Stranka vprašuje, kako smo zaščiteni pred napadi prek naših dobaviteljev

To vprašanje se nanaša na člen 21(2)(d), ne pa na celotno varnostno politiko

To vprašanje se nanaša posebej na varnost dobavne verige: kaj storite, da preprečite, da bi šibka točka pri vašem dobavitelju omogočila napad na vaš sistem. To je ena od desetih ukrepov iz člena 21(2) NIS2, poleg analize tveganja, obravnave incidentov in kriptografije. Vprašujoči torej ne želi vedeti, kako so vaši lastni sistemi zaščiteni — to je drugo vprašanje na seznamu — temveč kako obvladujete tveganja, ki vstopijo prek tretje osebe.

Konkretni dokaz za to praviloma sestoji iz treh delov: ocena dobavitelja pred sklenitvijo pogodbe, varnostne zahteve, ki so pogodbenega značaja (pomislite na pogodbo za obdelavo ali ločeno varnostno prilogo), in pregled, kateri dobavitelji imajo dostop do katerih sistemov ali podatkov. Če tega nimate, je »ne« pošten odgovor — seznam dobaviteljev brez osnovnih zahtev ni dokaz nadzora. Če želite poglobljeje raziskati, kaj točno stranka meni s tem vprašanjem, pomaga, da vidite, ali podjetje postavlja varnostne zahteve svojim lastnemu dobaviteljem je posebej obdelano v ketendosjeju, ločeno od vprašanja, ali sami sodite pod direktivo.

Če ste certificirani po ISO 27001, je odgovor pogosto že pripravljen: Prilogo A vsebuje specifičen upravljavski ukrep za razmerja z dobavitelji (A.5.19 do A.5.22 v različici 2022), in revizor je to že enkrat nadzoroval. Brez certifikata odgovor ni avtomatično »ne« — gre za to, kaj dejansko storite, ne za žig. Preverite pri dvomih, ali je podjetje certificirano po ISO 27001 že zabeleženo v dosjeju, to prihrani iskanje pri tem vprašanju.

Od kje to prihaja: člen 21(2)(d) NIS2

Člen 21(2)(d) Direktive (EU) 2022/2555 izrecno omenja »varnost dobavne verige« kot obvezni del upravljanja tveganja, vključno z razmerjem s posameznimi dobavitelji. Zakon o kibernetski varnosti prevzame to obveznost, ko ta zakon začne veljati; do takrat se to vprašanje že lahko pojavi, ker stranka sama že sodi pod direktivo in to prenaša v verigo, čeprav sami niste NIS2-subjekt.