vprašalnik sprašuje, kako nadziramo varnost lastnih dobaviteljev

Varnost verige dobave: kaj natanko želi vedeti kupec

To vprašanje se nanaša na 21. člen, odstavek 2, točka d NIS2: zaščita oskrbovalne verige, vključno z razmerjem s posameznim dobaviteljem. Kupec torej ne želi vedeti, ali ste vi sami varni, ampak ali to zahtevate in preverjate tudi pri svojih dobaviteljih. Konkretno vprašalnik običajno išče tri stvari: ali ste v pogodbe z dobavitelji vključili varnostne zahteve, ali dobavitelje ocenite, preden jih angažirate, in ali jih periodično ponovno ocenite. Odgovor, kot je »zaupamo svojim dobaviteljem«, za to polje ni dokaz — za tem mora biti proces.

Če imate ta proces, je dokaz običajno politika glede dobaviteljev ali klavzula v standardni pogodbi, po potrebi dopolnjena s pregledom opravljenih ocen. Če tega nimate, je »ne« tukaj pošten odgovor — izpolnjevanje na podlagi predpostavke ne daje »ja«, ker ima dossier zanj vir. Tema je sicer povezana z drugim poljem v isti vprašalnici: ali podjetje postavlja varnostne zahteve svojim lastnskim dobaviteljem je pogosto posebej zastavljeno vprašanje, vendar se dokazi prekrivajo s tem, kar se tukaj sprašuje. Prav tako je relevantno, ali vaša lastna analiza tveganja dobavitelje obravnava kot ločeno kategorijo tveganja; to se ujema z politiko za analizo tveganja in varnost informacij ki se drugje v seznamu sprašuje.

Pravna podlaga: 21. člen, odstavek 2 in Priloga A

Obveznost izhaja iz 21. člena, odstavka 2, točke d Direktive (EU) 2022/2555, ki omenja varnost verige dobave kot eno od desetih obveznih ukrepov. ISO/IEC 27001 to razdelan v Prilohi A, med kontrolnimi ukrepi za razmerja z dobavitelji: razlikovanje je narejeno med zahtevami ob začetku razmerja in periodičnim spremljanjem. Za podjetja v Republiki Sloveniji enaka obveznost izhaja iz Zakona o kibernetski varnosti, ki začne veljati 15. avgusta 2026 kot prenos NIS2. Ali se ta obveznost nanaša na vaše podjetje, je odvisno od tega, ali spadate pod direktivo; to je drugo vprašanje, kot kaj se tukaj sprašuje, in je posebej pojasnjeno pri ali podjetje samo spada pod NIS2.