Impune întreprinderea cerințe de securitate propriilor furnizori?

Lanțul de aprovizionare este una dintre cele zece măsuri

Da, în majoritatea cazurilor este relevant să răspundeți cu o referire la o politică de furnizori concretă, nu cu o asigurare generală. Întrebarea provine direct din articolul 21 alineatul 2 din Directiva NIS2, unde "securitatea lanțului de aprovizionare" figurează ca punct separat alături de celelalte nouă măsuri. Clientul dumneavoastră nu dorește deci să știe dacă sunteți bine securizați, ci dacă transpuneți această cerință către părțile de care depindeți: furnizori de găzduire, furnizori de software, furnizori de servicii IT.

Concret, sunt vorba despre întrebări precum: sunt cerințe de securitate incluse în contractele cu furnizorii critici, se evaluează nivelul de securitate la achiziție sau la onboarding, și se cunoaște dependența mai departe în lanț. O întreprindere care are ea însăși o politică de securitate a informațiilor — vezi și întrebarea privind politicii privind analiza riscurilor și securitatea sistemelor de informații — are adesea deja un cadru în care evaluarea furnizorilor este o componentă obligatorie. Dacă acesta lipsește, atunci "nu" sau "parțial" este un răspuns onest; o promisiune cu privire la ceea ce ar trebui să se întâmple nu ține seama de noi.

Unde aceasta figurează în articolul 21 alineatul 2 NIS2

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 menționează securitatea lanțului de aprovizionare ca una dintre cele zece măsuri pe care trebuie să le ia o entitate, inclusiv atenție acordată relației dintre entitate și furnizorii sau furnizorii de servicii direcți ai acesteia. Acest punct este adesea conectat cu alte măsuri din aceeași listă: un furnizor care nu raportează vulnerabilități afectează și pe procesul de identificare și remediere a vulnerabilităților, iar un incident la un furnizor trebuie să urmeze aceeași cale ca un incident din cadrul întreprinderii. Dacă această întrebare este deloc obligatorie depinde de faptul că dacă întreprinderea în sine se încadrează în directivă — aceasta este o întrebare separată cu propriul răspuns.