az ügyfél megkérdezi, hogyan védünk meg magunkat a beszállítóink feletti támadások ellen

Ez a kérdés a 21. cikk 2. bekezdés d) pontjáról szól, nem az Ön teljes biztonsági politikájáról

Ez a kérdés kifejezetten az ellátási lánc biztonságára összpontosít: mit tesz annak érdekében, hogy megakadályozza, hogy szállítójánál meglévő egy gyenge pont lehetővé tegye a támadást nálunk. Ez a NIS2 21. cikk 2. bekezdésből fakadó tíz intézkedés egyike, amellett hogy például kockázatelemzés, incidensmegoldás és kriptográfia is szerepel. A kérdezőfél tehát nem akarja tudni, hogyan vannak biztosítva az Ön saját rendszerei — ez egy másik kérdés a listán —, hanem azt szeretné megtudni, hogyan tartja kézben azt a kockázatot, amely harmadik fél által érkezhet.

Konkrét bizonyíték erre általában három dokumentumból áll: egy szállítói értékelésből a szerződés megkötése előtt, biztonsági követelményekből, amelyeket szerződésileg rögzítettek (gondoljon egy adatfeldolgozási szerződésre vagy egy külön biztonsági melléklettre), és egy áttekintésből arról, hogy mely szállítók milyen rendszerekhez vagy adatokhoz férhetnek hozzá. Ha nincs meg, akkor az „nem az onderneming beveiligingseisen stelt aan haar eigen leveranciers külön van kidolgozva az ellátási lánc dossziéban, függetlenül attól, hogy Ön maga az irányelv alá tartozik-e.

Ha Ön ISO 27001 tanúsított, a válasz gyakran már készen van: a B melléklet tartalmaz egy kifejezetten szállítói kapcsolatokra vonatkozó kontrollmérsékletet (A.5.19–A.5.22 a 2022-es verzióban), és egy auditor ezt már ellenőrizte. Tanúsítvány nélkül a válasz nem automatikusan „nem az onderneming ISO 27001-gecertificeerd is már rögzítve van a dossziéban, így megspórol némi nyomozást ennél a kérdésnél.

Honnan ered ez: a NIS2 21. cikk 2. bekezdés d) pontja

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdés d) pontja kifejezetten az „ellátási lánc biztonságát