musíme rovnaké bezpečnostné otázky klásť aj našim vlastným dodávateľom

Áno, pretože článok 21 odsek 2 to výslovne vyžaduje

Áno, vo väčšine prípadov je to potrebné. Článok 21 odsek 2 smernice NIS2 stanovuje desať opatrení, ktoré musí subjekt prijať, a bod (d) sa konkrétne týka bezpečnosti reťazca dodávok — vrátane vzťahu s každým dodávateľom alebo poskytovateľom služieb a medzi nimi. Ak sa teda váš zákazník pýta na bezpečnosť reťazca, nestačí ukázať, čo robíte sami. Musíte tiež vedieť preukázať, čo požadujete od svojich vlastných subdodávateľov a ako to kontrolujete.

V praxi to zvyčajne znamená vrstvený prístup, nie kópiu celého dotazníka vášho zákazníka. Zvyčajne si položte otázky: má subdodávateľ základné opatrenia zavedené (prístup, zálohy, zvládanie incidentov), existuje zmluvné ustanovenie o povinnosti hlásenia pri incidente, a — v prípade kritických dodávateľov — existuje dôkaz, napríklad certifikát ISO 27001 alebo vlastné vyhlásenie. Čím významnejší je subdodávateľ vo vašej službe zákazníkovi, tým špecifickejšie požiadavky môžete odovzdať. Toto je rovnaká otázka, ktorú vám teraz kladie váš zákazník o bezpečnostné požiadavky na vlastných leverancielov — nachádzate sa tu v strede reťazca, nie na začiatku.

Kde je to uvedené v smernici a norme

Samotná povinnosť je stanovená v články 21 odsek 2 písm. (d) smernice NIS2, ktorá bezpečnosť reťazca menuje ako jedno z desiatich povinných opatrení. Pre prax v Holandsku sa to premieta do Zákona o kybernetickej bezpečnosti, transpozície NIS2, ktorá nadobúda účinnosť 15. augusta 2026 — od tohto dátumu platí povinnosť aj formálne podľa holandského práva pre subjekty spadajúce pod zákon. Kto môže preukázať, že je to systematicky usporiadané, často sa odvoláva na prílohu A normy ISO/IEC 27001, kde sú vzťahy so zdobávateľmi a bezpečnosť v reťazci dodávok uvedené ako samostatné kontrolné opatrenia. Či vaša spoločnosť spadá pod smernicu NIS2 ako subjekt, je pritom samostatná otázka, ktorá sa líši od toho, čo váš zákazník od vás zmluvne vyžaduje; tento rozdiel je pojednávaný v otázke, či spoločnosť spadá pod smernicu.