prečo dostávam bezpečnostné požiadavky, ak sám som nepodliehajúcim subjektom NIS2

Dodávateľská reťaz prenáša povinnosť starostlivosti na dodávateľov

To je spôsobené tým, ako je povinnosť starostlivosti vytvorená. Organizácia, ktorá sama podlieha smernici NIS2, musí nielen zabezpečiť vlastnú bezpečnosť, ale aj posúdiť, ako bezpeční sú jej dodávatelia a poskytovatelia služieb — to je súčasť čo povinnosť starostlivosti v bežnom jazyku znamená. Táto povinnosť presahuje vlastný dodávateľský reťazec. Povinná organizácia sa teda nemôže uspokojovať len so zabezpečením vlastných systémov; musí mať tiež prehľad o rizikách, ktoré prichádzajú prostredníctvom dodávateľov, softvérových partnerov a poskytovateľov služieb. Odtiaľ pochádza dotazník, zmluvná požiadavka alebo prosba o predloženie dôkazu.

Pre príjemcu takého dotazníka to automaticky neznamená, že jeho vlastná organizácia podlieha smernici NIS2. Znamená to, že klient, ktorý jej podlieha, je povinný to skontrolovať u svojich dodávateľov. Kto nie je sám povinný, ale nachádza sa v dodávateľskom reťazci povinnej organizácie, musí sa teda zaoberať rovnakými druhmi otázok — o kontrole prístupu, o hlasovaní o incidentoch, o bezpečnostných opatreniach — bez toho, aby s tým bola spojená vlastná povinnosť registrácie alebo hlásenia u regulátorov. Kto si chce presne overiť, či jeho organizácia podlieha smernici aj nezávisle od toho, môže to skontrolovať prostredníctvom otázky ako zistiť, či tvoja firma podlieha NIS2. Pre tých, ktorí už majú takýto dotazník na stole, existuje samostatné vysvetlenie o čo robiť, ak klient požiada o dotazník bezpečnosti.

Odkiaľ to vyplýva: článok 21 ods. 2 smernice NIS2

Článok 21 ods. 2 smernice NIS2 výslovne uvádza bezpečnosť dodávateľského reťazca a vzťah s dodávateľmi ako súčasť desiatich opatrení, ktoré musia prijať kľúčové a dôležité subjekty. Táto povinnosť bola pre Holandsko zahrnutá do zákona o kybernetickej bezpečnosti. NCSC vo svojom sprievodcovi o povinnosti starostlivosti vysvetľuje, že táto reťazová zodpovednosť v praxi vedie k dotazníkom a zmluvným podmienkam pre dodávateľov, ktorí sami pod zákon nepadajú.