Tiekėjų įtraukimas pagal NIS2: ko BSIG 30 § reikalauja tiekimo grandinei?

BSI įstatymas, iš dalies pakeistas NIS2 direktyvos įgyvendinimo įstatymu (Vokietijos federalinis teisės aktų leidinys BGBl. 2025 I Nr. 301), skiria esminius ir svarbius subjektus (BSIG 28 §). Lemiamą reikšmę turi subjekto rūšis pagal 1 ir 2 priedus – pavyzdžiui, energetika, transportas, finansai, pašto ir kurjerių paslaugos ar gamyba – ir jo dydis.

1 priede nurodytas subjektas yra esminis, jei jame dirba ne mažiau kaip 250 darbuotojų arba jo metinė apyvarta viršija 50 mln. eurų ir kartu balanso suma viršija 43 mln. eurų. 1 arba 2 priede nurodytas subjektas yra svarbus, jei jame dirba ne mažiau kaip 50 darbuotojų arba jo apyvarta ir balanso suma kiekviena viršija 10 mln. eurų. Kai kuriems subjektams, pavyzdžiui, ypatingos svarbos įrenginių operatoriams, įstatymas taikomas nepriklausomai nuo jų dydžio.

Tiekėjams nebūtina patiems patekti į įstatymo taikymo sritį, kad pajustų jo poveikį: jų klientai turi įrodyti tiekimo santykių saugumą, todėl reikalavimus perduoda jiems.

30 § 2 dalyje išvardyta dešimt priemonių, kurias rizikos valdymas turi apimti bent jau. 4 punkte nurodomas tiekimo grandinės saugumas, įskaitant su saugumu susijusius santykių su tiesioginiais tiekėjais ar paslaugų teikėjais aspektus. 5 punktas jį papildo saugumo priemonėmis įsigyjant, kuriant ir prižiūrint, įskaitant pažeidžiamumų tvarkymą ir atskleidimą.

Direktyva (ES) 2022/2555 šiuo klausimu yra konkretesnė: pagal jos 21 straipsnio 3 dalį subjektai atsižvelgia į kiekvienam tiesioginiam tiekėjui būdingus pažeidžiamumus, taip pat į bendrą savo tiekėjų produktų ir kibernetinio saugumo praktikos kokybę. Vokietijos įstatymo tekste ši dalis pažodžiui neperkelta; aiškinamajame rašte (Bundestago spaudinys, BT-Drucksache 21/1501) ji aptariama komentaruose dėl 30 §.

Įstatymas nenustato fiksuoto klausimyno. Pasiteisino keturi žingsniai: suskirstyti tiekėjus pagal kritiškumą (kokius duomenis, sistemas ir procesus jie paliečia?), nustatyti minimalius reikalavimus kiekvienai grupei, patikrinti jų vykdymą pagal įrodymus ir rezultatą saugoti taip, kad jį būtų galima pateikti audito metu.

Įprasti reikalavimai apima prieigos apsaugą, pavyzdžiui, kelių veiksnių autentifikavimą, šifravimą, pažeidžiamumų ir pataisų valdymą, pasirengimą ekstremalioms situacijoms, pranešimo apie saugumo incidentus kanalus ir sertifikatus, tokius kaip ISO/IEC 27001. Jei tiekėjas tvarko asmens duomenis jūsų vardu, papildomai reikia sutarties pagal BDAR 28 straipsnį.

Patikrinimas nėra vienkartinis: sertifikatų galiojimas baigiasi, keičiasi subrangovai, kinta reikalavimai. Todėl pakartotiniai patikrinimai yra rizikos valdymo dalis.

Pagal BSIG 33 § subjektai, kuriems taikomas įstatymas, privalo užsiregistruoti Vokietijos federalinėje informacinių technologijų saugumo tarnyboje (BSI) ne vėliau kaip per tris mėnesius nuo tada, kai pirmą kartą tampa subjektu. BSI duomenimis, subjektams, kuriems įstatymas buvo taikomas jau jo įsigaliojimo metu, šis terminas jau pasibaigė; jie turi užsiregistruoti nedelsiant.

Vadovybė privalo įgyvendinti rizikos valdymo priemones ir prižiūrėti jų įgyvendinimą (BSIG 38 § 1 dalis) bei reguliariai dalyvauti mokymuose (BSIG 38 § 3 dalis).

Pagal BSIG 65 § už 30 § pažeidimus esminiams subjektams gali būti skiriamos baudos iki 10 mln. eurų, o svarbiems subjektams – iki 7 mln. eurų. Jei pasaulinė metinė apyvarta viršija 500 mln. eurų, viršutinė riba yra atitinkamai 2 % arba 1,4 % šios apyvartos.

Vendo4u reikalavimų nepateikia kaip atskiro klausimyno kiekvienam klientui – jie sudaro bendrą katalogą: tiekėjai vieną kartą pateikia informaciją apie informacijos saugumą, duomenų apsaugą ir veiklos tęstinumą ir pagrindžia ją dokumentais prie atitinkamo kriterijaus. Pirkėjai filtruoja pagal savo minimalius reikalavimus, lygina tiekėjus ir eksportuoja profilį kartu su įrodymais savo dokumentacijai.

Pareiga vertinti lieka subjektui. Vendo4u tam suteikia vienodą, atsekamą pagrindą.