זענען סאַפּלייער קאָנטראַקטן איצט דער שליסל־פונקט פון NIS 2 קאָנפאָרמאַטי?
דער קאנטראקט וואס אייער ארגאניזאציע אונטערשרייבט מיט יעדן סאַפּלייער איז איצט דער דעפינירנדיקער באווייז פון NIS 2 קאמפלייענס - עס איז שווערער ווי אלטע פאליסי דאקומענטן און עס איז בעסער ווי סטאטישע "זיכערהייט פארפליכטונגען" וואס זענען געשריבן געווארן אין א פאר-רעגולאציע תקופה. אין 2024, קאנצענטרירן זיך אוידיטס, דורכפירונג, און באארד ריזיקע אפשאצונגען אויף צי אייערע סאַפּלייער קאנטראקטן זענען גלייך צוגעפאסט צו אייער יעצטיגן ריזיקע רעגיסטער און אפעראציאנעלע קאנטראלן. אויב א קאנטראקט איז הינטערשטעליג צו אייערע אקטועלע ריזיקעס אדער לאזט אויס א ספעציפישע זיכערהייט קלאזול - נישט קיין חילוק ווי קליין דער פארקויפער - אבזארבירט אייער ארגאניזאציע די פולע קאנסעקווענצן פאר יענעם גאפ: פון אוידיט עסאלאציע ביזן סאַפּלייער-געטריבענעם אינצידענט. ווי די סופליי טשיין סייבער סכנות פארמערן זיך, קען אפילו איין אומקלארע קלאזול אדער אן אלטמאדישע אויסשטעלונג אויסרופן אן אויספארשונג, רעגולאטאר אקציע, אדער קריזיס מענעדזשמענט שפרינט.
די שוואַכסטע פּונקט אין אייער סאַפּלייער קאָנטראַקט איז די וואָס וועט מערסטנס אַרויסרופֿן ריפּאַל-עפֿעקטן איבערן געשעפֿט - און דאָס איז שטענדיק די וואָס אַן אוידיטאָר געפינט ערשטער.
NIS 2 טראנספארמירט סאַפּלייער פאַרוואַלטונג פון אַ קאַמפּליאַנס נאָכטראַכט אין אַ טעגלעכער אָפּעראַציאָנעלער דיסציפּלין. אָדיטאָרס און נאַציאָנאַלע רעגולאַטאָרן ערוואַרטן איצט אַז קאָנטראַקטן זאָלן שטימען מיט דער שפּראַך און דעטאַל פון מאָדערנע ריזיקאָ ראַמען ווי ISO 27001 : 2022 און GDPR. קאָנטראַקטן מוזן נישט בלויז ליסטן אָבליגאַציעס, נאָר צושטעלן דירעקטע, טעסטאַבלע באַווייַזן פון קאָנטראָלן אין אַקציע און זיין געהאלטן אַרויף צו דאַטע אין דער זעלביקער קאַדענץ ווי דיין ריזיקאָ אָפּשאַצונג. דער איינציקער וועג צו ויסמיידן קאָנטראָל איז צו מאַכן קאָנטראַקטן לעבעדיקע אַסעץ - טראַקט, אָפּגעקוקט און מאַפּט צו לעבעדיקע קאָנטראָל באַווייַזן - אלא ווי לעגאַלע געשטעל מעבל. לעצטן יאָר אַליין, האָבן אייראָפּעיִשע רעגולאַטאָרן ציטירט מאַנגל אין קאָנטראַקט קלעריטי אָדער פעלנדיקע קלאָזולעס אַזוי אָפט ווי פאַקטישע זיכערהייט אינצידענטן ווען זיי לאָנטשן גרויסע אויספאָרשונגען.
די תקופה פון פּראָאַקטיווע קאָנטראַקט איבערבליק - אַנשטאָט רעאַקטיווע רייניקונג - פאַרוואַנדלט צייט דרוק אין אַ שטאַרקייט און ברענגט ווידערשטאַנד וואָס דויערט דורך אוידאַץ, קונה באריכטן און קאָנטראָל אויף דער דירעקטאָרן-ראַט.
