NIS2 v dobavni verigi: kako odgovoriti na varnostne vprašalnike kupcev

Kaj NIS2 zahteva od vaših kupcev

Člen 21 NIS2 določa ukrepe za obvladovanje tveganj v kibernetski varnosti. Med njimi je tudi varnost dobavne verige: zavezanec mora obravnavati tveganja, ki izhajajo iz odnosov z dobavitelji in ponudniki storitev, ter upoštevati njihovo kakovost in odpornost. Člen 21(3) dodatno poudarja oceno dobavne verige in ranljivosti, povezanih z neposrednimi dobavitelji.

V praksi to pomeni, da kupec ne more samo podpisati pogodbe in pozabiti na dobavitelja. Potrebuje seznam dobaviteljev, oceno tveganja, pogodbene zahteve in dokaz, da so ukrepi ustrezni. Od vas bo zato zahteval odgovore, ki jih lahko poveže s svojim sistemom upravljanja tveganj.

Člen 23 določa poročanje o incidentih: zgodnje opozorilo v 24 urah, obvestilo o incidentu v 72 urah in končno poročilo v enem mesecu. Te obveznosti veljajo za zavezance, vendar se pogosto prenesejo tudi v pogodbe z dobavitelji, ki morajo kupca obvestiti dovolj hitro, da ta lahko izpolni svoj rok.

Kaj to pomeni za dobavitelje

Od dobavitelja se pričakuje, da zna opisati svoje storitve, podatkovne tokove, dostopne pravice, način obveščanja o incidentih in podizvajalce. Kupec želi vedeti, ali lahko ob incidentu dobi pravočasne in uporabne informacije, ali so podatki ustrezno zaščiteni in ali lahko preveri vaše trditve.

Pogosta napaka je, da dobavitelj odgovarja s splošnimi marketinškimi frazami. Kupec potrebuje konkretne odgovore: kdo ima dostop, kje so podatki, kako se beležijo spremembe, kako se obvešča o incidentih in kaj se zgodi ob prekinitvi sodelovanja. Če odgovora ne morete podpreti z dokazom, ga označite kot vrzel in predlagajte načrt zapiranja.

Dobaviteljem ni treba trditi, da so "NIS2 skladni". Bolj koristno je pokazati, katere ukrepe imate, kateri so v pripravi in kako jih boste vzdrževali. Iskrenost je boljša od nedokazljive trditve.

Kako zbrati dokaze brez velikega projekta

Začnite s kontrolno karto: za vsako vprašanje kupca zapišite odgovor, lastnika in dokaz. Dokaz je lahko politika, konfiguracija, zapis o pregledu, poročilo o incidentu ali pogodba s podizvajalcem. Če dokaza ni, je to vrzel, ne "ne velja".

Nato določite prioritete glede na prodajni vpliv. Če kupec zahteva odgovor v nekaj dneh, se osredotočite na tisto, kar najbolj verjetno blokira prodajo: dostop, incidenti, podizvajalci in neprekinjeno poslovanje. Popolna dokumentacija lahko počaka, če je tveganje jasno prikazano in ima načrt.

• Register storitev, podatkov in podizvajalcev.
• Lastnik za vsak varnostni odgovor in dokaz.
• Postopek obveščanja o incidentih in kontaktne osebe.
• Pregled dostopov in način preverjanja pravic.
• Načrt neprekinjenega poslovanja in okrevanja.
• Dokazila o pregledih, popravkih in spremembah.

Slovenija: ZInfV-1

Zakon o informacijski varnosti (ZInfV-1) je bil objavljen v Uradnem listu RS, št. 40/2025, dne 4. junija 2025, in velja od 19. junija 2025. V slovenski pravni red prenaša NIS2 ter ureja nacionalni sistem informacijske in kibernetske varnosti, obveznosti zavezancev, poročanje incidentov in nadzor.

Ali ste zavezanec po ZInfV-1, ni odvisno le od velikosti podjetja. Pomembni so sektor, vrsta storitve in morebitna posebna pravila. Preden v vprašalniku kupcu zatrdite, da ste ali niste zavezanec, preverite veljavno besedilo zakona in se posvetujte s pravnikom. Prav tako preverite, ali velja obveznost registracije in kateri roki veljajo za vašo organizacijo.

Pogoste napake pri odgovarjanju

• Enak odgovor za vse kupce, brez povezave z dejansko storitvijo.
• Trditve o skladnosti brez dokazil in brez lastnika.
• Nepopoln seznam podizvajalcev in lokacij obdelave.
• Ni opredeljenega postopka obveščanja o incidentih.
• Obljuba o rokih, ki jih ekipa ne more izpolniti.
• Nerazlikovanje med vlogo zavezanca in vlogo dobavitelja.

Kaj naredimo v pilotnem pregledu

Na 20-minutnem pogovoru pogledamo vprašalnik ali pogodbo, ki vas blokira, in ugotovimo, kje so največje vrzeli. Nato pripravimo karto odgovorov, dokazov in prioritet. Pravne posledice in status zavezanca preveri vaš pravnik; mi pomagamo pri tehničnem in operativnem delu.