Onboarding dodavatelů podle NIS2: co vyžaduje § 30 BSIG pro dodavatelský řetězec?

Zákon o BSI ve znění zákona k provedení směrnice NIS2 (Spolková sbírka zákonů, BGBl. 2025 I č. 301) rozlišuje základní a důležité subjekty (§ 28 BSIG). Rozhodující je druh subjektu podle příloh 1 a 2 – například energetika, doprava, finančnictví, poštovní a kurýrní služby nebo zpracovatelský průmysl – a jeho velikost.

Základním subjektem je subjekt z přílohy 1 s nejméně 250 zaměstnanci nebo s ročním obratem vyšším než 50 milionů eur a zároveň bilanční sumou vyšší než 43 milionů eur. Důležitým subjektem je subjekt z přílohy 1 nebo 2 s nejméně 50 zaměstnanci nebo s obratem a bilanční sumou, z nichž každá převyšuje 10 milionů eur. Některé subjekty, například provozovatelé kritických zařízení, spadají pod zákon bez ohledu na velikost.

Dodavatelé nemusí sami spadat pod zákon, aby pocítili jeho důsledky: jejich zákazníci musí prokázat bezpečnost dodavatelského vztahu, a proto na ně požadavky přenášejí.

§ 30 odst. 2 vyjmenovává deset opatření, která musí řízení rizik obsahovat minimálně. Bod 4 uvádí bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů vztahů s přímými dodavateli nebo poskytovateli služeb. Bod 5 doplňuje bezpečnostní opatření při pořizování, vývoji a údržbě, včetně řešení a zveřejňování zranitelností.

Směrnice (EU) 2022/2555 je v tomto bodě konkrétnější: podle čl. 21 odst. 3 subjekty zohledňují zranitelnosti specifické pro každého přímého dodavatele a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů. V německém zákoně tento odstavec doslovně uveden není; důvodová zpráva (tisk Spolkového sněmu, BT-Drucksache 21/1501) se k němu vrací u § 30.

Ze zákona nevyplývá pevný katalog otázek. Osvědčily se čtyři kroky: rozdělit dodavatele podle kritičnosti (jakých dat, systémů a procesů se dotýkají?), stanovit minimální požadavky pro každou úroveň, ověřit jejich splnění na základě dokladů a výsledek uložit tak, aby jej bylo možné předložit při kontrole.

Typické požadavky se týkají ochrany přístupu, jako je vícefaktorová autentizace, šifrování, řízení zranitelností a záplat, připravenosti na mimořádné události, způsobů hlášení bezpečnostních incidentů a certifikací, jako je ISO/IEC 27001. Zpracovává-li dodavatel osobní údaje jménem zákazníka, přibývá zpracovatelská smlouva podle čl. 28 GDPR.

Prověrka není jednorázová záležitost: certifikáty vyprší, subdodavatelé se mění, požadavky se vyvíjejí. Opakované kontroly jsou proto součástí řízení rizik.

Dotčené subjekty se musí podle § 33 BSIG registrovat u Spolkového úřadu pro bezpečnost v informační technice (BSI) nejpozději do tří měsíců poté, co se poprvé staly subjektem. Pro subjekty, které byly dotčeny již při nabytí účinnosti zákona, tato lhůta podle BSI uplynula; registraci je třeba neprodleně provést dodatečně.

Vedení musí opatření k řízení rizik zavést a dohlížet na jejich provádění (§ 38 odst. 1 BSIG) a pravidelně se účastnit školení (§ 38 odst. 3 BSIG).

Porušení § 30 lze podle § 65 BSIG postihnout pokutou až do výše 10 milionů eur u základních subjektů a až 7 milionů eur u důležitých subjektů. Při celosvětovém ročním obratu vyšším než 500 milionů eur činí horní hranice 2 %, resp. 1,4 % tohoto obratu.

Vendo4u nezachycuje požadavky jako dotazník pro každého zákazníka zvlášť, ale jako společný katalog: dodavatelé jednou zadají své údaje o informační bezpečnosti, ochraně osobních údajů a kontinuitě provozu a doloží je dokumenty u jednotlivých kritérií. Nákupčí filtrují podle svých minimálních požadavků, porovnávají dodavatele a exportují profil včetně dokladů pro vlastní dokumentaci.

Povinnost hodnocení zůstává na subjektu. Vendo4u pro ni poskytuje jednotný a dohledatelný podklad.