Požaduje podnik bezpečnostné opatrenia od svojich dodávateľov?

Dodávateľský reťazec je jedným z desiatich opatrení

Áno, v mnohých prípadoch je relevantné odpovedať na to s odkazom na konkrétnu politiku dodávateľov, nie so všeobecným uistením. Otázka pochádza priamo z článku 21 odsek 2 smernice NIS2, kde sa "bezpečnosť dodávateľského reťazca" uvádza ako samostatný bod vedľa ďalších deväť opatrení. Klient teda nechce vedieť, či ste sami dobre zabezpečení, ale či tento požiadavku prenášate na strany, od ktorých ste závislí: poskytovatelia hostingových služieb, dodávatelia softvéru, poskytovatelia IT služieb.

Konkrétne ide o otázky ako: sú v zmluvách s kritickými dodávateľmi zahrnuté požiadavky na bezpečnosť, je pri nákupe alebo zavedení uskutočnená overka bezpečnostnej úrovne, a máte prehľad o závislostiach ďalej v reťazci. Podnik, ktorý má vlastnú politiku bezpečnosti informácií — pozri aj otázku o politiky analýzy rizík a bezpečnosti informačných systémov — má často už rámec, v ktorom je hodnotenie dodávateľov stabilnou súčasťou. Ak tento rámec chýba, potom je "nie" alebo "čiastočne" podstatný odpovedz; záväzok o tom, čo by sa malo stať, tu nie je na nás.

Kde sa to uvádza v článku 21 odsek 2 NIS2

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza bezpečnosť dodávateľského reťazca ako jedno z desiatich opatrení, ktoré musí entita prijať, vrátane pozornosti na vzťah medzi entitou a jej priamymi dodávateľmi alebo poskytovateľmi služieb. Tento bod často súvisí s ďalšími opatreniami z rovnakého zoznamu: dodávateľ, ktorý nenahlasuje zraniteľnosti, ovplyvňuje aj proces na zisťovanie a odstránenie zraniteľností, a incident u dodávateľa musí prejsť rovnakou cestou ako incident v podniku samotnom. To, či je táto otázka vôbec povinná, závisí od toho, či podnik sám podlieha smernici — to je samostatná otázka s vlastnou odpoveďou.