chestionarul întreabă cum controlăm securitatea cibernetică a propriilor noștri furnizori

Securitatea lanțului de aprovizionare: ce dorește să știe exact clientul

Această întrebare privește articolul 21 alineatul 2 litera d din NIS2: securitatea lanțului de aprovizionare, inclusiv relația cu fiecare furnizor individual. Clientul nu dorește deci să știe dacă sunteți siguri voi înșivă, ci dacă impuneți și controlați aceasta și furnizorilor DVOSTRU. Concret, chestionarul caută de obicei trei lucruri: ați inclus cerințe de securitate în contractele cu furnizorii, evaluați furnizorii înainte de a-i angaja, și îi reevaluați periodic. Un răspuns precum "ne încredem în furnizorii noștri" nu constituie dovadă pentru acest câmp — trebuie să existe un proces în spatele acestuia.

Dacă aveți acel proces, documentul justificativ este de obicei o politică privind furnizorii sau o clauză din contractul standard, eventual completată cu o privire de ansamblu asupra evaluărilor efectuate. Dacă nu aveți asta, atunci "nu" este răspunsul cinstit aici — completarea pe baza unei ipoteze nu produce un "da", deoarece dosarul nu are o sursă pentru aceasta. Acest subiect este, de altfel, legat de un alt câmp din același chestionar: dacă întreprinderea impune cerințe de securitate propriilor furnizori este adesea o întrebare pusă separat, dar dovezile se suprapun cu ceea ce se cere aici. De asemenea, este relevant dacă propria voastră analiză de risc include furnizorii ca categorie de risc separată; aceasta se aliniază cu politica de analiză de risc și securitate a informațiilor care este solicitată în alt loc din listă.

Temei: articolul 21 alineatul 2 și Anexa A

Obligația rezultă din articolul 21 alineatul 2 litera d din Directiva (UE) 2022/2555, care menționează securitatea lanțului ca una din cele zece măsuri obligatorii. ISO/IEC 27001 o desfășoară în Anexa A, în cadrul măsurilor de control pentru relațiile cu furnizorii: se face o distincție între cerințele la începutul relației și monitorizarea periodică. Pentru întreprinderile olandeze, aceeași obligație apare din nou în Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026 ca transpunere a NIS2. Dacă această obligație se aplică efectiv întreprinderii dvs., depinde de faptul dacă cadeți sub domeniul de aplicare al directivei; aceasta este o întrebare diferită de cea solicitată aici, și este explicată separat la dacă întreprinderea însuși cade sub NIS2.