Ръководство · Директива NIS2, чл. 21, ал. 2, буква „г“

Сигурност на веригата на доставки

Как да оценявате, договаряте и наблюдавате киберриска от преките си доставчици и доставчици на услуги — често най-слабото звено в защитата.

Картографиране · класификация · due diligence · договорни клаузи · SBOM · непрекъснат мониторинг

§ Какво изисква NIS 2

Чл. 21, ал. 2, буква „г“: мерки за „сигурност на веригата на доставки, включително аспекти, свързани със сигурността, отнасящи се до отношенията между всеки субект и неговите преки доставчици или доставчици на услуги“.

Това превръща сигурността на доставчиците от еднократна проверка в постоянен процес на управление: трябва да оценявате, наблюдавате и управлявате киберриска по цялата си верига на стойност, с доказателства.

→ Стъпки за прилагане

1

Картографирайте доставчиците

Съставете регистър на всички преки доставчици и подизпълнители с достъп до данни или системи — включително неформалните връзки. Гледайте „отвън навътре“ какво е свързано със средата ви, не разчитайте само на договорната база.

2

Класифицирайте по риск

Групирайте доставчиците според това до какво имат логически или физически достъп (отдалечен достъп, инженерен достъп, промяна на производствени данни) и какво въздействие биха имали при инцидент.

3

Политика за сигурност на веригата

Формални правила за подбор и оценка на доставчиците: критерии за избор, оценка на киберпрактиките им и на устойчивостта на предоставяните ИКТ продукти и услуги.

4

Due diligence и оценка

Квалифицирайте всеки доставчик — сертификати (напр. ISO 27001), история на инциденти, ниво на сигурност. Изберете мерки според уязвимостите на конкретния доставчик.

5

Договорни клаузи

Вградете изисквания за сигурност във всеки договор:

  • минимални мерки за сигурност и обучение/осведоменост на персонала;
  • задължение за уведомяване при инциденти и пробиви;
  • право на одит и проверка;
  • изисквания към подизпълнителите по веригата.
6

SBOM и прозрачност на софтуера

Поддържайте списък на софтуерните компоненти и техните доставчици (Software Bill of Materials), за да реагирате бързо при нови уязвимости.

7

Непрекъснат мониторинг

NIS 2 очаква постоянна, основана на доказателства видимост към риска от доставчиците — не само периодични оценки. Наблюдавайте и реагирайте на промени в риска.

8

Управление и отговорност

Включете отделите „Доставки“ и „Правен“ в оценката на ИКТ риска; вградете киберсигурността във всяко споразумение и докладвайте на ръководството.

✓ Контролен списък

  • Актуален регистър на доставчиците и подизпълнителите
  • Класификация по критичност и достъп
  • Политика за сигурност на веригата на доставки
  • Процес за due diligence преди наемане
  • Стандартни договорни клаузи за киберсигурност
  • Право на одит и уведомяване при инциденти
  • SBOM за ключовия софтуер
  • Непрекъснат мониторинг и периодичен преглед

🗎 Доказателства за одит

  • Регистър на доставчиците с нива на риск;
  • Въпросници/оценки и сертификати на доставчици;
  • Договори с клаузи за сигурност и одит;
  • Записи от мониторинг и преразглеждания;
  • SBOM и реакция при уязвимости в компоненти.

Свързан инструмент Регистър на доставчиците · Анализ на риска · GAP анализ

↗ Източници

DLA Piper — Supply chain security · Bitsight — NIS2 supply chain · Supply chain security & NIS2 · What actual compliance looks like.