γιατί είμαι υπεύθυνος για την ασφάλεια των προμηθευτών μου

Η αλυσίδα είναι τόσο ισχυρή όσο ο ασθενέστερος προμηθευτής

Η ευθύνη για την ασφάλεια των προμηθευτών βαρύνει τους οργανισμούς που έχουν χαρακτηριστεί ως κρίσιμοι ή σημαντικοί, επειδή η δική τους ψηφιακή ασφάλεια εξαρτάται σε μεγάλο βαθμό από τα συστήματα, το λογισμικό και τις υπηρεσίες άλλων. Ένας οργανισμός μπορεί να προστατεύσει καλά το δικό του δίκτυο, αλλά αν ένας προμηθευτής που έχει πρόσβαση σε αυτά τα συστήματα δεν είναι καλά προστατευμένος, δημιουργείται ένα σημείο αδυναμίας που παρακάμπτει τα δικά του μέτρα. Η υποχρέωση διαχείρισης κινδύνου δεν κοιτάζει επομένως μόνο τα τοιχώματα του ίδιου του οργανισμού, αλλά ολόκληρη την αλυσίδα παροχής που βρίσκεται πίσω από αυτόν.

Στην πράξη αυτό επηρεάζει πολλά περισσότερες επιχειρήσεις από τους ίδιους τους υπόχρεους οργανισμούς. Ένας κρίσιμος ή σημαντικός οργανισμός που πρέπει να αξιολογήσει την αλυσίδα του, συχνά αποστέλλει αυτή την αξιολόγηση με τη μορφή ενός ερωτηματολογίου ή μιας σύμβασης στους προμηθευτές του — ακόμη κι αν αυτοί οι προμηθευτές δεν υπόκεινται στον κανονισμό. Αν λάβουν ένα τέτοιο ερωτηματολόγιο κυβερνοασφάλειας από έναν πελάτη βλέπουν τις συνέπειες της NIS2 χωρίς να υπόκεινται αυτοί ο ίδιοι σε αυτήν. Ποια μέτρα εμπλέκονται, περιγράφονται στο τα δέκα μέτρα που διακρίνει η Οδηγία.

Από πού προέρχεται αυτό στην υποχρέωση διαχείρισης κινδύνου

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει ρητώς την ασφάλεια της αλυσίδας παροχής ως μέρος των δέκα μέτρων που υπάγονται στην υποχρέωση διαχείρισης κινδύνου, συμπεριλαμβανομένων των πτυχών ασφάλειας των σχέσεων με άμεσους προμηθευτές και παρόχους υπηρεσιών. Ο Νόμος Κυβερνοασφάλειας ενσωματώνει αυτή την υποχρέωση στη νομοθεσία της Ολλανδίας. Το NCSC διευκρινίζει ότι αυτή η υποχρέωση διαχείρισης κινδύνου είναι βασισμένη στον κίνδυνο: ένας οργανισμός πρέπει να χαρτογραφήσει τους κινδύνους στην αλυσίδα και να θέσει κατάλληλα μέτρα σε αντίθεση με αυτούς, κάτι που στην πράξη συχνά σημαίνει ότι οι προμηθευτές ζητούνται να παράσχουν αποδείξεις για την ασφάλειά τους. Το ISO/IEC 27001 προσφέρει στο Παράρτημα A ένα σύνολο μέτρων ελέγχου που αφορούν τις σχέσεις με προμηθευτές και αυτά συχνά εμφανίζονται ως πλαίσιο αναφοράς σε αυτό το είδος αξιολογήσεων.