Czy istnieje rejestr bezpiecznych dostawców sprzętu i oprogramowania dla podmiotów kluczowych i podmiotów ważnych?

Nie istnieje rejestr bezpiecznych, zweryfikowanych dostawców sprzętu i oprogramowania dla podmiotów kluczowych i podmiotów ważnych.

Podmioty kluczowe i podmioty ważne same muszą zarządzać ryzykiem związanym z łańcuchem dostaw i szacować ryzyko związane z danym dostawcą. Zamawiający, realizując obowiązki związane z zapewnieniem bezpieczeństwa teleinformatycznego oraz ciągłości działania, powinien każdorazowo dokonywać oceny nabywanych rozwiązań ICT z uwzględnieniem wiarygodności dostawcy, bezpieczeństwa oferowanego sprzętu, oprogramowania i usług, a także potencjalnych ryzyk związanych z łańcuchem dostaw.

Wybór sprzętu, oprogramowania oraz usług ICT powinien odbywać się w szczególności z uwzględnieniem, czy sprzęt, oprogramowanie lub usługa ICT pochodzą ze sprawdzonego i zaufanego źródła, od dostawców zapewniających odpowiedni poziom bezpieczeństwa i zgodność z obowiązującymi przepisami oraz standardami ochrony informacji.

Jednocześnie tacy dostawcy często sami będą podmiotami kluczowymi lub podmiotami ważnymi lub będą podlegać wymogom Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2847. Stąd też tacy dostawcy podlegają również wymogom z zakresu cyberbezpieczeństwa.