popis pitanja pita kako upravljamo rizicima naših dobavljača

Sigurnost lanca vrijednosti jedna je od deset obaveznih mjera

Ovo nije samo dodatno pitanje: zaštita lanca opskrbe navedena je kao zaseban dio u članku 21 stavku 2 Direktive NIS2, uz ostalih devet mjera kao što su analiza rizika, rukovanje incidentima i upravljanje pristupom. Kupac koji postavlja ovo pitanje provjerava vašu tvrtku i unatrag: ne samo vašu vlastitu sigurnost, već i sigurnost stranaka od kojih ovisit. To je u skladu s sigurnosnim zahtjevima koje poduzeće postavlja svojim dobavljačima — isti princip, još jedan korak dalje u lancu.

U praksi se obično postavljaju tri stvari: imate li politiku ili postupak za ocjenu dobavljača na osnovi kibernetskog rizika, postavljate li ugovorne zahtjeve (npr. obaveza prijavljivanja incidenta, minimalne razine sigurnosti), i pratite li to nakon potpisivanja ugovora. Ako nemate taj postupak, "ne" s kratkim objašnjenjem odličan je odgovor — bolje nego "da" koju ne možete potkrijepiti. Ako imate ocjenu dobavljača ali nema zasebnog kibernetskog dijela, navedite to točno tako: dokaz mora biti u skladu s onim što unosite. ISO 27001 certifikat s Prilogom A obično pokriva ovu temu, pa ako je poduzeće ISO 27001 certificirano to je često najbrži dokaz koji trebate dostaviti.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Deset mjera članka 21 stavka 2 Direktive NIS2 navode sigurnost lanca kao zaseban punkt, odvojen od opće analize rizika. ISO/IEC 27001 to detaljnije razrađuje u kontrolnim mjerama Priloga A, specifično usmjerenim na odnose s dobavljačima i zahtjeve koje im postavljate. Zakon o kibernetskoj sigurnosti ovu obvezu ugrađuje u nizozemsko pravo i stupuje na snagu 15. kolovoza 2026. — za sada je sama EU direktiva izvor, a kupac u praksi često već unaprijed to pita.