miért vagyok felelős a szállítóim biztonságáért

A lánc olyan erős, mint a leggyengébb szállító

A szállítói biztonsággal kapcsolatos felelősség az alapvető és fontos szervezetek terhe, mivel saját digitális biztonsága nagymértékben más szervezetek rendszereinek, szoftverének és szolgáltatásainak függvénye. Egy szervezet gondosan megvédheti saját hálózatát, de ha egy szállító, amely hozzáféréssel rendelkezik ezekhez a rendszerekhez, gyengén védett, akkor egy olyan belépési pont jön létre, amely megkerüli a szervezet saját intézkedéseit. Ezért az irányítási kötelezettség nem csak a szervezet saját falait vizsgálja, hanem az egész beszerzési láncot mögötte.

Ez a gyakorlatban sokkal több vállalkozást érint, mint csak a kötelezett szervezeteket. Egy alapvető vagy fontos szervezet, amely értékelnie kell láncát, ezt az értékelést gyakran továbbítja szállítóinak — kérdőív vagy szerződési kötelezettség formájában —, még akkor is, ha ezek a szállítók maguk nem tartoznak a törvény hatálya alá. Aki ilyen biztonsági kérdőívet kap egy ügyfeltől észreveszi annak következtében az NIS2 hatásait anélkül, hogy maga alá tartozna. Mely intézkedések jönnek szóba, leírás található: a tíz intézkedéshez, amelyeket az irányelv megkülönböztet.

Ahol ez az irányítási kötelezettségből fakad

A NIS2-irányelv 21. cikkének (2) bekezdése a beszerzési lánc biztonságát kifejezetten az irányítási kötelezettség alá tartozó tíz intézkedés részének nevezik, beleértve a közvetlen szállítókkal és szolgáltatók közötti kapcsolatok biztonsági vonatkozásait. A Cyberbeveiligingswet ezt a kötelezettséget átveszi a holland jogszabályokba. Az NCSC kifejtette, hogy ez az irányítási kötelezettség kockázatorientált: egy szervezetnek fel kell térképeznie, hol vannak kockázatok a láncban, és megfelelő intézkedéseket kell ellenük tennie, amely a gyakorlatban gyakran azt jelenti, hogy szállítókat kérnek fel biztonsági bizonyítékaik bemutatására. Az ISO/IEC 27001 A mellékletében olyan kezelési intézkedések találhatóak, amelyek a szállítói kapcsolatokat kezelik, és ezért gyakran referenciakereteként jelennek meg az ilyen értékelésekben.