klausimynas klausia apie rizikos tolyje mūsų tiekimo grandinėje, ką tai reiškia

Tiekimo grandinės rizikai yra jūsų pačių tiekėjų sauga

Tiekimo grandinės rizikai yra susiję su tiekėjais ir paslaugų teikėjais, kuriuos jūs įdarbinate, ir tuo, ar jie sudaro spragą jūsų kliento saugumo sistemoje. Šis klausimas neatsirado iš niekur: tai tiesioginis reikalavimas iš NIS2 21 straipsnio 2 dalies d punkto, kuris aiškiai susijęs su tiekimo grandinės apsauga, įskaitant santykius su tiekėjais. Jūsų klientas turi gebėti įrodyti, kad šitai paklausė savo pačių tiekėjų — jūsų. Todėl ir yra šis klausimas sąraše.

Praktikoje vienu metu klausiama apie du dalykus. Vienas: ar jūs suvokiate rizikus, kuriuos nešasi jūsų kritiniai tiekėjai (hosting, programinė įranga, IT valdymas)? Du: ar jūs savo tiekėjams keliате reikalavimus, sutartyje ar kitaip? Tas antrasis sutampa su klausimu, ar jūsų pačių tiekėjai turi atitikti saugumo reikalavimus — dažnai tai yra šitaip pat žodis žodyje tas pat klausimas kitoje formoje, todėl pirmiausia patikrinkite, ar jūs jį jau nebuvo atsakę. Jei neturite formalios tiekėjų politikos, tiesiogas "ne, dar ne" yra tikslesnis nei atsakymas, kuris žada daugiau nei yra.

Grįžtina į NIS2 21 straipsnio 2 dalies d punktą

Šis klausimas kyla tiesiogiai iš dešimties Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies priemonių, kuriose tiekimo grandinės apsauga yra atskiras elementas (d punktas) šalia rizikos analizės ir incidentų tvarkymo. Kibernetinio saugumo įstatyme, Nyderlandų transpozicijoje, kuri įsigalios 2026 m. rugpjūčio 15 d., ši priemonė galioja šiame įstatyme nurodytoms subjektams. Kas dirba su ISO/IEC 27001, tą patį reikalavimą atpažįsta Priede A tarp kontrolės priemonių tiekėjų santykiams. Jei jūsų pačių verslas taip pat patenka į NIS2 ar nacionalinės transpozicijos taikymo sritį, priklauso nuo ar verslas kaip subjektas patenka į NIS2 ar nacionalinės transpozicijos taikymo sritį — tai nulemia, ar tai jums yra privaloma ar tik klausimas, kurį jūsums persiunčia jūsų klientas.