Onboarding tal-fornituri taħt in-NIS2: x'jirrikjedi § 30 tal-BSIG għall-katina tal-provvista?

L-Att dwar il-BSI kif emendat bl-Att li jittrasponi d-Direttiva NIS2 (Gazzetta tal-Liġijiet Federali BGBl. 2025 I Nru 301) jagħmel distinzjoni bejn entitajiet essenzjali u importanti (§ 28 tal-BSIG). Dak li jgħodd huwa t-tip ta' entità elenkat fl-Annessi 1 u 2 – pereżempju l-enerġija, it-trasport, il-finanzi, is-servizzi postali u tal-kurrier jew il-manifattura – u d-daqs tagħha.

Entità elenkata fl-Anness 1 hija essenzjali minn 250 impjegat, jew minn fatturat annwali ta' aktar minn €50 miljun flimkien ma' total tal-karta tal-bilanċ ta' aktar minn €43 miljun. Entità elenkata fl-Anness 1 jew 2 hija importanti minn 50 impjegat, jew minn fatturat u total tal-karta tal-bilanċ ta' aktar minn €10 miljun kull wieħed. Xi entitajiet, bħall-operaturi ta' faċilitajiet kritiċi, huma koperti irrispettivament mid-daqs tagħhom.

Il-fornituri ma jridux ikunu huma stess koperti mill-Att biex iħossu l-effetti tiegħu: il-klijenti tagħhom iridu juru s-sigurtà tar-relazzjoni tal-provvista u għalhekk jgħaddulhom ir-rekwiżiti.

L-Artikolu 30(2) jelenka għaxar miżuri li l-ġestjoni tar-riskju trid tinkludi bħala minimu. Il-punt 4 jsemmi s-sigurtà tal-katina tal-provvista, inklużi l-aspetti relatati mas-sigurtà tar-relazzjonijiet mal-fornituri diretti jew mal-fornituri tas-servizzi. Il-punt 5 iżid is-sigurtà fl-akkwist, fl-iżvilupp u fil-manutenzjoni, inklużi l-immaniġġjar u d-divulgazzjoni tal-vulnerabbiltajiet.

Id-Direttiva (UE) 2022/2555 hija aktar speċifika hawnhekk: skont l-Artikolu 21(3), l-entitajiet iqisu l-vulnerabbiltajiet speċifiċi għal kull fornitur dirett kif ukoll il-kwalità ġenerali tal-prodotti u tal-prattiki taċ-ċibersigurtà tal-fornituri tagħhom. Dan il-paragrafu mhuwiex riprodott kelma b'kelma fl-Att Ġermaniż; il-memorandum ta' spjegazzjoni (dokument stampat tal-Bundestag, BT-Drucksache 21/1501) jirreferi għalih fin-noti tiegħu dwar l-Artikolu 30.

L-Att ma jippreskrivix kwestjonarju fiss. Erba' passi wrew li huma utli: tikklassifika l-fornituri skont il-kritiċità (liema data, sistemi u proċessi jmissu?), tistabbilixxi rekwiżiti minimi għal kull klassi, tivverifika l-konformità abbażi tal-evidenza u tarkivja r-riżultat b'mod li jista' jiġi ppreżentat f'awditjar.

Ir-rekwiżiti tipiċi jkopru l-protezzjoni tal-aċċess bħall-awtentikazzjoni b'diversi fatturi, il-kriptaġġ, il-ġestjoni tal-vulnerabbiltajiet u tal-patches, it-tħejjija għall-emerġenzi, il-kanali għar-rappurtar ta' inċidenti tas-sigurtà u ċ-ċertifikazzjonijiet bħal ISO/IEC 27001. Jekk il-fornitur jipproċessa data personali f'ismek, jiżdied il-ftehim skont l-Art. 28 tal-GDPR.

Ir-reviżjoni mhijiex xi ħaġa ta' darba: iċ-ċertifikati jiskadu, is-sottokuntratturi jinbidlu, ir-rekwiżiti jevolvu. Għalhekk il-kontrolli rikorrenti huma parti mill-ġestjoni tar-riskju.

Skont § 33 tal-BSIG, l-entitajiet affettwati jridu jirreġistraw mal-Uffiċċju Federali għas-Sigurtà tal-Informazzjoni (BSI) mhux aktar tard minn tliet xhur wara li jikkwalifikaw għall-ewwel darba bħala entità. Skont il-BSI, din l-iskadenza għaddiet għall-entitajiet li kienu diġà koperti meta l-Att daħal fis-seħħ; dawn iridu jirreġistraw mingħajr dewmien.

Il-maniġment irid jimplimenta l-miżuri ta' ġestjoni tar-riskju u jissorvelja l-implimentazzjoni tagħhom (§ 38(1) tal-BSIG) u jieħu sehem regolarment f'taħriġ (§ 38(3) tal-BSIG).

Skont § 65 tal-BSIG, il-ksur tal-Artikolu 30 jista' jiġi penalizzat b'multi sa €10 miljun għall-entitajiet essenzjali u sa €7 miljun għall-entitajiet importanti. Għal fatturat annwali dinji ta' aktar minn €500 miljun, il-limitu massimu huwa 2% jew 1.4% ta' dak il-fatturat rispettivament.

Vendo4u ma jirrappreżentax ir-rekwiżiti bħala kwestjonarju wieħed għal kull klijent iżda bħala katalgu komuni: il-fornituri jdaħħlu l-informazzjoni tagħhom dwar is-sigurtà tal-informazzjoni, il-protezzjoni tad-data u l-kontinwità tan-negozju darba biss u jsostnuha b'dokumenti marbuta ma' kull kriterju. Ix-xerrejja jiffiltraw skont ir-rekwiżiti minimi tagħhom, iqabblu l-fornituri u jesportaw il-profil inkluża l-evidenza għad-dokumentazzjoni tagħhom stess.

Id-dmir tal-valutazzjoni jibqa' tal-entità. Vendo4u jipprovdi bażi uniformi u traċċabbli għaliha.