A NIS2 direktíva 21(2)(d) cikke kötelezi a cégeket arra, hogy minden közvetlen szállítójukkal szerződésben rögzítsék a biztonsági követelményeket. Ez a felelősség gyakran meglepetésként érinti a vállalatokat — a szoftverforgalmazóktól a felhőszolgáltatókon át a karbantartó cégekig.
Letöltés: Szállítói Ellenőrzőlista →A NIS2 direktíva 21(2)(d) cikke teljes körűen szabályozza az ellátási lánc biztonságát. Értelmezése szerint minden szervezetnek – függetlenül az iparágtól – szerződésben meg kell követelnie a szállítóitól bizonyos biztonsági standardok betartását.
Ez nem egy ajánlás, hanem kötelező jogi követelmény. A szerződéseknek tartalmazniuk kell:
A magyarországi szervezetek számára a Nemzeti Kibervédelmi Intézet (NKI) is útmutatást nyújt a megfelelőségről.
Sok vállalatnak az az első meglepetése, hogy mennyire tág a szállító fogalma. Nem csak az IT-szállítók számítanak.
Szállítók a NIS2 értelmezésében:
A kulcskérdés: akinek bármilyen hozzáférése van az Ön kritikus rendszerihez vagy adataihoz, az szállító.
A NIS2 nem ír elő pontos szerződési szövegeket, de világos biztonsági követelmények vannak:
A gyakorlatban: álljon fel egy szabványosított szállítói szerződés-melléklet, amelyet minden szállítónak aláírnia kell.
Két fő megközelítés létezik:
1. Kérdőív-alapú értékelés – Saját vagy ipari kérdőíveket (pl. CAIQ – Consensus Assessments Initiative Questionnaire) küld a szállítónak, aki kitölt és visszaküld. Előnye: olcsó, rugalmas. Hátránya: az válaszok gyakran megbízhatatlanok, és nem valós idejű monitoring.
2. Biztonsági értékelési platformok – Olyan rendszerek, mint a SecurityScorecard, BitSight vagy UpGuard folyamatosan figyelik a szállítók kockázati profilját nyílt forráson, DNS-rekordokon, kimutatott sebezhetőségeken és más jelekneken alapulva.
Ajánlás: kombináljuk a kettőt. Kezdjen kérdőívvel (költség-hatékony), majd integrálja a SecurityScorecard-szerű platformokat a kritikus szállítók folyamatos monitorozásához. Az Reglyze típusú ISMS-eszközök beépített szállítói kezelési modullal rendelkeznek.
1–5. nap: Szállító-felderítés – Készítsen listát minden közvetlen szállítóról (szoftver, felhő, kiszervezés, fizikai biztonság). Tüntesse fel az adatkezelést és a rendszerhozzáférés fokát.
6–10. nap: Szerződés-audit – Ellenőrizze, hogy a jelenlegi szerződésekben vannak-e biztonsági és incidens-bejelentési záradékok. Ahol nincsenek, készítsen standardosított melléklet-szöveget.
11–20. nap: Szállítói értékelés – Összeállíthat egy kérdőívet (vagy használjon CAIQ-ot), és küldje meg a szállítóknak. Párhuzamosan regisztráljon egy értékelési platformot (SecurityScorecard ingyenes próba) a kritikus szállítók számára.
21–30. nap: Szerződések frissítése és monitoring beállítása – Az első körös értékelések alapján frissítse az összes szállítói szerződést. Állítson be negyedéves felülvizsgálatot és incidens-bejelentési folyamatot.
A SecurityScorecard olyan egy valós idejű szállítói kockázati szcéna. Automatikusan figyeli a szállító biztonsági helyzetét anélkül, hogy kitöltött kérdőívekre kellene várni.
Hogyan működik:
Magyarország számára releváns: a BitSight és UpGuard hasonló funkciót nyújtanak. Az Reglyze ISMS-szoftver pedig integrálható e platformokkal a teljes szállítói ökoszisztéma kezeléséhez.
A szállító az Ön szervezete felé közvetlenül szerződéses kötelezettséggel rendelkezik. Az alvállalkozó a szállító saját szállítója. A NIS2 szerint azonban mindkettőt azonos biztonsági követelmények alá kell vonni — az Ön szervezete közvetlen szerződésben köteles az alvállalkozókat is biztonsági feltételekhez kötni.
Nem feltétlenül. Az ISO 27001 erős garancia, de a NIS2 nem teszi kötelezővé. Ehelyett a szállítónak dokumentálnia kell a biztonsági gyakorlatait — legyen az belső szabályozás, SOC 2, vagy más bevált keretrendszer. A kritikus szállítók (felhő, szoftver) esetén azonban nagyon ajánlott.
A NIS2 egyedi adattartást nem ír elő, de a magyar adatvédelmi és üzleti gyakorlat alapján javasolt legalább 3 év dokumentáció megőrzése. Az audit-jelentések, incidens-bejelentések és szerződések legalább erre az időszakra maradjanak meg.
Ez kemény helyzetbe hozza Önöket. A gyakorlatban: tárgyaljanak a szállítóval, mutassák meg a NIS2 követelményeket, és ajánljanak fel alternatívát (például harmadik féltől végzett auditok). Ha a szállító megtagadja, értékelni kell a kockázatot és dönteni a folytatásról vagy a szállító cseréről.
A NIS2 szállítói követelményei szigorúak, de végrehajthatóak. Töltse le az ingyenes szállítói ellenőrzőlistát, és kezdje meg a szállító-felderítést még ma. Napi 30 perc alatt beindíthatja a programot.
Letöltés: Szállítói Biztonsági Ellenőrzőlista