Onboarding dodávateľov podľa NIS2: čo vyžaduje § 30 BSIG pre dodávateľský reťazec?

Zákon o BSI v znení zákona o transpozícii smernice NIS 2 (Spolková zbierka zákonov, BGBl. 2025 I č. 301) rozlišuje základné a dôležité subjekty (§ 28 BSIG). Rozhodujúci je druh subjektu podľa príloh 1 a 2 – napríklad energetika, doprava, financie, poštové a kuriérske služby alebo výroba – a jeho veľkosť.

Subjekt uvedený v prílohe 1 je základný od 250 zamestnancov alebo od ročného obratu vyššieho ako 50 miliónov eur pri súčasnej bilančnej sume vyššej ako 43 miliónov eur. Subjekt uvedený v prílohe 1 alebo 2 je dôležitý od 50 zamestnancov alebo vtedy, keď jeho obrat aj bilančná suma presahujú 10 miliónov eur. Niektoré subjekty, napríklad prevádzkovatelia kritických zariadení, patria do pôsobnosti zákona bez ohľadu na svoju veľkosť.

Dodávatelia nemusia sami spadať pod zákon, aby pocítili jeho dôsledky: ich zákazníci musia preukázať bezpečnosť dodávateľského vzťahu, a preto na nich požiadavky prenášajú.

§ 30 ods. 2 vymenúva desať opatrení, ktoré musí riadenie rizík minimálne zahŕňať. Bod 4 uvádza bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov vzťahov s priamymi dodávateľmi alebo poskytovateľmi služieb. Bod 5 dopĺňa bezpečnosť pri nadobúdaní, vývoji a údržbe vrátane riešenia a zverejňovania zraniteľností.

Smernica (EÚ) 2022/2555 je v tomto bode konkrétnejšia: podľa čl. 21 ods. 3 subjekty zohľadňujú zraniteľnosti špecifické pre každého priameho dodávateľa, ako aj celkovú kvalitu produktov a postupov kybernetickej bezpečnosti svojich dodávateľov. V nemeckom zákone tento odsek doslovne uvedený nie je; dôvodová správa (parlamentná tlač Bundestagu, BT-Drucksache 21/1501) sa naň odvoláva pri § 30.

Zo zákona nevyplýva pevný katalóg otázok. Osvedčili sa štyri kroky: zaradiť dodávateľov podľa kritickosti (s akými údajmi, systémami a procesmi prichádzajú do styku?), stanoviť minimálne požiadavky pre každú triedu, preveriť ich plnenie na základe dokladov a výsledok uložiť tak, aby ho bolo možné predložiť pri audite.

Typické požiadavky sa týkajú ochrany prístupu, napríklad viacfaktorovej autentifikácie, ďalej šifrovania, riadenia zraniteľností a záplat, núdzovej pripravenosti, kanálov na hlásenie bezpečnostných incidentov a certifikácií ako ISO/IEC 27001. Ak dodávateľ spracúva osobné údaje v mene zákazníka, pribudne zmluva podľa čl. 28 GDPR.

Preverenie nie je jednorazová záležitosť: platnosť certifikátov uplynie, subdodávatelia sa menia, požiadavky sa vyvíjajú. Opakované kontroly sú preto súčasťou riadenia rizík.

Podľa § 33 BSIG sa dotknuté subjekty musia zaregistrovať na BSI najneskôr do troch mesiacov od chvíle, keď sa prvý raz stali subjektom v zmysle zákona. Pre subjekty, ktorých sa zákon týkal už pri nadobudnutí účinnosti, táto lehota podľa BSI uplynula; registráciu musia bezodkladne vykonať dodatočne.

Vedenie musí opatrenia na riadenie rizík zaviesť a dohliadať na ich vykonávanie (§ 38 ods. 1 BSIG) a pravidelne sa zúčastňovať na školeniach (§ 38 ods. 3 BSIG).

Za porušenie § 30 možno podľa § 65 BSIG uložiť pokutu do 10 miliónov eur v prípade základných subjektov a do 7 miliónov eur v prípade dôležitých subjektov. Pri celosvetovom ročnom obrate vyššom ako 500 miliónov eur je horná hranica 2 %, resp. 1,4 % tohto obratu.

Vendo4u nezobrazuje požiadavky ako samostatný dotazník pre každého zákazníka, ale ako spoločný katalóg: dodávatelia raz zadajú svoje údaje o informačnej bezpečnosti, ochrane údajov a kontinuite prevádzky a podložia ich dokumentmi pri príslušnom kritériu. Nákupcovia filtrujú podľa svojich minimálnych požiadaviek, porovnávajú dodávateľov a exportujú profil vrátane dokladov pre vlastnú dokumentáciu.

Povinnosť posúdenia zostáva na subjekte. Vendo4u preň poskytuje jednotný a preskúmateľný podklad.