Piegādātāju iekļaušana saskaņā ar NIS2: ko BSIG 30. § prasa attiecībā uz piegādes ķēdi?

BSI likums, kas grozīts ar NIS2 direktīvas ieviešanas likumu (Vācijas Federālais likumu vēstnesis, BGBl. 2025 I Nr. 301), nošķir būtiskas un svarīgas vienības (BSIG 28. §). Izšķiroša nozīme ir vienības veidam saskaņā ar 1. un 2. pielikumu – piemēram, enerģētika, transports, finanses, pasta un kurjeru pakalpojumi vai apstrādes rūpniecība – un tās lielumam.

1. pielikumā minēta vienība ir būtiska, ja tajā ir vismaz 250 darbinieku vai tās gada apgrozījums pārsniedz 50 miljonus eiro un vienlaikus bilances kopsumma pārsniedz 43 miljonus eiro. 1. vai 2. pielikumā minēta vienība ir svarīga, ja tajā ir vismaz 50 darbinieku vai tās apgrozījums un bilances kopsumma katrs pārsniedz 10 miljonus eiro. Dažas vienības, piemēram, kritisko iekārtu operatori, ir aptvertas neatkarīgi no to lieluma.

Piegādātājiem pašiem nav jābūt likuma darbības jomā, lai izjustu tā sekas: viņu klientiem ir jāpierāda piegādes attiecību drošība, tāpēc viņi prasības nodod tālāk piegādātājiem.

30. § 2. daļā ir uzskaitīti desmit pasākumi, kas riska pārvaldībā jāietver kā minimums. 4. punktā minēta piegādes ķēdes drošība, tostarp ar drošību saistītie aspekti attiecībās ar tiešajiem piegādātājiem vai pakalpojumu sniedzējiem. 5. punkts to papildina ar drošību iegādē, izstrādē un uzturēšanā, tostarp ievainojamību apstrādi un atklāšanu.

Direktīva (ES) 2022/2555 šajā ziņā ir konkrētāka: saskaņā ar tās 21. panta 3. punktu vienības ņem vērā katram tiešajam piegādātājam raksturīgās ievainojamības, kā arī savu piegādātāju produktu un kiberdrošības prakses vispārējo kvalitāti. Vācijas likuma tekstā šis punkts nav pārņemts burtiski; likumprojekta paskaidrojuma rakstā (Bundestāga dokuments, BT-Drucksache 21/1501) uz to atsaucas komentāros par 30. §.

Likums nenosaka fiksētu anketu. Sevi ir attaisnojuši četri soļi: klasificēt piegādātājus pēc kritiskuma (kādus datus, sistēmas un procesus tie skar?), noteikt minimālās prasības katrai klasei, pārbaudīt to izpildi pēc pierādījumiem un rezultātu saglabāt tā, lai to varētu uzrādīt audita laikā.

Tipiskās prasības attiecas uz piekļuves aizsardzību, piemēram, daudzfaktoru autentifikāciju, šifrēšanu, ievainojamību un ielāpu pārvaldību, gatavību ārkārtas situācijām, ziņošanas kanāliem drošības incidentu gadījumā un sertifikāciju, piemēram, ISO/IEC 27001. Ja piegādātājs apstrādā personas datus jūsu uzdevumā, papildus nepieciešams līgums saskaņā ar VDAR 28. pantu.

Pārbaude nav vienreizēja: sertifikātu derīgums beidzas, apakšuzņēmēji mainās, prasības attīstās. Tāpēc regulāras pārbaudes ir daļa no riska pārvaldības.

Saskaņā ar BSIG 33. § attiecīgajām vienībām ne vēlāk kā trīs mēnešus pēc tam, kad tās pirmo reizi kļūst par vienību, jāreģistrējas Vācijas Federālajā informācijas tehnoloģiju drošības birojā (BSI). Saskaņā ar BSI sniegto informāciju vienībām, uz kurām likums attiecās jau tā stāšanās spēkā brīdī, šis termiņš ir beidzies; tām jāreģistrējas nekavējoties.

Vadībai ir jāīsteno riska pārvaldības pasākumi un jāuzrauga to īstenošana (BSIG 38. § 1. daļa), kā arī regulāri jāpiedalās mācībās (BSIG 38. § 3. daļa).

Saskaņā ar BSIG 65. § par 30. § pārkāpumiem būtiskām vienībām var piemērot naudas sodu līdz 10 miljoniem eiro, bet svarīgām vienībām – līdz 7 miljoniem eiro. Ja apgrozījums pasaulē gadā pārsniedz 500 miljonus eiro, augšējā robeža ir attiecīgi 2 % vai 1,4 % no šā apgrozījuma.

Vendo4u prasības neattēlo kā atsevišķu anketu katram klientam, bet gan kā kopīgu katalogu: piegādātāji vienreiz iesniedz informāciju par informācijas drošību, datu aizsardzību un darbības nepārtrauktību un pamato to ar dokumentiem pie attiecīgā kritērija. Pircēji filtrē pēc savām minimālajām prasībām, salīdzina piegādātājus un eksportē profilu kopā ar pierādījumiem savai dokumentācijai.

Pienākums veikt novērtējumu paliek vienībai. Vendo4u tam nodrošina vienotu, izsekojamu pamatu.