a kérdőív arra kérdez, hogyan ellenőrizzük saját beszállítóink kiberbiztonsági szintjét

Lánc biztonsága: mit szeretne pontosan tudni az ügyfél

Ez a kérdés a NIS2 21. cikk 2. bekezdés d) pontjára vonatkozik: az ellátási lánc biztonsága, beleértve az egyes beszállítók közötti kapcsolatokat. Az ügyfél tehát nem azt szeretné tudni, hogy Ön maga biztonságos-e, hanem azt, hogy ezt a saját beszállítóitól is megköveteli és ellenőrzi-e. Konkrétan a kérdőív általában három dolgot keres: szerepelnek-e biztonsági követelmények a beszállítókkal kötött szerződésekben, értékeli-e a beszállítókat azok igénybevétele előtt, és értékeli-e őket rendszeres időközönként újra. Az olyan válasz, hogy "megbízunk a beszállítóinkban", nem bizonyíték erre a mezőre — mögötte egy folyamatnak kell lennie.

Ha rendelkezik ezzel a folyamattal, a bizonyító dokumentum általában egy beszállítói szabályzat vagy egy standardszerződésben szereplő záradék, szükség esetén az elvégzett értékelések összefoglalójával kiegészítve. Ha nem rendelkezik ezzel, akkor az "nem" az őszinte válasz erre — feltételezés alapján történő kitöltés nem eredményez "igen" választ, mivel a dossziénak nincs forrása erre. Egyébként ez a téma kapcsolódik a ugyanabban a kérdőívben szereplő másik mezőhöz: vagy a vállalkozás biztonsági követelményeket írja elő saját beszállítóinak gyakran külön feltett kérdés, de a bizonyíték átfedi ezt, amit itt kérünk. Szintén releváns, hogy saját kockázatelemzése figyelembe veszi-e a beszállítókat külön kockázati kategóriaként; ez összhangban van a kockázatelemzési és információbiztonsági politika mely másutt a listában kerül lekérdezésre.

Alapelv: a 21. cikk 2. bekezdés és az A. melléklet

A kötelezettség az Irányelv (EU) 2022/2555 21. cikkének 2. bekezdés d) pontjából adódik, amely az ellátási lánc biztonságát a tíz kötelező intézkedés egyikeként említi. Az ISO/IEC 27001 ezt az A. mellékletben fejti ki, a beszállítói kapcsolatokra vonatkozó ellenőrzési intézkedések között: itt különbséget tesznek a kapcsolat kezdetén előírt követelmények és a periodikus felügyelet között. A holland vállalkozások számára ugyanez a kötelezettség visszatérül az információbiztonsági törvényben, amely 2026. augusztus 15-én lép hatályba a NIS2 transzponálásként. Az, hogy ez a kötelezettség az Ön vállalkozására vonatkozik-e, attól függ, hogy az irányelvbe tartozik-e; ez más kérdés, mint amit itt kérünk, és külön van kifejtve: vagy a vállalkozás maga a NIS2 alá tartozik.