NIS2 i łańcuch dostaw: czego mogą wymagać od Twojej firmy?

01

Dlaczego wymagania docierają do dostawców

NIS2 obejmuje zarządzanie ryzykiem cyberbezpieczeństwa, w tym bezpieczeństwo łańcucha dostaw i relacji z dostawcami. Organizacje objęte regulacją muszą rozumieć zależności, które mogą wpłynąć na ich usługi.

Dostawca systemu, integracji, hostingu, utrzymania lub procesu operacyjnego może więc otrzymać ankietę, wymagania umowne, obowiązek informowania o incydencie albo potrzebę przedstawienia testów.

02

Co warto przygotować

Zakres powinien być proporcjonalny do usługi i dostępu. Inne dowody będą potrzebne dla publicznej strony, a inne dla dostawcy mającego stały dostęp do danych lub krytycznych systemów.

• inwentaryzacja usług, danych i uprawnień;
• właściciel bezpieczeństwa i kontakt incydentowy;
• zarządzanie dostępem, aktualizacjami i podatnościami;
• kopie zapasowe oraz test odtworzenia;
• ciągłość działania i zależności od podwykonawców;
• terminy powiadamiania i współpraca przy incydencie.

03

Umowa musi odpowiadać rzeczywistości

Nie należy przyjmować zobowiązań, których firma nie potrafi wykonać, na przykład nierealnego czasu zgłoszenia bez dyżuru i monitoringu. Wymagania trzeba przełożyć na proces, role i dostępne narzędzia.

Warto także ograniczyć prawo audytu do uzasadnionego zakresu, chronić informacje innych klientów i ustalić sposób przedstawiania dowodów bez ujawniania wrażliwych szczegółów bezpieczeństwa.

04

Ocena zakresu prawnego

Dyrektywa jest wdrażana do prawa krajowego, dlatego ostateczny zakres obowiązków należy sprawdzić według aktualnych polskich przepisów, sektora, wielkości i rodzaju usługi.

Niezależnie od formalnego statusu podstawowe działania zwiększają odporność i wiarygodność w przetargach: znane zasoby, kontrolowany dostęp, testowane kopie, reakcja na incydent i zarządzanie podwykonawcami.