וואָס געזעצן און סטאַנדאַרדן דעפינירן סאַפּלייער קאָנטראַקט אינהאַלט אין 2024?
סאַפּלייער קאָנטראַקט רעקווייערמענץ ווערן איצט דורכגעפירט אויף דריי פראָנטן: NIS 2 , ISO 27001:2022 , און GDPR . יעדער לייגט אריין זיין אייגענעם סכום פון "האַרטע" פּראָוויזשאַנז בשעת פאָדערט אַז אייערע קאָנטראַקטן און שטיצנדיקע באַווייַזן זאָלן בלייבן סינגקראָניזירט מיט לעבעדיגע אָפּעראַציעס און ריזיקאָ אַסעסמאַנץ.
NIS 2: פון פּרינציפּ צו באַווייַז
NIS 2'ס ארטיקל 21(2)(ד) שרייבט ארויס קלארע ערווארטונגען: אייער ארגאניזאציע מוז זיך אפגעבן מיט "סייבער-זיכערהייט ריזיקעס פארבונדן מיט די באציאונג צווישן יעדער ענטיטי און אירע דירעקטע סופלייערס און סערוויס פראוויידערס... אריינגערעכנט אויף דער מדרגה פון זייערע ICT סופליי קייטן, אין איינקלאנג מיט די קריטישקייט פון די באציאונגען." דאס איז שוין נישט קיין קעסטל-אפצייכענען געניטונג: קאנטראקטן מוזן איינשליסן אויספירבארע, טעסטבארע קלאוזעס - וואס ערלויבן ביידע רוטינע באווייז זאמלונג און "דורכגיין" דעמאנסטראציעס בעת אוידיטס. אלגעמיינע "גלייכבארע זיכערהייט" קעטש-אלס זענען געווארן ערזעצט דורך מעסטבארע, דורכפירבארע קאנטראלן וואס זענען פונקטליך צוגעפאסט צו יעדן סופלייערס קריטישקייט. דער ליטמוס טעסט? א קאנטראקט איז נאר אזוי שטארק ווי די סכום ריזיקעס און קאנטראלן וואס איר קענט באווייזן דערפאר, אויף פארלאנג און אין יעדן צייטפונקט.
ISO 27001:2022 - פֿון פּאָליטיק ביז קאָנטראַקטואַלער פֿאַרפֿליכטונג
ISO 27001'ס לעצטע עוואָלוציע (אַנעקס A.5.20 און A.5.21) שטעלט צוזאַמען קאָנטראַקט דראַפטינג מיט אָפּעראַציאָנעלע קאָנטראָלן: סאַפּלייער קאָנטראַקטן דאַרפן איצט קלאָרע טעכנישע און אָרגאַניזאַציאָנעלע מיטלען, מאַנדאַטאָרישע באַווייַז איבערבליקן, אָדיט רעכט, און קלאָרע "פלאָו-אַראָפּ" פאַרפליכטונגען צו סוב-סאַפּלייערז. קאָנטראַקטן מוזן שפּיגלען קאָנטראָלן ליסטעד אין דיין סטעיטמענט פון אַפּליקאַביליטי (SoA) און בלייבן אין סינק ווי די ענדערונגען - ניט מער פּאַסיוו אַקסעפּטאַנס פון וואַגע "זיכערהייט" שפּראַך. קלאָרע צייטליניעס און דורכפירבאַרקייט קלאָזולעס זענען איצט "טיש סטייקס" פֿאַר קאַנפאָרמאַטי.
GDPR - די נישט-פארהאנדלונגסבארע פאר דאטן פראצעסירונג
אויב אייער סאַפּלייער פּראַסעסירט פּערזענלעכע דאַטן, שטופּט GDPR אַ סעריע פון נישט-פֿלעקסיבלע קאָנטראַקט טערמינען: קאָנטראָלן אויף סובפּראַסעסערז, שנעלע בריטש נאָוטאַפאַקיישאַנז (אָפט 24- אָדער 72-שעה פֿענצטער), דאַטן סואָווערייניטי, טעכנישע/אָרגאַניזאַציאָנעלע מיטלען פֿאַרפֿליכטונגען, און רעגולאַטאָר רעכט. די מאַרק-פאָרמינג גאַנג איז ניט מער "אַרייַננעמען די טערמינען" - עס איז "ווייַזן באַווייַזן פון קאַנפאָרמאַטי און איבערקוקן זיי רוטינמעסיק."
