de ce sunt responsabil pentru securitatea furnizorilor mei

Lanțul este la fel de puternic ca cel mai slab furnizor

Responsabilitatea pentru securitatea furnizorilor revine entităților esențiale și importante, deoarece propria lor siguranță digitală depinde în mare măsură de sistemele, software-ul și serviciile altor organizații. O organizație poate proteja bine propria rețea, dar dacă un furnizor cu acces la acele sisteme este slab securizat, se creează acolo un vector de atac care ocolește măsurile proprii. Obligația de diligență privind securitatea ciber se uită prin urmare nu doar la limitele organizației proprii, ci la întregul lanț de aprovizionare din spatele acesteia.

Aceasta afectează în practică mult mai multe companii decât doar organizațiile obligate în mod direct. O entitate esențială sau importantă care trebuie să evalueze lanțul său de aprovizionare transmite adesea această evaluare sub forma unui chestionar de securitate sau a unei clauze contractuale furnizorilor săi — chiar dacă acei furnizori nu cad ei înșiși sub lege. Cine un chestionar de securitate de la un client primește, observă prin urmare consecințele NIS2 fără a cădea sub obligația acesteia. Ce măsuri intră în joc în acest context este descris la cele zece măsuri pe care le distinge directiva.

Unde acest lucru decurge din obligația de diligență privind securitatea ciber

Articolul 21 alineatul 2 din Directiva NIS2 menționează în mod explicit securitatea lanțului de aprovizionare ca parte a celor zece măsuri care cad sub obligația de diligență privind securitatea ciber, inclusiv aspectele de securitate ale relațiilor cu furnizorii și prestatorii de servicii direcți. Legea privind securitatea cibernetică transpune această obligație în legislația neerlandeză. NCSC clarifică faptul că această obligație de diligență privind securitatea ciber se bazează pe evaluarea riscurilor: o entitate trebuie să identifice unde se află riscurile în lanț și să stabilească măsuri proporționale în raport cu acestea, ceea ce în practică înseamnă adesea că furnizorii sunt rugați să furnizeze dovezi ale securității lor. ISO/IEC 27001 oferă în Anexa A un set de măsuri de control care abordează relațiile cu furnizorii și care prin urmare apare frecvent ca cadru de referință în acest tip de evaluări.