Onboarding dostawców w ramach NIS2: czego wymaga § 30 BSIG w zakresie łańcucha dostaw?

Ustawa o BSI w brzmieniu nadanym ustawą o wdrożeniu dyrektywy NIS2 (Federalny Dziennik Ustaw, BGBl. 2025 I nr 301) rozróżnia podmioty kluczowe i ważne (§ 28 BSIG). Decydujące są rodzaj podmiotu według załączników 1 i 2 – np. energetyka, transport, finanse, usługi pocztowe i kurierskie lub produkcja – oraz jego wielkość.

Podmiotem kluczowym jest podmiot z załącznika 1 zatrudniający co najmniej 250 pracowników albo osiągający roczny obrót powyżej 50 mln euro przy jednoczesnej sumie bilansowej powyżej 43 mln euro. Podmiotem ważnym jest podmiot z załącznika 1 lub 2 zatrudniający co najmniej 50 pracowników albo osiągający obrót i sumę bilansową przekraczające każde z osobna 10 mln euro. Niektóre podmioty, np. operatorzy obiektów krytycznych, są objęte przepisami niezależnie od wielkości.

Dostawcy nie muszą sami podlegać ustawie, aby odczuć jej skutki: ich klienci muszą wykazać bezpieczeństwo relacji z dostawcą i dlatego przenoszą na nich te wymagania.

§ 30 ust. 2 wymienia dziesięć środków, które jako minimum wchodzą w zakres zarządzania ryzykiem. Punkt 4 wskazuje bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa dotyczące relacji z bezpośrednimi dostawcami lub usługodawcami. Punkt 5 dodaje środki bezpieczeństwa przy nabywaniu, rozwoju i utrzymaniu, w tym postępowanie w przypadku podatności i ich ujawnianie.

Dyrektywa (UE) 2022/2555 jest w tym miejscu bardziej konkretna: zgodnie z art. 21 ust. 3 podmioty uwzględniają podatności charakterystyczne dla każdego bezpośredniego dostawcy oraz ogólną jakość produktów i praktyk cyberbezpieczeństwa swoich dostawców. W niemieckiej ustawie ten ustęp nie występuje dosłownie; uzasadnienie projektu ustawy (druk Bundestagu, BT-Drucksache 21/1501) odnosi się do niego w objaśnieniach do § 30.

Z ustawy nie wynika sztywny katalog pytań. Sprawdziły się cztery kroki: sklasyfikować dostawców według krytyczności (jakich danych, systemów i procesów dotyczą?), określić wymagania minimalne dla każdej klasy, sprawdzić ich spełnienie na podstawie dowodów i zarchiwizować wynik tak, aby można go było przedstawić podczas kontroli.

Typowe wymagania dotyczą ochrony dostępu, np. uwierzytelniania wieloskładnikowego, szyfrowania, zarządzania podatnościami i poprawkami, gotowości na sytuacje awaryjne, kanałów zgłaszania incydentów bezpieczeństwa oraz certyfikacji, takich jak ISO/IEC 27001. Jeśli dostawca przetwarza dane osobowe w imieniu zleceniodawcy, dochodzi do tego umowa powierzenia zgodna z art. 28 RODO.

Weryfikacja nie jest jednorazowa: certyfikaty wygasają, podwykonawcy się zmieniają, wymagania ewoluują. Regularne kontrole są zatem częścią zarządzania ryzykiem.

Zgodnie z § 33 BSIG podmioty objęte ustawą muszą zarejestrować się w Federalnym Urzędzie ds. Bezpieczeństwa Informatycznego (BSI) najpóźniej trzy miesiące po tym, jak po raz pierwszy zostały uznane za podmiot. Według BSI termin ten upłynął już dla podmiotów, które podlegały ustawie w chwili jej wejścia w życie; rejestrację należy niezwłocznie nadrobić.

Kierownictwo musi wdrożyć środki zarządzania ryzykiem i nadzorować ich wdrażanie (§ 38 ust. 1 BSIG) oraz regularnie uczestniczyć w szkoleniach (§ 38 ust. 3 BSIG).

Naruszenia § 30 mogą zgodnie z § 65 BSIG podlegać karom pieniężnym do 10 mln euro w przypadku podmiotów kluczowych i do 7 mln euro w przypadku podmiotów ważnych. Przy światowym rocznym obrocie przekraczającym 500 mln euro górna granica wynosi odpowiednio 2% lub 1,4% tego obrotu.

Vendo4u nie odwzorowuje wymagań jako osobnego kwestionariusza dla każdego klienta, lecz jako wspólny katalog: dostawcy raz zamieszczają informacje dotyczące bezpieczeństwa informacji, ochrony danych i ciągłości działania i potwierdzają je dokumentami przy poszczególnych kryteriach. Kupujący filtrują według swoich wymagań minimalnych, porównują dostawców i eksportują profil wraz z dowodami do własnej dokumentacji.

Obowiązek oceny pozostaje po stronie podmiotu. Vendo4u zapewnia do tego jednolitą, możliwą do prześledzenia podstawę.