upitnik pita o rizicima u našem lancu opskrbe, što to znači

Ketenrisiko su sigurnost tvoje vlastite dobavljače

Ketenrisiko se odnose na dobavljače i pružatelje usluga koje angažiraš, te je li to rupa u zaštiti moje klijenta. Pitanje nije nasumično: to je doslovan korak iz članka 21. stav 2. Direktive NIS2, točka d., koja se izričito odnosi na zaštitu lanaca nabave, uključujući odnos s dobavljačima. Moja klijantica mora moći dokazati da je to provjerila kod svojih vlastitih dobavljača — dakle kod tebe — Zato je pitanje na listi.

U praksi se istovremeno postavljaju dvije stvari. Jedno: imaš li sam uvid u rizike koje nose tvoji kritični dobavljači (hosting, softver, IT-upravljanje)? Dva: postavljaš li sam zahtjeve tim dobavljačima, ugovorima ili na drugi način? Ovo drugo se preklapa sa pitanjem trebaju li tvoji vlastiti dobavljači udovoljavati zahtjevima sigurnosti — često je to doslovno isto pitanje u drugom obliku, pa prvo provjeri je li odgovor već dao. Ako nemaš formalan koncept dobavljačkog upravljanja, tada je iskreno "ne, ne još" preciznije od odgovora koji obećava više nego što ga ima.

Može se pratiti natrag do članka 21. stav 2. točka d Direktive NIS2

Ovo pitanje izlazi izravno iz deset koraka članka 21. stav 2. Direktive (EU) 2022/2555, gdje je zaštita lanaca nabave odvojen dio (točka d.) pored analize rizika i rukovanja incidentima. U Zakonu o kibernetskoj sigurnosti, glavnom zakonu koji stupuje na snagu 15. kolovoza 2026., ovaj korak se pojavljuje za subjekte koji su obuhvaćeni zakonom. Ako radiš s ISO/IEC 27001, prepoznaješ istu obvezu u Prilogu A pod mjerama upravljanja za odnose s dobavljačima. Padaš li tvoja organizacija pod primjenu te obveze ovisi o je li tvoja organizacija kao subjekt obuhvaćena Direktivom NIS2 ili nacionalnom primjenom — to određuje je li ovo za tebe obveza ili samo pitanje kojeg ti tvoja klijantica prosleđuje.