Lantul de aprovizionare NIS 2: notiunile de baza
Articolul 21(2)(d) NIS 2 impune companiilor reglementate să ia măsuri de securitate a lanțului de aprovizionare, inclusiv aspectele de securitate ale relațiilor cu furnizorii și prestatorii lor direcți de servicii. Această pagină acoperă noțiunile de bază: ce spune regula, pe cine atinge, ce vă pot cere clienții dumneavoastră și cum dovedesc furnizorii securitatea cibernetică fără a deveni ei înșiși o entitate reglementată.
De ce sunt afectati de NIS2 furnizorii mici
NIS2 (Art. 21(2)(d) NIS 2, transpus în Secțiunea 30(2) Nr. 4 BSIG) impune fiecărei entități esențiale și importante (în jur de 29.500 în Germania, potrivit BSI) să ia măsuri de securitate a lanțului de aprovizionare, inclusiv aspectele de securitate ale relațiilor cu furnizorii și prestatorii săi direcți de servicii. La alegerea acestor măsuri trebuie să țină seama de vulnerabilitățile specifice ale fiecărui furnizor direct și de calitatea generală a produselor și a practicilor de securitate ale furnizorilor săi (Art. 21(3)). Contractele sunt calea obișnuită: expunerea de motive germană menționează ca exemplu acordurile contractuale cu furnizorii.
Dacă firma dumneavoastră are mai puțin de 50 de angajați, iar cifra de afaceri anuală și totalul bilanțului nu depășesc ambele 10 milioane EUR, de regulă nu sunteți reglementat direct de NIS2. Unele tipuri de entități sunt reglementate indiferent de dimensiune, de exemplu furnizorii de servicii de încredere, furnizorii de DNS, registrele TLD, furnizorii mici de comunicații electronice publice și operatorii de instalații critice (Secțiunea 28 BSIG). Dacă furnizați servicii IT, software, componente, logistică sau orice alt serviciu unei companii reglementate, cerințele NIS2 vă pot ajunge prin contractele dumneavoastră.
Sectiunea 30(2) Nr. 4 BSIG: securitatea lantului de aprovizionare
Entitățile reglementate trebuie să ia măsuri pentru "securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitate ale relațiilor cu furnizorii sau prestatorii de servicii direcți" (Secțiunea 30(2) Nr. 4 BSIG, care transpune Art. 21(2)(d) NIS 2). Obligația rămâne la entitatea reglementată; un furnizor își asumă obligații numai prin ceea ce convine cu acel client.
Cerinte contractuale
Multe companii reglementate de NIS2 folosesc contractele cu furnizorii pentru a-și îndeplini obligația privind lanțul de aprovizionare; expunerea de motive germană menționează ca exemple acordurile privind măsurile de gestionare a riscurilor, gestionarea incidentelor și gestionarea patch-urilor. Așteptați-vă la astfel de clauze la următorul contract sau la următoarea reînnoire.
Audituri si chestionare pentru furnizori
Clienții dumneavoastră vă pot trimite chestionare de securitate și pot efectua audituri. Răspunsurile pe care le-ați scris deja se dau repede.
Obligatii de notificare a incidentelor
Dacă un incident de securitate la firma dumneavoastră provoacă un incident semnificativ la un client reglementat de NIS2, acesta trebuie să îl raporteze la BSI: o avertizare timpurie în 24 de ore, o notificare în 72 de ore și un raport final la o lună după aceea (Secțiunea 32 BSIG). Pentru a respecta aceste termene, trebuie să afle rapid de la dumneavoastră.
Avantaj competitiv
Cand o companie reglementata alege intre doi furnizori si unul poate demonstra securitate aliniata la NIS2, iar celalalt nu: alegerea este evidenta. Conformitatea devine un factor de diferentiere in vanzari.
Evaluarea riscurilor
Identificati si documentati riscurile la adresa sistemelor pe care le folositi pentru lucrul cu clientii. Nu trebuie sa fie complicat: o lista structurata cu planuri de tratare este suficienta.
Controlul accesului
Cine poate accesa datele si sistemele clientilor? Acces bazat pe roluri, MFA pentru accesul de la distanta si gestionarea documentata a utilizatorilor.
Gestionarea incidentelor
Un proces documentat pentru detectarea, răspunsul la și raportarea incidentelor de securitate. Nicio lege nu stabilește un termen pentru un furnizor; îl stabilește ceea ce convine cu clientul dumneavoastră, iar termenul propriu al clientului începe la 24 de ore.
