trebuie să punem aceleași întrebări de securitate cibernetică propriilor noștri furnizori

Da, pentru că articolul 21 alineatul 2 obligă în mod explicit

Da, în majoritatea cazurilor trebuie să faceți acest lucru. Articolul 21 alineatul 2 al Directivei NIS2 enumeră zece măsuri pe care o entitate trebuie să le adopte, iar punctul (d) se referă în mod specific la securizarea lanțului de aprovizionare — inclusiv relația cu și între fiecare furnizor sau prestator de servicii. Dacă clientul dvs. pune deci întrebări despre securizarea lanțului, nu este suficient să arătați doar ceea ce faceți dvs. Trebuie de asemenea să puteți demonstra ce cereți propriilor subcontractori și cum verificați acest lucru.

În practică, aceasta înseamnă de obicei o abordare pe niveluri, nu o copie a întregului chestionar al clientului dvs. De regulă, cereți de la partea dvs.: subcontractorul are măsuri de bază în ordine (acces, copii de siguranță, gestionarea incidentelor), există o clauză contractuală privind obligația de denunțare în caz de incident, și — pentru furnizorii critici — există dovezi cum ar fi un certificat ISO 27001 sau o declarație proprie. Cu cât subcontractorul este mai important în furnizarea de servicii către client, cu atât mai specifice sunt cerințele pe care le puteți transmite mai departe. cerințele de securitate pentru propriii furnizori — vă aflați în mijlocul lanțului, nu la început.

Unde apare în directivă și în normă

Obligația în sine se găsește în articolul 21 alineatul 2 litera (d) al Directivei NIS2, care enumeră securizarea lanțului de aprovizionare ca una dintre cele zece măsuri obligatorii. Pentru practica neerlandeză, aceasta se transpune în Legea securității cibernetice, transpunerea NIS2 care intră în vigoare la 15 august 2026 — din acel moment, obligația se aplică formal și conform dreptului neolandez pentru entitățile care se încadrează în domeniul de aplicare al legii. Cine poate demonstra că aceasta a fost organizată sistematic, se referă adesea la Anexa A a ISO/IEC 27001, unde relațiile cu furnizorii și securizarea lanțului de aprovizionare sunt enumerate ca măsuri de control separate. Dacă propria dvs. companie se încadrează sub Directiva NIS2 ca entitate este totuși o întrebare separată care nu depinde de ceea ce clientul dvs. vă cere prin contract; această diferență este tratată la întrebarea dacă compania se încadrează sub directivă.