Онбординг на доставчици съгласно NIS2: какво изисква § 30 BSIG за веригата на доставки?

Законът за BSI в редакцията му съгласно Закона за транспониране на Директивата NIS2 (Федерален държавен вестник, BGBl. 2025 I бр. 301) разграничава съществени и важни субекти (§ 28 BSIG). Определящи са видът на субекта съгласно приложения 1 и 2 – например енергетика, транспорт, финанси, пощенски и куриерски услуги или преработваща промишленост – и неговият размер.

Субект от приложение 1 е съществен при 250 или повече служители или при годишен оборот над 50 млн. евро и едновременно обща сума на баланса над 43 млн. евро. Субект от приложение 1 или 2 е важен при 50 или повече служители или при оборот и обща сума на баланса над 10 млн. евро всяко. Някои субекти, например операторите на критични съоръжения, попадат в обхвата независимо от размера си.

Доставчиците не е нужно сами да попадат в обхвата на закона, за да усетят последиците: клиентите им трябва да доказват сигурността на отношенията по доставка и затова прехвърлят изискванията към тях.

§ 30, ал. 2 изброява десет мерки, които управлението на риска трябва да включва като минимум. Точка 4 посочва сигурността на веригата на доставки, включително свързаните със сигурността аспекти на отношенията с преките доставчици или доставчици на услуги. Точка 5 добавя сигурността при придобиването, разработването и поддръжката, включително обработката и оповестяването на уязвимости.

Директива (ЕС) 2022/2555 е по-конкретна в тази част: съгласно чл. 21, параграф 3 субектите вземат предвид специфичните уязвимости на всеки пряк доставчик, както и цялостното качество на продуктите и практиките в областта на киберсигурността на своите доставчици. Този параграф не е възпроизведен дословно в германския закон; мотивите към законопроекта (документ на Бундестага BT-Drucksache 21/1501) го споменават в бележките към § 30.

Законът не предписва фиксиран въпросник. Доказали са се четири стъпки: класифицирайте доставчиците по критичност (с какви данни, системи и процеси имат досег?), определете минимални изисквания за всеки клас, проверете изпълнението им въз основа на доказателства и съхранете резултата така, че да може да бъде представен при одит.

Типичните изисквания обхващат защитата на достъпа, например многофакторна автентикация, криптирането, управлението на уязвимости и корекции (patch management), готовността за извънредни ситуации, каналите за докладване на инциденти със сигурността и сертификати като ISO/IEC 27001. Ако доставчикът обработва лични данни от Ваше име, към това се добавя договорът съгласно чл. 28 от GDPR.

Проверката не е еднократно действие: сертификатите изтичат, подизпълнителите се сменят, изискванията се променят. Затова периодичните проверки са част от управлението на риска.

Съгласно § 33 BSIG засегнатите субекти трябва да се регистрират в BSI най-късно три месеца след като за първи път се считат за субект. Според BSI този срок е изтекъл за субектите, които са били засегнати още при влизането на закона в сила; те трябва да се регистрират незабавно.

Ръководството трябва да прилага мерките за управление на риска и да наблюдава изпълнението им (§ 38, ал. 1 BSIG), както и редовно да участва в обучения (§ 38, ал. 3 BSIG).

Съгласно § 65 BSIG нарушенията на § 30 могат да бъдат санкционирани с глоби до 10 млн. евро за съществените и до 7 млн. евро за важните субекти. При световен годишен оборот над 500 млн. евро горната граница е съответно 2 % или 1,4 % от този оборот.

Vendo4u не представя изискванията като отделен въпросник за всеки клиент, а като общ каталог: доставчиците въвеждат веднъж информацията си за информационната сигурност, защитата на данните и непрекъснатостта на дейността и я подкрепят с документи към всеки критерий. Купувачите филтрират по своите минимални изисквания, сравняват доставчици и експортират профила заедно с доказателствата за собствената си документация.

Задължението за оценка остава за субекта. Vendo4u осигурява единна и проследима основа за нея.