Continuitatea activitatii
Ce se intampla daca sistemele dumneavoastra cad? Strategie de copii de rezerva, proceduri de recuperare si planuri testate pentru a continua livrarea catre clienti.
Politici si dovezi
Politici de securitate scrise, inregistrari de instruire si o pista de audit care dovedeste ca va respectati propriile reguli. Acest lucru verifica de fapt auditorii.
Verificati-va expunerea
Folositi verificarea noastra gratuita de aplicabilitate pentru a va confirma statutul NIS2. Chiar daca nu intrati direct in domeniul de aplicare, identificati care dintre clientii dumneavoastra sunt reglementati de NIS2: acele contracte vor veni cu cerinte noi.
Rulati o evaluare a lacunelor
Comparati practicile dumneavoastra actuale de securitate cu cele 10 masuri din Sectiunea 30 BSIG. Majoritatea firmelor mici fac deja o parte din acestea informal: lacuna este de obicei documentatia, nu practica.
Implementati notiunile de baza
Incepeti cu elementele cu cel mai mare impact: controlul accesului, strategia de copii de rezerva, procesul de raspuns la incidente. Platforma nisd2.eu va conduce prin fiecare cerinta cu sabloane gata facute.
Construiti-va pachetul de dovezi
Cand clientul dumneavoastra trimite un chestionar de securitate, aveti nevoie de raspunsuri pregatite. Politici, inregistrari de instruire, evaluari de riscuri si masuri tehnice: toate documentate si exportabile.
Revizuiti anual
Conformitatea NIS2 nu este un proiect de o singură dată. Programați o revizuire anuală a riscurilor, actualizați-vă politicile și reîmprospătați instruirea angajaților.
Intrebari frecvente
Sunt obligat legal sa respect NIS2 ca furnizor mic?▾
Nu direct: NIS2 se aplică firmelor peste pragul UE pentru întreprinderi mijlocii (peste 50 de angajați SAU (peste 10 milioane EUR cifră de afaceri ȘI peste 10 milioane EUR total bilanț), conform Recomandării Comisiei 2003/361/CE) dintr-un sector reglementat. Unele tipuri de entități sunt acoperite indiferent de dimensiune (Secțiunea 28 BSIG). Totuși, clienții dumneavoastră reglementați de NIS2 sunt obligați legal să ia măsuri de securitate a lanțului de aprovizionare (Secțiunea 30(2)(4) BSIG, care transpune Art. 21(2)(d) NIS-2). Clientul dumneavoastră vă poate transmite cerințe prin contract. Nu veți fi amendat de BSI, dar puteți pierde contracte.
Ce se intampla daca nu ma conformez?▾
Clientii dumneavoastra reglementati de NIS2 se confrunta cu amenzi de pana la 10 milioane EUR / 2% din cifra de afaceri anuala globala (entitati esentiale) sau 7 milioane EUR / 1,4% (entitati importante) daca nu isi indeplinesc obligatiile de securitate a lantului de aprovizionare (Sectiunea 65 BSIG). Fie va vor cere sa va conformati, fie va vor inlocui cu un furnizor care poate. Consecinta practica este pierderea de afaceri, nu o amenda BSI.
Cat costa conformitatea pentru furnizori?▾
Pentru o firmă mică, costul principal este timpul. Cât depinde de ceea ce există deja: legea cere măsuri proporționale cu expunerea la riscuri și cu dimensiunea firmei (Secțiunea 30(1) BSIG), iar un furnizor nereglementat datorează doar ceea ce convine cu clienții săi.
Pot folosi conformitatea NIS2 ca argument de vanzare?▾
Da. Când puteți demonstra practici de securitate aliniate la NIS2 cu dovezi documentate, îi ușurați clientului dumneavoastră îndeplinirea obligației privind lanțul de aprovizionare.
Ce fac daca clientul meu nu a cerut inca?▾
Posibil. Termenul de înregistrare la BSI a trecut la 6 martie 2026, iar securitatea lanțului de aprovizionare este una dintre cele 10 măsuri din Secțiunea 30(2) BSIG (Nr. 4). Dacă anticipați cererea, răspunsul este ușor de dat când ea sosește.
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Supply Chain Security
Record what you have agreed with your suppliers
For each supplier: what does the contract say about security?
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
