Vprašalnik prosi, kako obvladujemo tveganja naših dobaviteljev

Varnost dobavne verige je ena od desetih obveznih ukrepov

To ni zgolj dodatno vprašanje: varnost dobavne verige je navedena kot ločen del v členu 21(2) NIS2, skupaj z drugimi devetimi ukrepi, kot so analiza tveganja, obravnava dogodkov in nadzor dostopa. Naročnik, ki to sprašuje, preverja, ali vaše podjetje gleda tudi v nazaj: ne samo na lastno varnost, temveč tudi na varnost subjektov, od katerih ste odvisni. To se ujema s varnostnimi zahtevami, ki jih podjetje samo postavlja svojim dobaviteljem — isto načelo, en korak naprej v verigi.

V praksi se navadno sprašuje o treh stvareh: ali imate politiko ali postopek za ocenjevanje dobaviteljev glede kibernetskega tveganja, postavljate pogodbenimi zahtevami (npr. obveza sporočanja ob dogodkih, minimalna raven varnosti), in ali to spremljate tudi po podpisu pogodbe. Če tega postopka nimate, je odgovor "ne" s krajšo razlago odličen odgovor — bolje kot "da", ki ga ne morete utemeljiti. Če imate ocenjevanje dobaviteljev, vendar ločenega segmenta za kibernetiko niste oblikovali, to natanko tako pojasnite: dokazilo mora biti usklajeno s tem, kar vnesete. Potrdilo ISO 27001 z Prilogo A to področje navadno pokriva, zato je podjetje certificirano po ISO 27001 to pogosto najhitrejše dokazilo za predložitev.

Izvor: člen 21(2) in Annex A

Deset ukrepov člena 21(2) NIS2 naštevajo varnost dobavne verige kot ločeno točko, ločeno od splošne analize tveganja. ISO/IEC 27001 to naprej razvije v nadzornih ukrepih Priloge A, posebej usmerjenih v odnose z dobavitelji in zahteve, ki jih jim postavljate. Zakon o kibernetski varnosti to obveznost prenese v nederlandsko pravo in začne veljati 15. avgusta 2026 — trenutno je direktiva EU sama po sebi vir, in naročnik v praksi pogosto že vnaprej to sprašuje.