lista pytań pyta, jak kontrolujemy zabezpieczenie naszych dostawców

Bezpieczeństwo łańcucha: klient pyta dalej o waszych własnych dostawców

To pytanie dotyczy artykułu 21 ust. 2 lit. d dyrektywy NIS2: bezpieczeństwo łańcucha dostaw, w tym relacji z każdym bezpośrednim dostawcą lub usługodawcą. Klient chce więc wiedzieć nie tylko, jak zabezpieczeni jesteście wy sami, ale także jak to wymuszacie u waszych podwykonawców. Konkretnie zwykle pyta się, czy uwzględniacie wymogi bezpieczeństwa w umowach, czy oceniacie dostawców z góry, i czy okresowo kontrolujecie, czy przestrzegają oni tych wymogów.

Jeśli ten proces nie został jeszcze formalnie wdrożony, najuczciwszą odpowiedzią jest wskazanie, że robicie to nieformalnie — na przykład za pośrednictwem klauzul umownych bez ustrukturyzowanej oceny — lub że tego jeszcze nie robicie. Zaznaczenie "tak", ponieważ brzmi to logicznie, nie pomaga: jeśli klient będzie pytać dalej o przykładową umowę lub listę dostawców z wyceną ryzyka, musi ona tam być. To samo pytanie często pojawia się w nieco innej formie, mianowicie czy przedsiębiorstwo stawia wymogi bezpieczeństwa swoim własnym dostawcom — to zasadniczo ten sam wymóg, ale oddzielony od pytania o umowę. Warto więc sformułować jedną odpowiedź, którą można ponownie wykorzystać na wielu listach.

Skąd to się bierze: artykuł 21 ust. 2 i Załącznik A.5.19-21

Podstawę prawną stanowi artykuł 21 ust. 2 lit. d dyrektywy NIS2, jeden z dziesięciu obowiązkowych środków wymienionych tam. W praktyce holenderskiej pojawia się to w ustawie o cyberbezpieczeństwie, transpozycji NIS2, która wejdzie w życie 15 sierpnia 2026 r. — pytanie klienta wyprzedza więc często to, co dla was samych staje się obowiązkowe dopiero później, chyba że już podlegacie dyrektywie na mocy definicji podmiotu według NIS2. Kto stosuje ISO/IEC 27001, rozpoznaje ten sam wymóg w Załączniku A, w środkach kontrolnych w sekcjach A.5.19 do A.5.21 dotyczących relacji dostawcy i wymogów bezpieczeństwa określonych w nich. Oba źródła w istocie pytają o to samo: nie tylko wiedzieć, kim są wasi dostawcy, ale udowodnić, że monitorujecie ich poziom bezpieczeństwa.