NIS 2 i lanac opskrbe: što to znači za dobavljače
Ukratko
NIS 2 obvezuje ključne i važne subjekte da upravljaju rizicima svojih dobavljača. Zato i male tvrtke koje nisu izravni obveznici sve češće dobivaju sigurnosne upitnike i ugovorne klauzule.
Zašto dobavljači?
Veliki napadi često započinju kod manjeg dobavljača (IT servis, računovodstvo, održavanje, logistika). Direktiva zato traži da obveznici procjenjuju sigurnosne prakse izravnih dobavljača i uzimaju u obzir njihove ranjivosti i kvalitetu razvoja i održavanja proizvoda.
Što klijenti najčešće traže
- Sigurnosni upitnik o politikama, pristupu, kopijama, incidentima
- Ugovorne klauzule: obveza dojave incidenta u roku od nekoliko sati, pravo na reviziju, ograničenja podizvođača
- Dokazi: ISO 27001 certifikat ili ekvivalent, rezultati penetracijskih testova
- MFA i zaštićen pristup njihovim sustavima i podacima
- Izobrazba zaposlenika koji rade s podacima klijenta
Kako se pripremiti (minimalni paket)
- Uvedite MFA, upravljanje zakrpama i izolirane sigurnosne kopije.
- Napišite kratke politike (pristup, incidenti, kopije, mobilni uređaji).
- Definirajte kontakt i proces dojave incidenta klijentima.
- Pripremite standardizirani odgovor na sigurnosni upitnik.
- Razmotrite ISO 27001 ako ciljate velike klijente.
Ako pružate IT usluge drugim tvrtkama (MSP/MSSP), možda ste izravno obuhvaćeni – provjerite popis sektora.
Izvori
- Direktiva (EU) 2022/2555 (NIS 2) – EUR-Lex
- Narodne novine – Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba (NN 135/2024)
- ENISA – Agencija EU za kibernetičku sigurnost
- Nacionalni CERT
Sadržaj je informativan i ne predstavlja pravni savjet. Provjerite aktualni tekst propisa.