NIS2 pro dodavatele: na co se vás začnou ptát vaši zákazníci

NIS2 je hlavní předpis EU o kybernetické bezpečnosti pro základní a důležité subjekty a dodavatelů se dotýká přes jejich zákazníky. I když vaše firma sama do působnosti nespadá, zákazník, který do ní spadá, musí řídit „bezpečnost dodavatelského řetězce, včetně bezpečnostních aspektů týkajících se vztahů mezi jednotlivými subjekty a jejich přímými dodavateli nebo poskytovateli služeb“. Stanoví to článek 21 odst. 2 písm. d) směrnice (EU) 2022/2555.

V praxi to znamená dotazníky, nové smluvní doložky, žádosti o doklady a někdy i právo na audit. Týká se to i firem z USA, pokud dodávají software, hosting, IT nebo jiné služby zákazníkům v EU, na které se NIS2 vztahuje.

Tento článek shrnuje, co směrnice a její prováděcí předpisy o dodavatelích skutečně říkají a jak připravit odpovědi, které obstojí.

Klíčová data a články

• Směrnice byla přijata 14. 12. 2022. Členské státy musely přijmout vnitrostátní zákony do 17. 10. 2024 a uplatňovat je od 18. 10. 2024 (článek 41).
• Článek 20 ukládá řídicím orgánům dotčených subjektů schvalovat opatření k řízení kybernetických rizik a dohlížet na jejich provádění.
• Článek 21 odst. 2 uvádí nejméně 10 oblastí opatření, od analýzy rizik a zvládání incidentů po bezpečnost dodavatelského řetězce, řešení zranitelností a vícefaktorové ověřování.
• Článek 21 odst. 3 říká, že při volbě opatření pro dodavatelský řetězec musí subjekty zohlednit „zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb“.
• Článek 23 odst. 4 stanoví pro dotčený subjekt fáze hlášení incidentů: včasné varování do 24 hodin od zjištění významného incidentu, oznámení incidentu do 72 hodin a závěrečnou zprávu nejpozději 1 měsíc po oznámení.

NIS2 je směrnice, takže závazné povinnosti vyplývají z vnitrostátního práva každé země. Podrobnosti se mezi státy liší a které právo se na zákazníka vztahuje, vám řekne jeho právní oddělení.

Co doplňuje prováděcí nařízení

Pro některé digitální poskytovatele (mimo jiné poskytovatele cloud computingu, datových center, řízených služeb a řízených bezpečnostních služeb) stanovila Komise podrobné požadavky v prováděcím nařízení (EU) 2024/2690. Bod 5.1 jeho přílohy nejjasněji popisuje, co budou zákazníci od dodavatelů chtít. Dotčené subjekty musí stanovit kritéria pro výběr dodavatelů, včetně jejich postupů v kybernetické bezpečnosti a postupů bezpečného vývoje, a jejich smlouvy by měly podle potřeby upravovat:

• požadavky na kybernetickou bezpečnost dodavatele,
• školení a případně certifikace zaměstnanců dodavatele,
• prověrky zaměstnanců,
• povinnost oznámit zákazníkovi incidenty bez zbytečného odkladu,
• právo na audit nebo na získání auditních zpráv,
• povinnost řešit zranitelnosti, které pro zákazníka představují riziko,
• pravidla pro subdodávky,
• povinnosti při ukončení smlouvy, například vrácení a likvidaci dat.

I zákazníci mimo působnost tohoto nařízení ho často používají jako vzor, protože obecný článek 21 převádí na konkrétní seznam.

Co vám zákazníci skutečně pošlou

Počítejte s kombinací těchto věcí:

1. Bezpečnostní dotazník o řízení přístupu, vícefaktorovém ověřování, zálohách, šifrování, řešení zranitelností a reakci na incidenty.
2. Dodatky ke smlouvám s tak krátkými lhůtami pro hlášení incidentů, aby zákazník stihl své vlastní včasné varování do 24 hodin.
3. Žádosti o doklady: politiky, auditní zprávy, certifikáty jako ISO/IEC 27001 nebo zpráva SOC 2 a výsledky testů.
4. Otázky na vaše subdodavatele, zejména na hosting a podporu.
5. Průběžné sledování: bod 5.1.6 přílohy ukládá subjektům v plánovaných intervalech sledovat změny v bezpečnostních postupech dodavatelů, takže počítejte s opakovanými dotazy.

Připravte odpovědi, které lze ověřit

Dotazník je snadné vyplnit optimisticky. Zákazníci si ale stále častěji ověřují to, co je vidět zvenčí. Než odpovíte, ujistěte se, že vnější obraz vaší firmy odpovídá tomu, co píšete:

• Ověřování e-mailu. Pokud uvádíte silné zabezpečení e-mailu, váš záznam DMARC by měl být ve vynucujícím režimu:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS a certifikáty. Platné certifikáty na každém názvu hostitele dostupném z internetu, žádné expirované a žádné na zapomenutých serverech.
• Vystavené služby. Žádná vzdálená plocha, databáze ani administrační panely otevřené do internetu.
• Hygiena webu. Nastavené bezpečnostní hlavičky a žádné soubory .env, .git ani zálohy dostupné z webu (viz soubory .env, .git a zálohy dostupné z webu).
• Zapomenuté systémy. Žádné opuštěné stagingové nebo testovací servery pod vaší doménou (viz zapomenuté staging a testovací servery).

Čistý obraz zvenčí ještě nedokazuje vyspělé řízení bezpečnosti, slabý ale i pěkně vyplněný dotazník velmi rychle zpochybní.

Kontrolní seznam přípravy

• Určete, kdo odpovídá za bezpečnostní dotazníky zákazníků, a mějte připravenou sadu odpovědí, kterou lze použít opakovaně.
• Sepište postup hlášení incidentů s kontaktem a lhůtou, kterou skutečně dodržíte.
• Udržujte aktuální seznam svých subdodavatelů a dat, se kterými pracují.
• Zdokumentujte, jak řešíte zranitelnosti, od nahlášení po opravu.
• Soustřeďte doklady na jednom místě: politiky, auditní zprávy, certifikáty, shrnutí testů.
• Pravidelně procházejte svou vnější plochu a opravujte to, co by viděl zákazník.
• Před každým prodloužením smlouvy vše znovu zkontrolujte.

Kde pomůže Datahorses

Datahorses každý den sleduje vaši firmu zvenčí: domény, DNS, certifikáty, ověřování e-mailu, weby a vystavené služby. Ke každému zjištění dostanete přesné kroky k opravě a vše se ukládá jako záznam, na který se můžete odvolat, když se zákazník zeptá, jak hlídáte vlastní expozici. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme. Podívejte se, co hlídáme nebo jak spolupráce funguje.