Onboarding προμηθευτών βάσει NIS2: τι απαιτεί η § 30 BSIG για την αλυσίδα εφοδιασμού;

Ο BSIG, όπως τροποποιήθηκε με τον νόμο για την ενσωμάτωση της Οδηγίας NIS2 (γερμανική Ομοσπονδιακή Εφημερίδα Νόμων, BGBl. 2025 I αριθ. 301), διακρίνει μεταξύ βασικών και σημαντικών οντοτήτων (§ 28 BSIG). Καθοριστικά είναι το είδος της οντότητας σύμφωνα με τα Παραρτήματα 1 και 2 – π.χ. ενέργεια, μεταφορές, χρηματοπιστωτικός τομέας, ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών ή μεταποίηση – και το μέγεθός της.

Βασική είναι μια οντότητα του Παραρτήματος 1 από 250 εργαζομένους ή από ετήσιο κύκλο εργασιών άνω των 50 εκατ. ευρώ και ταυτόχρονα σύνολο ισολογισμού άνω των 43 εκατ. ευρώ. Σημαντική είναι μια οντότητα των Παραρτημάτων 1 ή 2 από 50 εργαζομένους ή από κύκλο εργασιών και σύνολο ισολογισμού άνω των 10 εκατ. ευρώ το καθένα. Ορισμένες οντότητες, όπως οι φορείς εκμετάλλευσης κρίσιμων εγκαταστάσεων, εμπίπτουν ανεξάρτητα από το μέγεθός τους.

Οι προμηθευτές δεν χρειάζεται να εμπίπτουν οι ίδιοι στον νόμο για να αισθανθούν τις συνέπειές του: οι πελάτες τους πρέπει να αποδεικνύουν την ασφάλεια της σχέσης προμήθειας και γι' αυτό τους μεταβιβάζουν τις απαιτήσεις.

Η § 30 παρ. 2 απαριθμεί δέκα μέτρα που πρέπει να περιλαμβάνει τουλάχιστον η διαχείριση κινδύνων. Ο αριθμός 4 αναφέρει την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των πτυχών που σχετίζονται με την ασφάλεια στις σχέσεις με τους άμεσους προμηθευτές ή παρόχους υπηρεσιών. Ο αριθμός 5 προσθέτει μέτρα ασφάλειας κατά την απόκτηση, την ανάπτυξη και τη συντήρηση, συμπεριλαμβανομένου του χειρισμού και της γνωστοποίησης ευπαθειών.

Η Οδηγία (ΕΕ) 2022/2555 είναι εδώ πιο συγκεκριμένη: σύμφωνα με το άρθρο 21 παρ. 3, οι οντότητες λαμβάνουν υπόψη τα τρωτά σημεία που αφορούν ειδικά κάθε άμεσο προμηθευτή, καθώς και τη συνολική ποιότητα των προϊόντων και των πρακτικών κυβερνοασφάλειας των προμηθευτών τους. Η παράγραφος αυτή δεν αναπαράγεται αυτολεξεί στο γερμανικό κείμενο του νόμου· η αιτιολογική έκθεση (BT-Drucksache 21/1501, έντυπο της γερμανικής Ομοσπονδιακής Βουλής) αναφέρεται σε αυτήν στα σχόλια για την § 30.

Ο νόμος δεν προβλέπει συγκεκριμένο ερωτηματολόγιο. Τέσσερα βήματα έχουν αποδειχθεί χρήσιμα: κατάταξη των προμηθευτών ανάλογα με την κρισιμότητά τους (ποια δεδομένα, συστήματα και διαδικασίες αγγίζουν;), καθορισμός ελάχιστων απαιτήσεων ανά κατηγορία, έλεγχος της συμμόρφωσης με βάση δικαιολογητικά και αρχειοθέτηση του αποτελέσματος έτσι ώστε να μπορεί να προσκομιστεί σε έναν έλεγχο.

Οι τυπικές απαιτήσεις αφορούν την προστασία πρόσβασης, όπως ο έλεγχος ταυτότητας πολλαπλών παραγόντων, την κρυπτογράφηση, τη διαχείριση ευπαθειών και ενημερώσεων κώδικα (patch management), την ετοιμότητα για έκτακτες ανάγκες, τους διαύλους αναφοράς περιστατικών ασφάλειας και πιστοποιήσεις όπως το ISO/IEC 27001. Αν ο προμηθευτής επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό σας, προστίθεται η σύμβαση σύμφωνα με το άρθρο 28 GDPR.

Ο έλεγχος δεν είναι εφάπαξ υπόθεση: τα πιστοποιητικά λήγουν, οι υπεργολάβοι αλλάζουν, οι απαιτήσεις εξελίσσονται. Γι' αυτό οι επαναλαμβανόμενοι έλεγχοι αποτελούν μέρος της διαχείρισης κινδύνων.

Σύμφωνα με την § 33 BSIG, οι οντότητες που εμπίπτουν στον νόμο πρέπει να εγγραφούν στην BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών) το αργότερο τρεις μήνες αφότου χαρακτηριστούν για πρώτη φορά ως οντότητα. Κατά την BSI, η προθεσμία αυτή έχει λήξει για τις οντότητες που ενέπιπταν ήδη κατά την έναρξη ισχύος του νόμου· πρέπει να εγγραφούν χωρίς καθυστέρηση.

Η διοίκηση πρέπει να εφαρμόζει τα μέτρα διαχείρισης κινδύνων και να εποπτεύει την εφαρμογή τους (§ 38 παρ. 1 BSIG), καθώς και να συμμετέχει τακτικά σε εκπαιδεύσεις (§ 38 παρ. 3 BSIG).

Σύμφωνα με την § 65 BSIG, οι παραβάσεις της § 30 μπορούν να επισύρουν πρόστιμα έως 10 εκατ. ευρώ για τις βασικές και έως 7 εκατ. ευρώ για τις σημαντικές οντότητες. Σε περίπτωση παγκόσμιου ετήσιου κύκλου εργασιών άνω των 500 εκατ. ευρώ, το ανώτατο όριο ανέρχεται στο 2 % ή στο 1,4 % του κύκλου αυτού αντίστοιχα.

Το Vendo4u δεν αποτυπώνει τις απαιτήσεις ως ένα ερωτηματολόγιο ανά πελάτη, αλλά ως κοινό κατάλογο: οι προμηθευτές καταχωρίζουν μία φορά τα στοιχεία τους για την ασφάλεια πληροφοριών, την προστασία δεδομένων και την επιχειρησιακή συνέχεια και τα τεκμηριώνουν με έγγραφα στο αντίστοιχο κριτήριο. Οι αγοραστές φιλτράρουν βάσει των ελάχιστων απαιτήσεών τους, συγκρίνουν προμηθευτές και εξάγουν το προφίλ μαζί με τα δικαιολογητικά για τη δική τους τεκμηρίωση.

Η υποχρέωση αξιολόγησης παραμένει στην οντότητα. Το Vendo4u παρέχει την ενιαία, ιχνηλάσιμη βάση γι' αυτήν.