Onboarding-ul furnizorilor conform NIS2: ce prevede § 30 BSIG pentru lanțul de aprovizionare?

Legea privind BSI, în forma modificată prin Legea de transpunere a Directivei NIS2 (Monitorul Oficial Federal german, BGBl. 2025 I nr. 301), face distincția între entități esențiale și entități importante (§ 28 BSIG). Determinante sunt tipul de entitate, conform anexelor 1 și 2 – de exemplu energie, transport, finanțe, servicii poștale și de curierat sau industria prelucrătoare –, și dimensiunea acesteia.

O entitate din anexa 1 este esențială de la 250 de angajați sau de la o cifră de afaceri anuală de peste 50 de milioane de euro și, în același timp, un total al bilanțului de peste 43 de milioane de euro. O entitate din anexa 1 sau 2 este importantă de la 50 de angajați sau de la o cifră de afaceri și un total al bilanțului de peste 10 milioane de euro fiecare. Unele entități, de exemplu operatorii de instalații critice, intră sub incidența legii indiferent de dimensiune.

Furnizorii nu trebuie să intre ei înșiși sub incidența legii pentru a-i resimți efectele: clienții lor trebuie să demonstreze securitatea relației de aprovizionare și, prin urmare, le transmit cerințele mai departe.

§ 30 alin. (2) enumeră zece măsuri pe care gestionarea riscurilor trebuie să le includă cel puțin. Punctul 4 menționează securitatea lanțului de aprovizionare, inclusiv aspectele legate de securitate ale relațiilor cu furnizorii direcți sau prestatorii de servicii direcți. Punctul 5 adaugă securitatea în achiziție, dezvoltare și întreținere, inclusiv gestionarea și divulgarea vulnerabilităților.

Directiva (UE) 2022/2555 este mai concretă în acest punct: conform art. 21 alin. (3), entitățile țin seama de vulnerabilitățile specifice fiecărui furnizor direct, precum și de calitatea generală a produselor și a practicilor de securitate cibernetică ale furnizorilor lor. Acest alineat nu este preluat cuvânt cu cuvânt în legea germană; expunerea de motive (documentul Bundestagului BT-Drucksache 21/1501) face trimitere la el în comentariile la § 30.

Legea nu prescrie un chestionar fix. S-au dovedit utili patru pași: clasificați furnizorii după criticitate (ce date, sisteme și procese ating?), stabiliți cerințe minime pentru fiecare clasă, verificați îndeplinirea lor pe baza dovezilor și arhivați rezultatul astfel încât să poată fi prezentat la un audit.

Cerințele tipice privesc protecția accesului, precum autentificarea multifactor, criptarea, gestionarea vulnerabilităților și a patch-urilor, pregătirea pentru situații de urgență, canalele de raportare a incidentelor de securitate și certificări precum ISO/IEC 27001. Dacă furnizorul prelucrează date cu caracter personal în numele dumneavoastră, se adaugă contractul conform art. 28 din GDPR.

Verificarea nu este un demers unic: certificatele expiră, subcontractanții se schimbă, cerințele evoluează. Controalele periodice fac, prin urmare, parte din gestionarea riscurilor.

Conform § 33 BSIG, entitățile vizate trebuie să se înregistreze la BSI cel târziu la trei luni după ce sunt considerate pentru prima dată entitate. Potrivit BSI, acest termen a expirat pentru entitățile vizate deja la intrarea în vigoare a legii; acestea trebuie să se înregistreze fără întârziere.

Conducerea trebuie să pună în aplicare măsurile de gestionare a riscurilor și să monitorizeze implementarea lor (§ 38 alin. (1) BSIG) și să participe periodic la cursuri de formare (§ 38 alin. (3) BSIG).

Conform § 65 BSIG, încălcările § 30 pot fi sancționate cu amenzi de până la 10 milioane de euro pentru entitățile esențiale și de până la 7 milioane de euro pentru entitățile importante. În cazul unei cifre de afaceri anuale la nivel mondial de peste 500 de milioane de euro, plafonul este de 2 %, respectiv 1,4 % din această cifră de afaceri.

Vendo4u nu reflectă cerințele sub forma unui chestionar pentru fiecare client, ci sub forma unui catalog comun: furnizorii își introduc o singură dată informațiile privind securitatea informației, protecția datelor și continuitatea activității și le susțin cu documente atașate fiecărui criteriu. Cumpărătorii filtrează după cerințele lor minime, compară furnizorii și exportă profilul, inclusiv dovezile, pentru propria documentație.

Obligația de evaluare rămâne în sarcina entității. Vendo4u oferă pentru aceasta o bază uniformă și trasabilă.