lista pytań dotyczy zagrożeń w naszym łańcuchu dostaw, co to oznacza

Ryzyka łańcucha dostaw to bezpieczeństwo twoich własnych dostawców

Ryzyka łańcucha dostaw dotyczą dostawców i usługodawców, których zatrudniasz, i czy stanowią lukę w bezpieczeństwie twojego klienta. Pytanie nie pojawia się znikąd: to dosłowny środek zawsze w artykule 21 ust. 2 dyrektywy NIS2, lit. d, który jawnie dotyczy bezpieczeństwa łańcucha dostaw, w tym relacji z dostawcami. Twój klient musi być w stanie wykazać, że zapytał o to swoich własnych dostawców — czyli ciebie. Stąd to pytanie na liście.

W praktyce zadawane są jednocześnie dwie rzeczy. Po pierwsze: czy masz wgląd w ryzyka, które stwarzają twoi krytyczni dostawcy (hosting, oprogramowanie, zarządzanie IT)? Po drugie: czy stawiasz własne wymagania tym dostawcom, umownie lub inaczej? Ta druga kwestia nakłada się na pytanie, czy własni dostawcy muszą spełniać wymogi bezpieczeństwa — często jest to dosłownie to samo pytanie w innej formie, dlatego najpierw sprawdź, czy już na nie odpowiedziałeś. Jeśli nie masz formalnej polityki w stosunku do dostawców, szczera odpowiedź "nie, jeszcze nie" jest dokładniejsza niż odpowiedź, która obiecuje więcej niż istnieje.

Można to prześledzić do artykułu 21 ust. 2 lit. d dyrektywy NIS2

To pytanie wynika bezpośrednio z dziesięciu środków zawartych w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555, w której bezpieczeństwo łańcucha dostaw stanowi odrębny element (lit. d) obok analizy ryzyka i postępowania w przypadku incydentów. W ustawie o bezpieczeństwie cybernetycznym, holenderskim wdrożeniu, które wchodzi w życie 15 sierpnia 2026 r., ten środek pojawia się ponownie dla podmiotów podlegających ustawie. Jeśli pracujesz z ISO/IEC 27001, rozpoznasz to samo wymóg w Załączniku A wśród środków kontroli dla relacji z dostawcami. To, czy twoja organizacja sama podlega zakresowi tego warunku, zależy od czy organizacja jako podmiot podlega NIS2 lub krajowemu wdrożeniu — to określa, czy jest to dla ciebie obowiązek czy tylko pytanie, które przesyła ci twój klient.