lista de întrebări cere cum controlăm securitatea furnizorilor noștri

Securitatea lanțului: clientul dvs. întreabă mai departe despre propriii voștri furnizori

Această întrebare se referă la articolul 21 alineatul 2 litera d din NIS2: securitatea lanțului de aprovizionare, inclusiv relația cu fiecare furnizor sau prestator direct. Clientul dvs. dorește să știe nu doar cum sunteți asigurați dvs. înșivă, ci și cum aduceți aceasta în aplicare la subcontractanții voștri. În practică, se cere de obicei dacă includeți cerințe de securitate în contracte, dacă evaluați furnizorii în prealabil și dacă verificați periodic că aceștia respectă aceste cerințe.

Dacă nu ați formalizat încă acest proces, răspunsul cel mai corect este că îl derulați informal — de exemplu prin clauze contractuale fără o evaluare structurată — sau că nu îl derulați încă. Completarea cu "da" pentru că sună logic nu ajută: dacă clientul dvs. cere mai multe informații despre un contract-model sau o listă de furnizori cu scor de risc, trebuie să aveți acelea la îndemână. Aceeași întrebare apare adesea sub o formă puțin diferită, și anume dacă întreprinderea stabilește cerințe de securitate pentru proprii săi furnizori — aceasta este în esență aceeași cerință, dar desprinsă de întrebarea privind contractul. Prin urmare, are sens să formulați un singur răspuns pe care îl puteți reutiliza pe mai multe liste.

De unde vine aceasta: articolul 21 alineatul 2 și Anexa A.5.19-21

Baza juridică este articolul 21 alineatul 2 litera d din directiva NIS2, una dintre cele zece măsuri obligatorii menționate acolo. Pentru practica olandeză, aceasta se regăsește în Legea privind securitatea cibernetică, transpunerea NIS2 care intră în vigoare pe 15 august 2026 — întrebarea clientului dvs. merge adesea înainte de ceea ce pentru dvs. devine obligatoriu mai târziu, cu excepția cazului în care cadeți deja sub directivă prin definiția entității conform NIS2. Cei care aplică ISO/IEC 27001 recunosc aceeași cerință în Anexa A, măsurile de control din A.5.19 până la A.5.21 privind relațiile cu furnizorii și cerințele de securitate stipulate în acestea. Ambele surse cer în esență același lucru: nu doar să știți cine sunt furnizorii voștri, ci să demonstrați în mod verificabil că monitorizați nivelul lor de securitate.