Vključevanje dobaviteljev po NIS2: kaj zahteva § 30 BSIG za dobavno verigo?

Zakon o BSI v različici zakona o prenosu direktive NIS 2 (zvezni uradni list, BGBl. 2025 I št. 301) razlikuje med bistvenimi in pomembnimi subjekti (§ 28 BSIG). Odločilni sta vrsta subjekta po prilogah 1 in 2 – na primer energetika, promet, finance, poštne in kurirske storitve ali predelovalne dejavnosti – in njegova velikost.

Subjekt iz priloge 1 je bistven od 250 zaposlenih ali od letnega prometa nad 50 milijonov evrov ob hkratni bilančni vsoti nad 43 milijonov evrov. Subjekt iz priloge 1 ali 2 je pomemben od 50 zaposlenih ali kadar promet in bilančna vsota vsak presegata 10 milijonov evrov. Nekateri subjekti, na primer upravljavci kritičnih objektov, spadajo na področje uporabe zakona ne glede na svojo velikost.

Ni nujno, da zakon velja za dobavitelje same, da bi ti občutili njegove posledice: njihove stranke morajo dokazati varnost dobavnega razmerja in zato zahteve prenašajo nanje.

§ 30(2) našteva deset ukrepov, ki morajo biti najmanj del obvladovanja tveganj. Točka 4 navaja varnost dobavne verige, vključno z varnostnimi vidiki razmerij z neposrednimi dobavitelji ali ponudniki storitev. Točka 5 dodaja varnost pri pridobivanju, razvoju in vzdrževanju, vključno z obravnavanjem in razkrivanjem ranljivosti.

Direktiva (EU) 2022/2555 je na tem mestu konkretnejša: v skladu s členom 21(3) subjekti upoštevajo ranljivosti, specifične za vsakega neposrednega dobavitelja, ter splošno kakovost izdelkov in prakse kibernetske varnosti svojih dobaviteljev. V nemškem zakonu ta odstavek ni dobesedno zapisan; obrazložitev zakona (dokument Bundestaga BT-Drucksache 21/1501) ga obravnava pri § 30.

Iz zakona ne izhaja določen vprašalnik. Obnesli so se štirje koraki: dobavitelje razvrstiti po kritičnosti (s katerimi podatki, sistemi in procesi so v stiku?), določiti minimalne zahteve za vsako stopnjo, izpolnjevanje preveriti na podlagi dokazil in rezultat shraniti tako, da ga je mogoče predložiti pri reviziji.

Tipične zahteve zadevajo zaščito dostopa, kot je večfaktorska avtentikacija, šifriranje, upravljanje ranljivosti in popravkov, pripravljenost na izredne razmere, poti za prijavo varnostnih incidentov in certifikate, kot je ISO/IEC 27001. Če dobavitelj obdeluje osebne podatke v imenu stranke, se doda še pogodba v skladu s členom 28 GDPR.

Preverjanje ni enkratna stvar: certifikati potečejo, podizvajalci se menjajo, zahteve se spreminjajo. Ponavljajoči se pregledi so zato del obvladovanja tveganj.

V skladu s § 33 BSIG se morajo zadevni subjekti registrirati pri BSI najpozneje tri mesece po tem, ko prvič veljajo za subjekt. Za subjekte, ki so bili zajeti že ob začetku veljavnosti zakona, je ta rok po navedbah BSI potekel; registracijo morajo nemudoma opraviti naknadno.

Vodstvo mora izvajati ukrepe za obvladovanje tveganj in nadzorovati njihovo izvajanje (§ 38(1) BSIG) ter se redno udeleževati usposabljanj (§ 38(3) BSIG).

Za kršitve § 30 se lahko v skladu s § 65 BSIG izrečejo globe do 10 milijonov evrov za bistvene in do 7 milijonov evrov za pomembne subjekte. Pri svetovnem letnem prometu nad 500 milijonov evrov je zgornja meja 2 % oziroma 1,4 % tega prometa.

Vendo4u zahtev ne prikazuje kot vprašalnik za vsako stranko posebej, temveč kot skupni katalog: dobavitelji svoje podatke o informacijski varnosti, varstvu podatkov in neprekinjenem poslovanju vnesejo enkrat in jih podprejo z dokumenti ob posameznem merilu. Kupci filtrirajo po svojih minimalnih zahtevah, primerjajo dobavitelje in izvozijo profil skupaj z dokazili za lastno dokumentacijo.

Obveznost ocene ostaja pri subjektu. Vendo4u zanjo zagotavlja enotno in sledljivo podlago.