защо съм отговорен за киберсигурността на моите доставчици

Веригата е толкова силна, колкото най-слабият й доставчик

Отговорността за защитата на доставчиците лежи на критичните и важните субекти, тъй като собствената им дигитална сигурност до голяма степен зависи от системите, софтуерът и услугите на други организации. Една организация може да защити добре собствената си мрежа, но ако доставчик с достъп до тези системи е слабо защитен, това създава уязвимост, която заобикаля собствените мерки. Обязанностите за управление на риска затова не се фокусират само върху защитата на собствената организация, а върху цялата верига на доставки зад нея.

Това засяга практически много повече компании от самите задължени организации. Когато критичен или важен субект трябва да оцени своята верига на доставки, често передава тази оценка под формата на списък с въпроси за сигурност или договорно изискване на своите доставчици — дори и ако тези доставчици сами не попадат под закона. Когато получите списък с въпроси за сигурност от клиента тогава осъзнавате последствията на NIS2, дори да не сте преки адресати на закона. Кои мерки се прилагат в този контекст е описано в десетте мерки, които указанието разглежда.

Откъде произтича това от обязанността за управление на риска

Член 21, параграф 2 на Указание (EU) 2022/2555 изрично назовава защитата на веригата на доставки като част от десетте мерки, включени в обязанностите за управление на риска, с включване на аспектите на сигурността на отношенията с преки доставчици и доставчици на услуги. Законът за кибербезопасност въвежда това задължение в нидерландското законодателство. NCSC уточнява, че това управление на риска е ориентирано към риска: един субект трябва да определи където има рискове в веригата и да приложи съответни мерки срещу тях, което на практика често означава, че от доставчиците се изисква доказателство за техния уровен на защита. ISO/IEC 27001 предоставя в Приложение A набор от мерки за управление, които третират отношенията с доставчици и затова често служат като референтна рамка при такива оценки.