Łańcuch dostaw9 min czytania

Bezpieczeństwo łańcucha dostaw KSC / NIS 2

Wymogi ustawowe

Art. 8 ust. 2 znowelizowanej ustawy o KSC wskazuje, że system zarządzania bezpieczeństwem informacji musi uwzględniać bezpieczeństwo łańcucha dostaw produktów ICT, usług ICT i procesów ICT. Obowiązek ten odzwierciedla art. 21 dyrektywy NIS 2 i wynika z rosnącej liczby incydentów, których źródłem są podatności w oprogramowaniu lub sprzęcie dostarczanym przez podmioty trzecie. Szczególną uwagę należy zwrócić na niezależność systemów informacyjnych od pojedynczych dostawców oraz na klauzule KSC w kontraktach B2B z dostawcami.

Atak na łańcuch dostaw (supply chain attack) to jeden z najpoważniejszych wektorów zagrożeń. Incydent u jednego dostawcy może dotknąć setki organizacji jednocześnie — jak pokazał przypadek SolarWinds czy MOVEit.

Polityka bezpieczeństwa łańcucha dostaw

Każdy podmiot kluczowy i ważny powinien opracować i wdrożyć politykę bezpieczeństwa łańcucha dostaw. Dokument ten powinien określać zasady identyfikacji, oceny i zarządzania ryzykami związanymi z dostawcami produktów i usług ICT krytycznych dla działalności podmiotu, w tym dostawcami usług chmurowych.

  • Inwentaryzacja dostawców ICT z podziałem na krytycznych i niekrytycznych
  • Kryteria wyboru i oceny dostawców (certyfikacje, reputacja, lokalizacja)
  • Procedury due diligence przed zawarciem umowy
  • Okresowa ocena ryzyka dostawców (co najmniej raz w roku)
  • Plan działania w przypadku utraty dostawcy krytycznego
  • Uwzględnienie decyzji o dostawcy wysokiego ryzyka (art. 67b ustawy)

Wymagania umowne wobec dostawców

Umowy z dostawcami ICT powinny zawierać klauzule zapewniające odpowiedni poziom bezpieczeństwa. Ustawa i wytyczne ENISA wskazują na konieczność uwzględnienia w umowach konkretnych wymagań dotyczących ochrony informacji, reagowania na incydenty oraz prawa do audytu.

Klauzula umownaOpis
Poufność i ochrona danychZobowiązanie dostawcy do ochrony informacji podmiotu zgodnie z określonymi standardami
Zgłaszanie incydentówObowiązek niezwłocznego informowania o incydentach bezpieczeństwa dotyczących dostarczanych produktów/usług
Prawo do audytuUprawnienie podmiotu do przeprowadzenia audytu bezpieczeństwa u dostawcy
Weryfikacja personeluWymaganie sprawdzenia niekaralności pracowników dostawcy mających dostęp do systemów podmiotu
Zarządzanie podatnościamiZobowiązanie dostawcy do terminowego dostarczania poprawek bezpieczeństwa
PodwykonawcyObowiązek uzyskania zgody na powierzenie prac podwykonawcom oraz stosowanie analogicznych wymagań

Monitoring i przegląd dostawców

Wdrożenie polityki bezpieczeństwa łańcucha dostaw to dopiero początek. Podmiot musi prowadzić ciągły monitoring dostawców i okresowo weryfikować, czy spełniają oni wymagania bezpieczeństwa. Zaleca się przeprowadzanie przeglądu co najmniej raz w roku oraz po każdym istotnym incydencie bezpieczeństwa.

  1. Przeprowadź inwentaryzację wszystkich dostawców ICT i określ poziom krytyczności.
  2. Opracuj kryteria oceny bezpieczeństwa dostawców (ankieta, certyfikaty, wyniki audytów).
  3. Wprowadź wymagania bezpieczeństwa do wzorców umów z dostawcami.
  4. Monitoruj publicznie dostępne informacje o podatnościach w produktach dostawców.
  5. Reaguj na decyzje o uznaniu dostawcy za dostawcę wysokiego ryzyka.
FAQ4 pytania

Najczęstsze pytania

Co ustawa o KSC mówi o łańcuchu dostaw?
Art. 8 ust. 1 pkt 2 lit. e i ust. 2 KSC nakładają obowiązek oceny ryzyka pochodzącego od dostawców produktów ICT, usług ICT i procesów ICT oraz uwzględnienia go w SZBI. Ocena obejmuje praktyki bezpieczeństwa dostawców, jakość ich produktów i zarządzanie podatnościami. Dotyczy bezpośrednich dostawców oraz — w uzasadnionych przypadkach — podwykonawców.
Jak ocenić dostawcę ICT pod kątem KSC?
Standardowe elementy oceny: (1) kwestionariusz bezpieczeństwa (np. SIG-lite, CAIQ), (2) audyt dostawcy — własny lub certyfikat ISO 27001 / SOC 2 / C5, (3) klauzule umowne (DPA, SLA, prawo audytu, obowiązek raportowania incydentów), (4) ocena geografii (lokalizacja przetwarzania, jurysdykcja), (5) analiza finansowa i reputacyjna. Wyniki aktualizuje się okresowo.
Czy dostawca ICT musi być zarejestrowany w wykazie KSC?
Nie — wpis do wykazu S46 dotyczy podmiotów objętych obowiązkami KSC (PK/PW). Dostawca usług ICT nieświadczący usługi kwalifikowanej nie musi być wpisany, ale musi spełniać wymogi umowne i pozostawać w gotowości do audytu. Dostawcy usług zarządzanych cyberbezpieczeństwa (MSSP) są podmiotami kluczowymi z mocy ustawy (art. 5 ust. 1 pkt 3).
Co zrobić z dostawcą nieakceptowalnym pod kątem ryzyka?
Trzy ścieżki: (1) wdrożyć kontrole kompensacyjne (dodatkowa segmentacja, szyfrowanie, monitoring, ograniczenie dostępu), (2) renegocjować umowę ze wzmocnionymi klauzulami i prawem wycofania, (3) rozwiązać relację i wymienić dostawcę. Decyzja powinna być udokumentowana w SZBI wraz z analizą ryzyka i planem migracji.
Potrzebujesz wsparcia we wdrożeniu?

Sprawdzimy status Twojej organizacji, wskażemy obowiązki i zaproponujemy ścieżkę do zgodności z KSC. Pierwsza konsultacja bezpłatna.

🍪 Szanujemy Twoją prywatność

Ta strona wykorzystuje wyłącznie niezbędne pliki cookie zapewniające prawidłowe działanie serwisu (np. zapamiętanie Twojego wyboru w tym oknie). Nie stosujemy plików cookie marketingowych ani analitycznych. Szczegóły znajdziesz w polityce prywatności.