi deset mjera koje subjekt mora poduzeti, a točka (d) te odredbe specifično se odnosi na zaštitu lanaca opskrbe — uključujući odnos sa i između svakog dobavljača ili pružatelja usluga. Ako vas klijent dakle pita o sigurnosti lanca opskrbe, tada nije dovoljno pokazati što vi sami radite. Morate moći pokazati i što zahtijevate od svojih vlastitih poduzća u lancu opskrbe i kako to provjeravate.

U praksi to obično znači slojevit pristup, a ne kopiju cijele liste pitanja vaše klijente. Sa svoje strane obično tražite: ima li poduzće u lancu opskrbe osnovne mjere uređene (pristup, sigurnosne kopije, rukovanje incidentima), postoji li ugovorna odredba o dužnosti prijavljivanja u slučaju incidenta, i — kod kritičnih dobavljača — postoji li dokaz kao što je ISO 27001 certifikat ili vlastita izjava. Što veću ulogu poduzće u lancu opskrbe ima u vašoj usluzi klijentu, to specifičniji zahtjevi mogu biti proslijeđeni. sigurnosni zahtjevi za vlastite dobavljače — vi ste tu u sredini lanca, a ne na početku.

Gdje je to navedeno u Direktivi i normi

Sama obaveza navedena je u članku 21 stavak 2 točka (d) NIS2 direktive, koja sigurnost lanaca opskrbe spominje kao jednu od deset obaveznih mjera. Za nizozemsku praksu to se pretvara u Zakon o kibernetskoj sigurnosti, transpoziciu NIS2 koja stupa na snagu 15. kolovoza 2026. — od tog trenutka obaveza formalno vrijedi prema nizozemskom pravu za subjekte koji spadaju pod zakon. Tko može dokazati da je to sustavno uređeno, često se poziva na Prilog A ISO/IEC 27001 standarda, gdje su odnosi s dobavljačima i sigurnost u lancu opskrbe navedeni kao zasebne mjere nadzora. Je li vaša poduzeća sama pod NIS2 direktivom kao subjekt, to je pak odvojena pitanja koja je neovisna o tome što vam klijent ugovorno zahtijeva; ta razlika je obrađena u pitanje je li poduzeće obuhvaćeno direktivom.