Jautājumā tiek jautāts, kā mēs pārvaldām mūsu piegādātāju riskus

Ķēdes draudzība ir viens no desmit obligātajiem pasākumiem

Tā nav vienkārši papildu jautājuma: piegādes ķēdes draudzība ir norādīta kā atsevišķa daļa NIS2 21. panta 2. punktā, blakus citiem deviņiem pasākumiem, piemēram, risku analīzei, incidents administrēšanai un piekļuves vadībai. Klients, kurš uzdod šo jautājumu, pārbauda, vai jūsu uzņēmums arī raugās aiz sevis: ne tikai jūsu paša draudzība, bet arī to pušu draudzība, no kurām jūs esat atkarīgi. Tas atbilst draudzības prasībām, kuras uzņēmums pats izvirza saviem piegādātājiem — tāds pats princips, vēl viens solis ķēdē.

Konkrēti, parasti tiek jautāts par trim lietām: vai jums ir politika vai process piegādātāju novērtēšanai attiecībā uz kibernetiskajiem riskiem, vai jūs noteiciet līgumiskās prasības (piemēram, incidentu paziņošanas pienākums, minimālie draudzības līmeņi), un vai pēc līguma parakstīšanas turpinājat to uzraudzīt. Ja jums tāds process nav, "nē" ar īsu paskaidrojumu ir lielisks atbilde — labāk nekā "jā", ko nevarat pamatot. Ja jums ir piegādātāju novērtējums, bet bez atsevišķa kibernetiskā elementa, tad pamatojiet to tieši tā: pierādījums jāatbilst tam, ko aizpildāt. ISO 27001 sertifikāts ar A pielikumu parasti šo tēmu aptver, tāpēc, ja uzņēmums ir ISO 27001 sertificēts tad tas bieži vien ir ātrākais pierādījums, ko iesniegtu.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

Desmit pasākumi no NIS2 21. panta 2. punkta nosauc ķēdes draudzību kā atsevišķu punktu, neatkarīgi no vispārējās risku analīzes. ISO/IEC 27001 to attīsta tālāk A pielikuma kontroles pasākumos, kas īpaši vērsti uz piegādātāju attiecībām un prasībām, kuras jūs tiem uzstādāt. Kibervairoga likums šo pienākumu implementē Nīderlandē un stājas spēkā 2026. gada 15. augustā — pagaidām ES direktīva pati ir avots, un klients praktiski bieži jau iepriekš par to jautā.