client întreabă cum gestionăm accesul furnizorilor externi

Accesul pentru furnizorii externi este o parte a articolului 21 alineatul 2

Această întrebare se referă la modul în care gestionați accesul terților la sistemele și datele dvs., iar aceasta atinge două dintre cele zece măsuri din articolul 21 alineatul 2 al NIS2 simultan: punctul (i), politica de acces, și punctul (d), securitatea lanțului de aprovizionare în relația cu furnizorii. Prin urmare, clientul nu dorește să știe doar dacă părțile externe au acces, ci și cum este delimitat acest acces, cine îl acordă și revocă, și dacă procesul este documentat. Un răspuns cum ar fi "furnizorii obțin acces doar după aprobare" este prea vag fără a preciza cum se desfășoară aprobarea și cât de des se revizuiește.

Ceea ce aveți nevoie concret: o descriere a procesului de autorizare pentru conturile externe, de preferință cu mențiunea principiului celor mai puține privilegii (acces limitat la ceea ce este necesar) și a termenului în care accesul este revizuit sau revocat la încetarea contractului. Dacă procesul lipsește, atunci "nu" este răspunsul corect aici — un "da" sugestiv fără document în spate aduce mai mult prejudiciu într-o verificare de audit a clientului decât un nu cu o explicație că politica este în curs de dezvoltare. Acest subiect se suprapune cu politica de acces și gestionarea activelor corporative, unde se tratează structura mai largă de autorizare, și cu întrebarea dacă întreprinderea stabilește cerințe propriilor furnizori, întrucât gestionarea accesului extern este în practică adesea parte a aceleiași politici de lanț.

Unde se află aceasta: articolul 21 alineatul 2, punctele (d) și (i)

Articolul 21 alineatul 2 al Directivei (UE) 2022/2555 menționează sub (i) "politica de control al accesului" ca una dintre cele zece măsuri obligatorii, și sub (d) securitatea lanțului de aprovizionare inclusiv relația cu furnizorii — accesul extern se încadrează în ambele. În ISO/IEC 27001 Annex A, măsurile de control asociate pentru gestionarea accesului și relațiile cu furnizorii sunt dezvoltate la nivel de control, ceea ce explică de ce un client cere adesea un anumit număr de control din Annex A în loc de textul directivei în sine. Pentru întreprinderile care se încadrează în transpunerea neerlandeză, această obligație apare din nou în Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026.