Beszállítói bevezetés a NIS2 szerint: mit ír elő a BSIG 30. §-a az ellátási láncra vonatkozóan?

A BSI-törvény a NIS2 irányelv átültetéséről szóló törvénnyel módosított formájában (német Szövetségi Közlöny, BGBl. 2025 I, 301. szám) megkülönbözteti az alapvető és a fontos szervezeteket (BSIG 28. §). Az 1. és 2. mellékletben felsorolt szervezettípus – például energia, közlekedés és szállítás, pénzügy, postai és futárszolgálatok vagy feldolgozóipar – és a méret a meghatározó.

Az 1. mellékletben szereplő szervezet 250 foglalkoztatottól, vagy 50 millió eurót meghaladó éves árbevételtől és egyidejűleg 43 millió eurót meghaladó mérlegfőösszegtől számít alapvetőnek. Az 1. vagy 2. mellékletben szereplő szervezet 50 foglalkoztatottól, vagy egyaránt 10 millió eurót meghaladó árbevételtől és mérlegfőösszegtől számít fontosnak. Egyes szervezetek, például a kritikus létesítmények üzemeltetői, méretüktől függetlenül a törvény hatálya alá tartoznak.

A beszállítóknak nem kell maguknak is a törvény hatálya alá tartozniuk ahhoz, hogy érezzék a következményeit: ügyfeleiknek igazolniuk kell a beszállítói kapcsolat biztonságát, ezért a követelményeket továbbhárítják rájuk.

A 30. § (2) bekezdése tíz intézkedést sorol fel, amelyeknek a kockázatkezelés minimumaként szerepelniük kell. A 4. pont az ellátási lánc biztonságát nevezi meg, beleértve a közvetlen beszállítókkal vagy szolgáltatókkal fennálló kapcsolatok biztonsági vonatkozásait. Az 5. pont ezt a beszerzés, a fejlesztés és a karbantartás során alkalmazott biztonsági intézkedésekkel egészíti ki, ideértve a sérülékenységek kezelését és közzétételét.

Az (EU) 2022/2555 irányelv ezen a ponton konkrétabb: a 21. cikk (3) bekezdése szerint a szervezetek figyelembe veszik az egyes közvetlen beszállítókra jellemző sérülékenységeket, valamint beszállítóik termékeinek és kiberbiztonsági gyakorlatainak általános minőségét. Ez a bekezdés szó szerint nem szerepel a német törvény szövegében; a törvény indokolása (a Bundestag 21/1501. számú nyomtatványa, BT-Drucksache) a 30. §-hoz fűzött megjegyzésekben hivatkozik rá.

A törvényből nem következik rögzített kérdőív. Négy lépés bizonyult hasznosnak: a beszállítók besorolása kritikusság szerint (milyen adatokat, rendszereket és folyamatokat érintenek?), minimumkövetelmények meghatározása besorolási szintenként, a teljesülés ellenőrzése bizonyítékok alapján, valamint az eredmény olyan módon történő megőrzése, hogy ellenőrzéskor bemutatható legyen.

A tipikus követelmények a hozzáférés-védelemre, például a többtényezős hitelesítésre, a titkosításra, a sérülékenység- és javítócsomag-kezelésre (patch management), a vészhelyzeti felkészülésre, a biztonsági incidensek bejelentési csatornáira és az olyan tanúsítványokra vonatkoznak, mint az ISO/IEC 27001. Ha a beszállító az Ön megbízásából személyes adatokat dolgoz fel, ehhez társul még a GDPR 28. cikke szerinti szerződés.

Az ellenőrzés nem egyszeri feladat: a tanúsítványok lejárnak, az alvállalkozók változnak, a követelmények módosulnak. Az ismétlődő ellenőrzések ezért a kockázatkezelés részét képezik.

Az érintett szervezeteknek a BSIG 33. §-a szerint legkésőbb három hónappal azt követően kell regisztrálniuk a BSI-nél, hogy először minősülnek szervezetnek. A BSI tájékoztatása szerint ez a határidő lejárt azon szervezetek esetében, amelyek már a törvény hatálybalépésekor érintettek voltak; nekik haladéktalanul pótolniuk kell a regisztrációt.

A vezetésnek végre kell hajtania a kockázatkezelési intézkedéseket, és felügyelnie kell azok végrehajtását (BSIG 38. § (1) bekezdés), továbbá rendszeresen részt kell vennie képzéseken (BSIG 38. § (3) bekezdés).

A 30. § megsértése a BSIG 65. §-a alapján az alapvető szervezeteknél legfeljebb 10 millió euró, a fontos szervezeteknél legfeljebb 7 millió euró bírsággal sújtható. 500 millió eurót meghaladó világszintű éves árbevétel esetén a felső határ ennek az árbevételnek a 2%-a, illetve 1,4%-a.

A Vendo4u a követelményeket nem ügyfelenkénti kérdőívként, hanem közös katalógusként képezi le: a beszállítók egyszer rögzítik az információbiztonságra, az adatvédelemre és az üzletmenet-folytonosságra vonatkozó adataikat, és azokat az egyes kritériumokhoz csatolt dokumentumokkal támasztják alá. A beszerzők minimumkövetelményeik szerint szűrnek, összehasonlítják a beszállítókat, és a profilt a bizonyítékokkal együtt exportálják saját dokumentációjukhoz.

Az értékelés kötelezettsége a szervezetnél marad. A Vendo4u ehhez egységes, nyomon követhető alapot nyújt.