Kāpēc es saņemu drošības prasības, ja pats neesu NIS2 pludināts

Piegādes ķēde pārnes aprūpes pienākumu piegādātājiem

Tas ir saistīts ar to, kā aprūpes pienākums ir uzbūvēts. Organizācijai, kura pati ietilpst NIS2 direktīvā, jānev tikai jāsakārto paša draudzības pasākumi, bet arī jānovērtē, cik draugi ir viņas piegādātāji un pakalpojumu sniedzēji — tas ir daļa no ko aprūpes pienākums nozīmē parastā valodā. Šis pienākums sniedzas pāri pašas ķēdes robežām. Atbildīga organizācija nevar iztikt tikai ar paša sistēmu aizsardzību; viņai ir jābūt arī pārredzamībai par riskiem, kas nāk caur piegādes ķēdes partneriem, programmatūras uzņēmumiem un pakalpojumu sniedzējiem. Tāpēc jautājumu saraksts, līguma prasība vai lūgums sniegt pierādījumus.

Tam, kurš saņem šādu jautājumu sarakstu, tas automātiski nenozīmē, ka viņa organizācija arī ietilpst NIS2 direktīvā. Tas nozīmē, ka klients, kurš tur patiešām ietilpst, ir pienākums to pārbaudīt saviem piegādātājiem. Kas pats nav atbildīgs, bet atrodas atbildīgas organizācijas ķēdē, saskaras ar tiem pašiem jautājumiem — par piekļuves kontroli, par incidentu ziņošanu, par draudzības pasākumiem — bez tam, ka klāt būtu pašam reģistrācijas vai ziņošanas pienākums pieņemantajām iestādēm. Kurš vēlas zināt, vai viņa organizācija ietilpst direktīvā neatkarīgi no tā, var to pārbaudīt, izmantojot jautājums par to, kā noskaidrot, vai tava uzņēmuma ietilpst NIS2. Tam, kuram jautājumu saraksts jau ir uz galda, ir atsevišķs skaidrojums par ko darīt, ja klients lūdz draudzības jautājumu sarakstu.

Kur tas izriet: NIS2 direktīvas 21. pantā 2. punkts

NIS2 direktīvas 21. pantā 2. punkts draudzības piegādes ķēdes un attiecības ar piegādātājiem skaidri min kā daļu no desmit pasākumiem, ko ņemt būtiskajām un svarīgajām entitātēm. Nīderlande šo pienākumu ir pārņēmusi Kiberdroširības likumā. NCSC savā aprūpes pienākuma skaidrojumā izskaidro, ka šī ķēdes atbildība praktiski noved pie jautājumu sarakstos un līguma prasībās piegādātāju virzienā, kuri paši uz likumu neattiecas.