Jakie są obowiązki w zakresie zarządzania bezpieczeństwem łańcucha dostaw?

Podmiot kluczowy oraz podmiot ważny jest obowiązany wdrożyć adekwatne i proporcjonalne środki techniczne i organizacyjne mające zapewnić bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT,Jak od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym. W ramach tego procesu należy uwzględnić podatności związane z dostawcą sprzętu lub oprogramowania jak i ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy sprzętu lub oprogramowania, wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy NIS oraz wyniki postępowania w sprawie uznania za dostawcę wysokiego ryzyka.

Wpisuje się to w proces zarządzania ryzykiem łańcuchów dostaw opisany w poradniku Agencji Unii Europejskiej do Spraw Cyberbezpieczeństwa3. Podmioty kluczowe i podmioty ważne powinny m.in.:

• •
  znać swój łańcuch dostaw, w tym swoich dostawców oraz ryzyka związane z nimi,
• •
  dbać o odpowiednie wymagania z zakresu cyberbezpieczeństwa w umowach, a w przypadku umów adhezyjnych z globalnymi dostawcami wybierać tych, którzy posiadają certyfikację z zakresu cyberbezpieczeństwa własnych produktów i usług,
• •
  inwentaryzować swoje zasoby, monitorować podatności związane z wykorzystywanym sprzętem i oprogramowaniem, np. poprzez sprawdzanie na stronach internetowych baz podatności, mitygować zidentyfikowane podatności, np. poprzez aktualizację oprogramowania, jeśli jest dostępna.