miks saan küberjulgeoleku nõudeid, kui ise NIS2 regulatsiooni alla ei kuulu

Tarneseehitus kannab ohu vähendamise kohustust edasi tarnijatele

See tuleneb sellest, kuidas ohu vähendamise kohustus on üles ehitatud. Organisatsioon, mis ise Direktiivi (EU) 2022/2555 alla kuulub, peab mitte ainult oma turvalisuse korda saatma, vaid ka hindama, kui turvaliselt teevad seda tema tarnijad ja teenuse pakkujad — see on osa millest ohu vähendamise kohustus tavakõnes aru saadaKuigi see kohustus ulatub üle oma kette. Reguleeritud organisatsioon ei saa piirduda ainult oma süsteemide turvamisega; ta peab olema kursis ka riskidega, mis tulevad allikute, tarkvara partnerite ja teenuse pakkujate kaudu. Seepärast küsitlus, lepingutingimus või taotlus tõendusmaterjali esitamiseks.

Sellise küsitluse vastuvõtjale ei tähenda see automaatselt, et tema organisatsioon ise Direktiivi (EU) 2022/2555 alla kuulub. See tähendab, et klient, kes seal ise kuulub, on kohustatud seda oma tarnijate juures kontrollima. Kes ise reguleeritud pole, kuid asub reguleeritud organisatsiooni tarnimisahelas, saab seega seda tüüpi küsimustega — juurdepääsu kontrolli, juhtumi teatamise, turvatusmeetmete kohta — ilma et sellega kaasne registreerimis- ega teatamiskohustus järelevalveasutustele. Kes täpselt tahab teada, kas tema organisatsioon ise ka muul viisil Direktiivi alla kuulub, saab seda kontrollida kuidas teada, kas sinu ettevõte kuulub Direktiivi (EU) 2022/2555 allaKellel selline küsitlus juba laual on, saab lugeda kuidas tegutseda, kui klient palub turvalisuse küsitlust.

Kust see tuleneb: Direktiivi (EU) 2022/2555 artikkel 21 lõige 2

Direktiivi (EU) 2022/2555 artikkel 21 lõige 2 mainib tarnimisahela turvamist ja seost tarnijatega selgesõnaliselt kui osa kümnest meetmest, mida reguleeritud ja suurettevõtted peavad rakendama. See kohustus on Hollandis võetud üle Küberturvalisuse seadusesse. NCSC selgitab oma juhendis ohu vähendamise kohustuse kohta, et see ahelajärgne vastutus viib praktikas küsitlusteni ja lepingutingimusteni tarnijate suunal, kes ise seaduse alla ei kuulu.