Dotazník sa pýta, ako kontrolujeme bezpečnosť našich dodávateľov

Bezpečnosť v dodávateľskom reťazci: váš zákazník sa pýta ďalej na vašich vlastných dodávateľov

Táto otázka sa týka článku 21 odsek 2 písmeno d smernice NIS2: bezpečnosť dodávateľského reťazca vrátane vzťahu s každým priamym dodávateľom alebo poskytovateľom služieb. Váš zákazník teda chce vedieť nielen to, ako ste sami zabezpečení, ale aj to, ako to vynucujete u vašich subdodávateľov. V praxi sa zvyčajne pýta, či zaraďujete požiadavky na bezpečnosť do zmlúv, či vopred hodnotíte dodávateľov a či periodicky kontrolujete, či tieto požiadavky spĺňajú.

Ak ste tento proces ešte nefomalizovali, je najčestnejšia odpoveď, že ho vykonávate neformálne — napríklad prostredníctvom zmluvných doložiek bez štruktúrovaného hodnotenia — alebo že ho ešte nevykonávate. Zaškrtnutie "áno" preto, že to znie logicky, nepomôže: ak sa váš zákazník ďalej pýta na ukážkovú zmluvu alebo zoznam dodávateľov s hodnotením rizika, potom by to tam muselo byť. Tá istá otázka sa často objavuje v mierne inej forme, konkrétne či podnik stanovuje bezpečnostné požiadavky svojim vlastným dodávateľom — v podstate ide o tú istú požiadavku, ale oddelenenú od zmluvnej otázky. Je teda vhodné sformulovať jednu odpoveď, ktorú môžete znovu použiť na viacerých zoznamoch.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A.5.19-21

Právnym základom je článok 21 odsek 2 písmeno d smernice NIS2, jedno z desiatich povinných opatrení uvedených v nej. Pre prax v Holandsku sa to objavuje v Zákone o kybernetickej bezpečnosti, transpozícii NIS2, ktorá vstupuje do platnosti 15. augusta 2026 — otázka vášho zákazníka často predbieha to, čo bude pre vás samotných povinné neskôr, pokiaľ už nespadáte pod smernicu prostredníctvom definície entity podľa NIS2. Kto uplatňuje normu ISO/IEC 27001, rozpozná tú istú požiadavku v prílohe A, opatreniach na kontrolu pod A.5.19 až A.5.21 o vzťahoch s dodávateľmi a požiadavkách na bezpečnosť v nich stanovených. Obe zdroje v podstate požadujú to isté: nielen vedieť, kto sú vaši dodávatelia, ale preukázateľne demonštrovať, že sledujete ich úroveň bezpečnosti.