Art. 8 ust. 2 znowelizowanej ustawy o KSC wskazuje, że system zarządzania bezpieczeństwem informacji musi uwzględniać bezpieczeństwo łańcucha dostaw produktów ICT, usług ICT i procesów ICT. Obowiązek ten odzwierciedla art. 21 dyrektywy NIS 2 i wynika z rosnącej liczby incydentów, których źródłem są podatności w oprogramowaniu lub sprzęcie dostarczanym przez podmioty trzecie.
Każdy podmiot kluczowy i ważny powinien opracować i wdrożyć politykę bezpieczeństwa łańcucha dostaw. Dokument ten powinien określać zasady identyfikacji, oceny i zarządzania ryzykami związanymi z dostawcami produktów i usług ICT krytycznych dla działalności podmiotu.
Umowy z dostawcami ICT powinny zawierać klauzule zapewniające odpowiedni poziom bezpieczeństwa. Ustawa i wytyczne ENISA wskazują na konieczność uwzględnienia w umowach konkretnych wymagań dotyczących ochrony informacji, reagowania na incydenty oraz prawa do audytu.
| Klauzula umowna | Opis |
|---|---|
| Poufność i ochrona danych | Zobowiązanie dostawcy do ochrony informacji podmiotu zgodnie z określonymi standardami |
| Zgłaszanie incydentów | Obowiązek niezwłocznego informowania o incydentach bezpieczeństwa dotyczących dostarczanych produktów/usług |
| Prawo do audytu | Uprawnienie podmiotu do przeprowadzenia audytu bezpieczeństwa u dostawcy |
| Weryfikacja personelu | Wymaganie sprawdzenia niekaralności pracowników dostawcy mających dostęp do systemów podmiotu |
| Zarządzanie podatnościami | Zobowiązanie dostawcy do terminowego dostarczania poprawek bezpieczeństwa |
| Podwykonawcy | Obowiązek uzyskania zgody na powierzenie prac podwykonawcom oraz stosowanie analogicznych wymagań |
Wdrożenie polityki bezpieczeństwa łańcucha dostaw to dopiero początek. Podmiot musi prowadzić ciągły monitoring dostawców i okresowo weryfikować, czy spełniają oni wymagania bezpieczeństwa. Zaleca się przeprowadzanie przeglądu co najmniej raz w roku oraz po każdym istotnym incydencie bezpieczeństwa.
Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.
Ta strona wykorzystuje wyłącznie niezbędne pliki cookie zapewniające prawidłowe działanie serwisu (np. zapamiętanie Twojego wyboru w tym oknie). Nie stosujemy plików cookie marketingowych ani analitycznych. Szczegóły znajdziesz w polityce prywatności.