chestionar întreabă cum cartografiem riscurile din lanțul nostru de aprovizionare

Riscurile lanțului resimt două întrebări diferite

Întrebarea despre riscurile lanțului de aprovizionare cere în practică două lucruri în același timp, iar chestionarul adesea nu face această distincție în mod explicit. În primul rând: are întreprinderea vizibilitate asupra riscurilor care provin din propriii furnizori și prestatori de servicii — gândiți-vă la un furnizor IT cu acces la rețea, sau o componentă software de la terți. În al doilea rând: impune întreprinderea cerințe acelor furnizori și le monitorizează. Al doilea punct se suprapune cu întrebarea dacă întreprinderea impune cerințe de securitate propriilor furnizori — adesea aceasta este literal aceeași întrebare, doar poziționată într-un alt loc din listă cu alte cuvinte.

Cine este certificat ISO/IEC 27001 poate de obicei să se refere la măsurile de control pentru relațiile cu furnizorii din Anexa A — acestea sunt specifice pentru această zonă, și un auditor le-a deja evaluat. Fără certificat, răspunsul nu este automat "nu": relevant este dacă există o analiză a riscurilor în care furnizorii au fost incluși ca punct de atenție, chiar dacă aceasta este informală. Aceasta se aliniază cu întrebarea mai largă despre politica de analiză a riscurilorunde riscurile lanțului sunt de obicei un paragraf, nu un document separat. Dacă nu există nimic documentat, atunci "nu" este răspunsul onest — a propune un "da" fără o analiză a riscurilor, clauză contractuală sau inventar de furnizori care să stea la bază nu rezistă dacă clientul cere dovada.

Provenienza: articolul 21 alineatul 2 NIS2

Securitatea lanțului este menționată ca parte separată în articolul 21 alineatul 2 al Directivei NIS2, între cele zece măsuri enumerate acolo. Pentru cei care înșiși cad sub directivă — sau în curând sub Legea de Cibernetică, transpunerea olandeză care intră în vigoare pe 15 august 2026 — aceasta nu este o parte opțională ci una dintre măsurile obligatorii. Pentru cei care nu cad sub ea, dar primesc totuși întrebarea de la un client, aceasta este de obicei o retransmitere a aceleiași cerințe: clientul trebuie să poată demonstra că și-a pus lanțul sub control, și de aceea o transmite mai departe.