stranka sprašuje, kako upravljamo dostop zunanjih dobaviteljev

Dostop za zunanje dobavitelje je del člena 21 odstavka 2

To vprašanje se nanaša na to, kako upravljate dostop tretjih oseb do vaših sistemov in podatkov, in to zadevata dve od desetih ukrepov iz člena 21 odstavka 2 Direktive NIS2 hkrati: točka (i), politika dostopa, in točka (d), varnost dobaviteljske verige do dobaviteljev. Naročnik torej ne želi le vedeti, ali imajo zunanji deležniki dostop, temveč tudi kako je ta dostop omejen, kdo ga dodeljuje in odvzema ter ali je ta proces dokumentiran. Odgovor, kot je "dobavitelji dobijo dostop samo po odobritvi", je premalo natančen, če se ne navede, kako se odobritev izvaja in kako pogosto se ta preuči.

Kar potrebujete konkretno: opis procesa avtorizacije za zunanje račune, po možnosti z omembo načela najmanjšega privilegija (dostop omejen na tisto, kar je potrebno) in roka, v katerem se dostop pregleda ali odvzame ob koncu naročila. Če je tak proces odsoten, je tukaj "ne" pošten odgovor — nakazan "da" brez osnovnega dokumenta prinaša pri kontroli naročnika več škode kot ne z razlago, da je politika še v razvoju. Ta tema se prepleta s politiko dostopa in upravljanjem premoženja podjetja" , kjer se obravnava širša struktura avtorizacije, in z vprašanjem, ali podjetje postavlja zahteve svojim lastnima dobaviteljem, saj je upravljanje zunanjega dostopa v praksi pogosto del iste politike verige.

Kje je to: člen 21 odstavek 2, točki (d) in (i)

Člen 21 odstavek 2 Direktive (EU) 2022/2555 navaja pod (i) "politika nadzora dostopa" kot en od desetih obveznih ukrepov ter pod (d) varnost dobaviteljske verige vključno z razmerjem do dobaviteljev — zunanji dostop spada pod oboje. V ISO/IEC 27001 Annex A so ustrezni nadzorni ukrepi za upravljanje dostopa in razmerja s ponudniki razdelani na ravni nadzora, kar pojasnjuje, zakaj naročnik pogosto prosi za specifično številko nadzora Annex A namesto za sam besedilo direktive. Za podjetja, ki spadajo pod nizozemsko preusmeritveno pravilo, se ta obveznost pojavi v Zakonu o kibernetski varnosti, ki začne veljati 15. avgusta 2026.