zarządzanie dostawcami

co chroni: firmę w dniu, w którym dostawca zawiedzie albo zostanie zaatakowany
kto za to odpowiada: zakupy lub szef IT, z działem prawnym przy postanowieniach umów
zacznij od: zobowiązania wobec dostawców i lista aplikacji, potem oznaczenie dostawców z Twoimi danymi

czym jest

Zarządzanie dostawcami trzyma w jednym miejscu trzy rzeczy: kim są Twoi dostawcy, jak dokładnie ich sprawdzono i co mówi umowa. Gdy dostawca zawiedzie, odpowiedzialność nadal spoczywa na kliencie.

NIS2 wymaga bezpieczeństwa łańcucha dostaw i wymienia bezpośrednich dostawców. DORA wymaga rejestru wszystkich umów w zakresie ICT i ustala minimalne postanowienia umowy. RODO wymaga umowy powierzenia z każdym dostawcą, który przetwarza dla Ciebie dane osobowe. Jeden rejestr może obsłużyć wszystkie trzy. Jeśli obejmuje Cię DORA, buduj według jej rejestru, bo wymaga najwięcej.

Zacznij od zobowiązań wobec dostawców i listy aplikacji w dostawcy tożsamości. Oznacz dostawców, którzy przechowują Twoje dane, mają dostęp do Twoich systemów albo zatrzymaliby firmę, gdyby zawiedli. Sprawdź ich najpierw, proporcjonalnie, i zapisuj daty.

podstawa NIS2 art. 21(2)(d), 21(3); DORA art. 28(3), 30(2); RODO art. 28(3). Grupy dostawców są praktyką.

od dostawcy na liście do dostawcy, którego możesz opuścić

1listakażdy dostawca ze zobowiązań i z listy aplikacji, z właścicielem
2grupaoznacz tych, którzy przechowują Twoje dane, mają dostęp do systemów albo zatrzymaliby firmę
3sprawdzeniegłębokość proporcjonalna do grupy, z datą i przeczytanym zakresem
4umowaklauzule bezpieczeństwa, umowa powierzenia, obowiązek wobec podwykonawców, prawa do audytu
5wyjściepisemna droga wyjścia dla każdego dostawcy krytycznego

jak głęboko sięga sprawdzenie, według grupy

nie przechowuje nic wrażliwegowpis w rejestrze i daty umowy
przechowuje Twoje dane lub ma dostęp do systemówkwestionariusz, certyfikat z zakresem, umowa powierzenia
krytyczny dla firmyprzeczytane raporty, użyte prawo do audytu, sprawdzony kontakt na incydent, napisany plan wyjścia

podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

przykład

Wyobraź sobie firmę z 300 osobami i czterdziestoma dostawcami na liście płatności.

słabo

Nikt nie wie, którzy z nich przechowują dane klientów. Dla dostawcy hostingu leży trzyletni certyfikat, który obejmuje inny produkt. Gdy dostawca ma awarię, nikt nie ma kontaktu ani drogi wyjścia.

solidnie

Dostawcy są pogrupowani według tego, na co mogą wpłynąć. Nieliczni krytyczni mają sprawdzenia z datami, umowę powierzenia, wskazany kontakt na incydent i pisemny plan wyjścia. Darmowe narzędzia znalezione na liście aplikacji też są w rejestrze.

To ilustracja, a nie opis prawdziwego przypadku.

