megfogalmaz-e a vállalkozás biztonsági követelményeket saját beszállítóinak?

Az ellátási lánc az egyik tíz intézkedés között szerepel

Igen, a legtöbb esetben releváns megválaszolni a konkrét beszállítói politikára való hivatkozással, nem pedig általános megnyugtatással. A kérdés közvetlenül a NIS2-irányelv 21. cikk 2. bekezdéséből származik, ahol az "ellátási lánc biztonsága" külön pontként szerepel a másik kilenc intézkedés mellett. Az ügyfél tehát nem azt akarja tudni, hogy Ön maga jól védett-e, hanem azt, hogy ezt a követelményt továbbadja-e azoknak a feleknek, amelyektől függ: hosting-szolgáltatók, szoftverleszállítók, IT-szolgáltatók.

Konkréten olyan kérdésekről van szó, mint: vannak-e biztonsági követelmények a kritikus szállítókkal kötött szerződésekben, tesztelnek-e biztonsági szintet a beszerzés vagy a bevezetés során, és van-e rálátás a függőségekre a lánc további részében. Egy vállalat, amely saját információbiztonság-politikával rendelkezik — lásd még a kérdést az —, gyakran már rendelkezik egy kerettel, amelyben a szállítói értékelés fix része. Ha ez hiányzik, akkor az "nem" vagy "részben" egy őszinte válasz; egy ígéret arról, hogy mi kellene, hogy megtörténjen, itt nem az ért; a kockázatelemzésre és az információs rendszerek biztonságára vonatkozó politikának — gyakran már van egy kerete, amelyben a szállítói értékelés egy rögzített elem. Ha ez hiányzik, akkor az "nem" vagy "részben" egy őszinte válasz; egy ígéret arról, hogy mi kellene, hogy megtörténjen, itt nem az ért.

Ahol ez az NIS2 21. cikk 2. bekezdésében szerepel

Az (EU) 2022/2555 irányelv 21. cikk (2) bekezdése az ellátási lánc biztonságát említi az egyik tíz intézkedés közül, amelyeket egy entitásnak kell tennie, ideértve az entitás és közvetlen beszállítói vagy szolgáltatói közötti kapcsolatra fordított figyelmet. Ez a pont gyakran kapcsolódik ugyanazon lista más intézkedéseihez: egy beszállító, amely a sebezhetőségeket nem jelenti, az is érinti az sebezhetőségek felderítésének és orvoslásának folyamatát, és egy beszállítónál bekövetkezett incidens ugyanazon az útvonalon keresztül kell, hogy haladjon, mint a vállalkozásnál bekövetkezett incidens. Az, hogy ez a kérdés egyáltalán kötelező-e, attól függ, hogy maga a vállalkozás az irányelv hatálya alá tartozik-e — ez egy külön kérdés, saját válasszal.