zoznam otázok sa pýta, ako mapujeme riziká v našej keti

Riziká v reťazci sa týkajú dvoch rôznych otázok

Otázka o rizikách v dodávateľskom reťazci sa v praxi pýta na dve veci zároveň a zoznam otázok často toto rozlíšenie nerobí explicitne. Po prvé: má podnik sám prehľad o rizikách, ktoré sa dostávajú prostredníctvom jej vlastných dodávateľov a poskytovateľov služieb — pomyslite napríklad na dodávateľa IT s prístupom k sieti alebo softwarovú komponentu tretej strany. Po druhé: kladie podnik požiadavky na týchto dodávateľov a kontroluje ich. Tento druhý bod sa prekrýva s otázkou, či podnik kladie požiadavky na bezpečnosť svojim vlastným dodávateľom — často ide doslova o tú istú otázku, ktorá sa na inom mieste v zozname opakuje inými slovami.

Kto má certifikáciu ISO/IEC 27001, zvyčajne sa môže odvolávať na opatrenia na kontrolu vzťahov s dodávateľmi z Prílohy A — tie sú tam špecificky na tento účel a audítor ich už posúdil. Bez certifikátu odpoveď automaticky nie je „nie‟: relevantné je, či existuje analýza rizík, v ktorej sú dodávatelia zahrnutí ako pozorný bod, aj keď je neformálna. To nadväzuje na širšiu otázku týkajúcu sa politiky analýzy rizík, kde riziká v reťazci sú typicky jednou kapitolou, nie samostatným dokumentom. Ak nie je nič zdokumentované, potom je „nie‟ čestná odpoveď — prezentovať „áno‟ bez toho, aby analýzu rizík, zmluvnú klauzulu alebo zoznam dodávateľov podporoval, neobstojí, ak si zákazník vyžiada dôkazný materiál.

Odkiaľ to pochádza: článok 21 odsek 2 NIS2

Bezpečnosť reťazca je ako samostatný prvok uvedená v článku 21 odsek 2 smernice NIS2 medzi desiatimi opatreniami, ktoré sú tam uvedené. Pre tých, ktorí sú sami predmetom tejto smernice — alebo čoskoro podľa zákona o kybernetickej bezpečnosti, ktorý je holandským prevedením a nadobúda účinnosti 15. augusta 2026 — nejde o fakultatívny prvok, ale o jedno z povinných opatrení. Pre tých, ktorí pod ňu nepatria, ale aj tak dostanú túto otázku od zákazníka, ide zvyčajne o priame prenesenie tej istej požiadavky: zákazník sám musí byť schopný preukázať, že má svoju dodávateľskú reťaz pod kontrolou, a preto túto požiadavku prenáša ďalej.