igazolnunk kell, hogy szállítóinkat kiberbiztonsági szempontból ellenőrizzük, hogyan tegyem ezt

Ellátási lánc biztonsága: mit kér a 21. cikk (2) bekezdés d) pont

A NIS2-irányelv 21. cikk (2) bekezdés d) pontja az ellátási lánc biztosítását nevezi meg az egyik tíz kötelező intézkedésként, beleértve a szervezet és közvetlen beszállítói közötti kapcsolatok biztonsági szempontjait. Gyakorlatban ez azt jelenti: igazolnia kell, hogy a beszállítói kapcsolatok létesítésekor és fenntartásakor értékeli, hogy az adott beszállító kockázatot jelent-e saját szolgáltatásaidra nézve. Egy részletezetten kidolgozott beszállítói politika általában három összetevővel lefedi ezt: egy előzetes kiválasztási kritérium (milyen követelményeket állítasz az új beszállítókkal szemben), egy időszakos felülvizsgálat a szerződés futamideje alatt, és egy eszkalációs eljárás, ha egy beszállító incidenst jelent. Ez ugyanaz a kérdés, amelyet saját ügyfeled feltesz neked a láncriszkóval kapcsolatban — lényegében ide a saját válaszodat töltöd be, de egy szinttel mélyebben a láncban.

Bizonyítékként mit lehet elfogadni, attól függ, mennyire fejlett a folyamatod. Egy szerződésben szereplő záradék, amelyben a beszállítód bizonyos biztonsági követelménekhez kötelezi magát, egy kiindulópont, de nem egy felülvizsgálat. Erősebb, ha egy saját kérdőívet küldesz beszállítóidnak, amely egy egyszerű kockázati címke (alacsony/közepes/magas) mellett járul hozzá azon alapul, amit a beszállító lát vagy ér el a rendszeredből. Ha nincs meg ez, akkor a legőszintébb válasz az, hogy még be kell rendezned a folyamatot — nem azt, hogy egy nem releváns szerződésklózulára "igen"-nel válaszolsz. Figyelem: ez egy külön kérdés, mint annak kérdése, hogy saját szervezeted a direktíva hatálya alá tartozik-e; akkor is, ha közvetlenül nem esik NIS2 hatálya alá, egy ügyfél a lánckötelezettség révén mégis felteheti neked ezt a kérdést.

Honnan ered ez: direktíva és a holland törvény

A kötelezettség a (EU) 2022/2555 Irányelv 21. cikk (2) bekezdés d) pontjában szerepel; a kiberbiztonsági törvény ezt az európai jogot nemzeti jogba ülteti át, és várhatóan 2026. augusztus 15-én lép hatályba. Az ISO/IEC 27001 Annex A hasonló kontrollintézkedést tartalmaz a beszállítói kapcsolatokról, amely megmagyarázza, miért teszik fel azok az ügyfelek, akiknek ISO-kérdőívük van, ugyanezt a kérdést, mint azok, akik a NIS2-re hivatkoznak.