Uključivanje dobavljača prema NIS2: što § 30. BSIG-a zahtijeva u pogledu lanca opskrbe?

Zakon o BSI-ju u verziji Zakona o provedbi Direktive NIS2 (Savezni službeni list BGBl. 2025 I br. 301) razlikuje ključne i važne subjekte (§ 28. BSIG-a). Mjerodavni su vrsta subjekta prema prilozima 1. i 2. – primjerice energetika, promet, financije, poštanske i kurirske usluge ili proizvodnja – i njegova veličina.

Subjekt iz Priloga 1. ključan je od 250 zaposlenika ili od godišnjeg prometa većeg od 50 milijuna eura uz istodobnu ukupnu bilancu veću od 43 milijuna eura. Subjekt iz Priloga 1. ili 2. važan je od 50 zaposlenika ili od prometa i ukupne bilance većih od po 10 milijuna eura. Neki subjekti, primjerice operatori kritičnih postrojenja, obuhvaćeni su neovisno o svojoj veličini.

Dobavljači ne moraju sami biti obuhvaćeni Zakonom da bi osjetili njegove posljedice: njihovi klijenti moraju dokazati sigurnost odnosa s dobavljačima i stoga zahtjeve prenose na njih.

§ 30. stavak 2. nabraja deset mjera koje upravljanje rizicima mora obuhvaćati kao minimum. Točka 4. navodi sigurnost lanca opskrbe, uključujući sigurnosne aspekte odnosa s izravnim dobavljačima ili pružateljima usluga. Točka 5. dodaje sigurnosne mjere pri nabavi, razvoju i održavanju, uključujući postupanje s ranjivostima i njihovo otkrivanje.

Direktiva (EU) 2022/2555 ovdje je konkretnija: prema članku 21. stavku 3. subjekti uzimaju u obzir ranjivosti specifične za svakog izravnog dobavljača te ukupnu kvalitetu proizvoda i praksi kibernetičke sigurnosti svojih dobavljača. Taj stavak nije doslovno preuzet u njemački zakonski tekst; obrazloženje zakona (tiskanica Bundestaga, BT-Drucksache 21/1501) poziva se na njega u napomenama uz § 30.

Iz Zakona ne proizlazi fiksni upitnik. Korisnima su se pokazala četiri koraka: razvrstati dobavljače prema kritičnosti (koje podatke, sustave i procese dotiču?), utvrditi minimalne zahtjeve za svaku razinu, provjeriti ispunjenje na temelju dokaza i rezultat pohraniti tako da se može predočiti pri reviziji.

Tipični zahtjevi odnose se na zaštitu pristupa poput višefaktorske autentifikacije, enkripciju, upravljanje ranjivostima i zakrpama, pripravnost za izvanredne situacije, kanale za prijavu sigurnosnih incidenata i certifikacije poput ISO/IEC 27001. Ako dobavljač obrađuje osobne podatke u vaše ime, tome se pridodaje ugovor prema čl. 28. GDPR-a.

Provjera nije jednokratna: certifikati istječu, podizvođači se mijenjaju, zahtjevi se razvijaju. Ponavljajuće provjere stoga su dio upravljanja rizicima.

Prema § 33. BSIG-a pogođeni subjekti moraju se registrirati kod BSI-ja najkasnije tri mjeseca nakon što se prvi put smatraju subjektom. Prema navodima BSI-ja, taj je rok istekao za subjekte koji su bili obuhvaćeni već pri stupanju Zakona na snagu; oni registraciju moraju naknadno obaviti bez odgode.

Uprava mora provoditi mjere upravljanja rizicima i nadzirati njihovu provedbu (§ 38. st. 1. BSIG-a) te redovito sudjelovati u osposobljavanju (§ 38. st. 3. BSIG-a).

Prema § 65. BSIG-a povrede § 30. mogu se kazniti novčanim kaznama do 10 milijuna eura za ključne subjekte i do 7 milijuna eura za važne subjekte. Ako je ukupni godišnji promet na svjetskoj razini veći od 500 milijuna eura, gornja granica iznosi 2 % odnosno 1,4 % tog prometa.

Vendo4u ne prikazuje zahtjeve kao upitnik za svakog klijenta, nego kao zajednički katalog: dobavljači jednom unose svoje podatke o informacijskoj sigurnosti, zaštiti podataka i kontinuitetu poslovanja i potkrepljuju ih dokumentima uz pojedini kriterij. Kupci filtriraju prema svojim minimalnim zahtjevima, uspoređuju dobavljače i izvoze profil zajedno s dokazima za vlastitu dokumentaciju.

Obveza procjene ostaje na subjektu. Vendo4u za to pruža jedinstvenu, sljedivu osnovu.