co musi robić dla każdego przepisu

przepis	gdzie	czego wymaga tekst	co musi robić zabezpieczenie
NIS2	NIS2 art. 21(2)(d)	Bezpieczeństwo łańcucha dostaw, w tym relacje z bezpośrednimi dostawcami i usługodawcami.	Prowadź rejestr bezpośrednich dostawców i oznacz tych, którzy przechowują Twoje dane lub bez których firma nie działa.
NIS2	NIS2 art. 21(3)	Uwzględnić podatności każdego bezpośredniego dostawcy oraz jakość jego produktów i praktyk.	Sprawdź każdego oznaczonego dostawcę proporcjonalnie do tego, na co może wpłynąć, i zapisz datę oraz wynik.
IR 2024/2690	IR 2024/2690 załącznik 5.2	Wymienieni dostawcy usług cyfrowych: wykaz dostawców.	Trzymaj wykaz w tym samym rejestrze i aktualizuj go przy zmianie umów.
DORA	DORA art. 28(3)	Rejestr wszystkich umów w zakresie ICT, z wyodrębnieniem tych, które wspierają funkcje krytyczne lub ważne.	Trzymaj wszystkie umowy w zakresie ICT w jednym rejestrze i oznacz te, które stoją za funkcjami krytycznymi lub ważnymi.
DORA	DORA art. 30(2)	Minimalne postanowienia umowy: lokalizacje, ochrona danych, zwrot danych, poziomy usług, pomoc.	Miej jeden zestaw klauzul na te postanowienia i śledź, które umowy go zawierają.
RODO	RODO art. 28(3)	Umowa z wymienionymi postanowieniami, w tym o bezpieczeństwie, pomocy i audytach.	Podpisz umowę powierzenia przetwarzania z każdym dostawcą, który przetwarza dane osobowe w Twoim imieniu, i dołącz ją do rejestru.
RODO	RODO art. 28(4)	Te same obowiązki przekazane umownie każdemu dalszemu podmiotowi przetwarzającemu.	Zapytaj każdego dostawcę, z jakich podwykonawców korzysta, i wpisz do umowy obowiązek przekazywania postanowień dalej.

podstawa NIS2 art. 21(2)(d), 21(3); IR 2024/2690 załącznik 5.2 jako punkt odniesienia; DORA art. 28(3), 30(2); RODO art. 28(3), 28(4). To, co zabezpieczenie ma robić, jest praktyką.

na co patrzeć przy wyborze

Czy przy dostawcy można zapisać właściciela, dane, które przechowuje, miejsce działania usługi, daty umowy i osobę, do której dzwonić przy incydencie?
Czy można oznaczyć dostawców krytycznych i czy to oznaczenie steruje głębokością sprawdzenia?
Czy przechowuje zebrane dowody, takie jak certyfikaty, raporty i kwestionariusze, z datą i zakresem, który każdy obejmuje?
Czy przypomina o odnowieniach, terminach przeglądu i wygasających certyfikatach?
Czy śledzi podwykonawców i miejsca przetwarzania danych?
Czy pokazuje, które umowy zawierają Twój zestaw klauzul, a które nie?
Czy pozwala zapisać plan wyjścia dla każdego dostawcy krytycznego?
Czy rejestr da się wyeksportować w formie, o którą prosi organ nadzoru lub klient?

podstawa praktyka

trzy poziomy, od pierwszego kroku do mocnego

Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.

start
Zbuduj listę ze zobowiązań wobec dostawców i listy aplikacji i oznacz dostawców, którzy przechowują Twoje dane albo zatrzymaliby firmę.
solidnie
Sprawdź oznaczonych dostawców proporcjonalnie, przeczytaj zakres każdego certyfikatu i trzymaj jeden zestaw klauzul oraz listę umów, które go zawierają.
mocno
Śledź podwykonawców i miejsca przetwarzania danych, korzystaj z praw do audytu, sprawdzaj kontakt na incydent i napisz plan wyjścia dla każdego dostawcy krytycznego.

podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

gdzie się psuje

zaufanie do starej współpracy

Dostawcę, z którego korzystasz od lat, sprawdzono raz, na początku. Sprawdź ponownie, gdy zmienią się dane, które przechowuje.

certyfikat, który obejmuje coś innego

Raport o jednym produkcie nic nie mówi o usłudze, którą kupujesz. Przeczytaj zakres.

darmowe narzędzia poza listą

Zobowiązania wobec dostawców pomijają wszystko, co nic nie kosztuje, a nadal przechowuje Twoje dane. Dodaj listę aplikacji w dostawcy tożsamości.

prawa do audytu, z których nikt nie korzysta

Klauzula pomaga tylko wtedy, gdy ktoś czyta raporty. Wpisz przy niej nazwisko i datę.

brak drogi wyjścia

Dostawca krytyczny bez planu wyjścia zostawia Cię w kłopocie w dniu awarii. Napisz plan, zanim będzie potrzebny.