γιατί λαμβάνω απαιτήσεις ασφάλειας αν δεν υπάγομαι ο ίδιος στο NIS2

Η αλυσίδα προμηθευτών μεταφέρει την υποχρέωση διαχείρισης κινδύνων στους προμηθευτές

Αυτό συμβαίνει λόγω του τρόπου με τον οποίο έχει δομηθεί η υποχρέωση διαχείρισης κινδύνων. Ένας οργανισμός που υπόκειται ο ίδιος στην Οδηγία NIS2, δεν πρέπει μόνο να φέρει τη δική του ασφάλεια σε τάξη, αλλά και να αξιολογήσει πόσο ασφαλείς είναι οι δικοί του προμηθευτές και πάροχοι υπηρεσιών — αυτό αποτελεί μέρος του τι σημαίνει η υποχρέωση διαχείρισης κινδύνων σε απλή γλώσσα. Αυτή η υποχρέωση ξεπερνά την ίδια την αλυσίδα προμηθευτών. Ένας υποχρεωμένος οργανισμός δεν μπορεί λοιπόν να περιορίζεται μόνο στην ασφάλεια των δικών του συστημάτων· πρέπει επίσης να έχει όραμα για τους κινδύνους που προέρχονται μέσω πρωτοκαθέδρων προμηθευτών, κατασκευαστών λογισμικού και παρόχων υπηρεσιών. Εξ ου και η λίστα ερωτήσεων, η συμβατική απαίτηση ή το αίτημα για την παροχή αποδεικτικού στοιχείου.

Για τον παραλήπτη τέτοιας λίστας ερωτήσεων, αυτό δεν σημαίνει αυτόματα ότι ο δικός του οργανισμός υπόκειται στην Οδηγία NIS2. Σημαίνει ότι ένας πελάτης που υπόκειται εκεί, έχει υποχρέωση να το ελέγξει στους δικούς του προμηθευτές. Όποιος δεν είναι μόνος του υποχρεωμένος αλλά βρίσκεται στην αλυσίδα προμηθευτών ενός υποχρεωμένου οργανισμού, αντιμετωπίζει τέτοιου είδους ερωτήσεις — σχετικά με τον έλεγχο πρόσβασης, σχετικά με την αναφορά περιστατικών, σχετικά με μέτρα ασφάλειας — χωρίς να υπάρχει δική του υποχρέωση καταχώρισης ή αναφοράς προς τις αρχές επιβολής. Όποιος θέλει να ξέρει με ακρίβεια αν ο δικός του οργανισμός υπόκειται επίσης και ανεξάρτητα από αυτά στην Οδηγία, μπορεί να το ελέγξει μέσω του ερωτήματος πώς ξέρεις αν η δική σου επιχείρηση υπόκειται στο NIS2. Για όσους έχουν ήδη τέτοια λίστα ερωτήσεων στο γραφείο, υπάρχει ξεχωριστή εξήγηση σχετικά με τι να κάνεις αν ένας πελάτης ζητήσει μια λίστα ερωτήσεων ασφάλειας.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 της Οδηγίας NIS2

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει ρητώς την ασφάλεια της αλυσίδας προμηθευτών και τη σχέση με τους προμηθευτές ως μέρος των δέκα μέτρων που πρέπει να λάβουν οι ουσιώδεις και σημαντικοί οργανισμοί. Αυτή η υποχρέωση έχει υιοθετηθεί για την Ολλανδία στον Νόμο περί Κυβερνοασφάλειας. Το NCSC επισημαίνει στην οδηγίες του σχετικά με την υποχρέωση διαχείρισης κινδύνων ότι αυτή η ευθύνη της αλυσίδας στην πράξη οδηγεί σε λίστες ερωτήσεων και συμβατικές απαιτήσεις προς τους προμηθευτές που δεν υπόκεινται οι ίδιοι στο νόμο.