mums jāpierāda, ka mēs pārbaudām mūsu piegādātājus attiecībā uz kiberdrošību, kā es to daru

Piegādes ķēdes drošība: ko prasa 21. panta 2. punkta d apakšpunkts

21. panta 2. punkta d apakšpunkts no NIS2 direktīvas nosaka piegādes ķēdes drošību kā vienu no desmit obligātajiem pasākumiem, tostarp drošības aspektus attiecībās starp subjektu un tā tiešajiem piegādātājiem. Tas praktiski nozīmē: jums jāspēj pierādīt, ka, uzsākot un uzturējot piegādātāja attiecības, jūs novērtējat, vai šis piegādātājs rada risku jūsu paša pakalpojumu sniegšanai. Izstrādāta piegādātāju politika ar minimāli trim komponentiem parasti to sedz: atlases kritērijs iepriekš (kādas prasības jūs izvirzāt jaunem piegādātājiem), periodiska pārbaude darbības laikā un eskalācijas ceļš, ja piegādātājs ziņo par incidentu. Tas ir tas pats jautājums, ko jūs paceļ savai klientāle par ķēdes risku — jūs faktiski aizpildāt savu paša atbildi, bet vienu slāni dziļāk ķēdē.

Kas skaitās par pierādījumu, ir atkarīgs no jūsu procesa nobrieduma. Līguma klauzula, kurā jūsu piegādātājs apņemas ievērot noteiktus drošības standartus, ir sākumpunkts, bet ne pārbaude. Spēcīgāks ir jautājumjebkāds, ko jūs paši sūtāt piegādātājiem, saistīts ar vienkāršu riska etiķeti (zems/vidējs/augsts) atbilstoši tam, ko šis piegādātājs redz vai piekaras jūsu sistēmām. Ja jums to nav, tad godīgākā atbilde ir tā, ka jums vēl jānoformē process — nevis jūs aizpildāt "jā" līguma klauzulai, kas tam nespēlē lomu. Pievērsiet uzmanību: tas ir atšķirīgs jautājums nekā vai jūsu pašas uzņēmums ietilpst direktīvā; pat ja jūs paši tieši neietilpstat NIS2 jomā, klients to joprojām var prasīt no jums caur ķēdes saistību.

No kurienes tas nāk: direktīva un Nīderlandes likums

Pienākums ir noteikts Direktīvas (ES) 2022/2555 21. panta 2. punkta d apakšpunktā; Cyberbeveiligingswet to transponē Nīderlandes tiesībās un, kā tiek prognozēts, stāsies spēkā 2026. gada 15. augustā. ISO/IEC 27001 Annex A satur līdzīgu vadības pasākumu par piegādātāju attiecībām, kas izskaidro, kāpēc klientes ar ISO jautājumjebkādu bieži uzdod to pašu jautājumu kā klientes, kas atsaucas uz NIS2.