client întreabă cum suntem protejați împotriva atacurilor prin furnizori noștri

Această întrebare se referă la articolul 21 alineatul 2 litera d, nu la întreaga dumneavoastră politică de securitate

Această întrebare se concentrează specific pe securitatea lanțului de aprovizionare: ce faceți pentru a preveni ca o slăbiciune la furnizorul dumneavoastră să permită un atac la dumneavoastră. Aceasta este una dintre cele zece măsuri din articolul 21 alineatul 2 NIS2, alături de analiza riscurilor, gestionarea incidentelor și criptografia. Persoana care pune întrebarea nu dorește deci să știe cum sunt securizate sistemele dumneavoastră proprii — aceasta este o altă întrebare din listă — ci cum aveți control asupra riscurilor care vin prin intermediul unui terț.

Dovezi concrete pentru aceasta constau de obicei din trei elemente: o evaluare a furnizorului înainte de încheiere unui contract, cerințe de securitate stabilite contractual (gândiți-vă la un acord de prelucrare sau un anexă de securitate separată), și o prezentare generală a furnizorilor care au acces la ce sisteme sau date. Dacă nu aveți aceasta, atunci "nu" este răspunsul cinstit — o listă de furnizori fără cerințe subiacente nu este dovadă de control. Dacă doriți să vă uități mai adânc la ceea ce clientul înțelege exact cu această întrebare, ajută să vedeți dacă întreprinderea stabilește cerințe de securitate pentru proprii săi furnizori este detaliat separat în dosarul lanțului, independent de întrebarea dacă dumneavoastră însuși cadeți sub directivă.

Dacă sunteți certificat ISO 27001, răspunsul este adesea deja gata: Anexa A conține o măsură de control specifică pentru relații cu furnizori (A.5.19 până la A.5.22 în versiunea din 2022), și un auditor a verificat deja aceasta. Fără certificat, răspunsul nu este automat "nu" — este vorba despre ceea ce faceți de fapt, nu despre ștampilă. Verificați în caz de îndoială dacă întreprinderea este certificată ISO 27001 este deja înregistrat în dosarul, ceea ce economisește investigații pe această întrebare.

Proveniența acesteia: articolul 21 alineatul 2 litera d NIS2

Articolul 21 alineatul 2 litera d din Directiva (UE) 2022/2555 menționează în mod expres "securitatea lanțului de aprovizionare" ca parte obligatorie a gestionării riscurilor, inclusiv relația cu furnizorii individuali. Legea privind securitatea cibernetică preia această obligație imediat ce legea intră în vigoare; până la acel moment, întrebarea poate apărea deja deoarece clientul dumneavoastră se află deja sub directivă și o transmite în lanț, chiar dacă dumneavoastră nu sunteți o entitate NIS2.