די נייע דעפֿיניציע: א מאָדערנער סאַפּלייער קאָנטראַקט איז אַ רעאַל-צייט קאָנפאָרמאַנס פּלאַטפאָרמע: אַקטיוויזירט, טעסטעד, און דיפענסיוו מאַפּט צו לעבעדיקע ריסקס און אָדיט טריילס.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
וועלכע קאנטראקט קלאוזעס זענען וויכטיג פאר NIS 2 און ISO 27001 קאמפלייענס?
אוידיטאָרן פאָקוסירן אויף באַווייזן - יעדער קאָנטראָל וואָס איז וויכטיק אין אייער ISMS מוז זיין אָפּגעשפּיגלט דורך אַ קאָנטראַקט קלאָז פֿאַר יעדן סאַפּלייער וואָס קען האָבן אַן השפּעה אויף אייער אָפּעראַציאָנעלע ווידערשטאַנד אָדער דאַטן. אַקסעפּטירן סאַפּלייער טעמפּלאַטן אָדער אַלגעמיינע לעגאַלע שפּראַך איז איצט אַ רעצעפּט פֿאַר דורכפאַל. אָן די אַנקערס, אַקיומיאַלירט איר אַקטיוו רעגולאַטאָרישע און אָפּעראַציאָנעלע ריזיקע.
אַ קאָנטראַקט איז נאָר אַזוי שטאַרק ווי די לעבעדיקע באַווײַזן וואָס איר קענט אויפברענגען פֿאַר יעדער קלאָז - ספּעציעל אונטער דרוק.
קאָר ניט-פאַרהאַנדלונגסבאַרע קלאָזולעס:
- טעכניש קאָנטראָלס: ספּעציפֿיצירן ענקריפּשאַן רעקווייערמענץ, צייט-ליניעס פֿאַר קריטישע וואַלנעראַביליטי רעמעדיאַטיאָן ("פּאַטש ין 10 געשעפט טעג"), זיכערהייט סערטיפיקאַטיאָן סטאַטוס, אַדמיניסטראַטיווע אַקסעס ריסטריקשאַנז (למשל, MFA מאַנדאַטאָרי), לאָג ריטענשאַן פּיריאַדז, רעגולער באַקאַפּ פּראָטאָקאָלן, און ריזיליאַנס עקספּעקטיישאַנז. אַדאַץ אָפט ציטירן פעלנדיק אָדער "ווייך" שפּראַך דאָ ווי אַ פאָן.
- אינצידענט אָנזאָג: באַשטימען גענויע טריגערס און צייט-ראַמען - "24 שעה פֿאַר ערשטע מעלדונג פון יעדן דאַטן בריטש אָדער מאַטעריאַל סיסטעם אינצידענט, 72-שעה שורש גרונט באַריכט, 30-טאָגיקער שליס-אויס, מיט באַשטימטע קאָנטאַקט-פונקטן." דעפינירן דעם פאַרנעם: קאָנפֿידענציאַליטעט, אָרנטלעכקייט, און פֿאַרפֿיגבאַרקייט-געשעענישן - און אינסיסטירן אויף פּראָאַקטיווע באַריכטן, נישט נאָר באַזירט אויף אויפֿדעקונג.
- אויডিץ און באַווײַז רעכט: רעזערווירט זיך דאס רעכט צו בעטן לאגס, באריכטן, און טעסט רעזולטאטן; אריינרעכענען צוטריט פאר עקסטערנע אדער קונה-באשטעלטע אויספארשונגען. זיכער מאכן אז פעריאדישע באווייזן קענען ווערן ארויפגעלייגט פאר, נישט בעת, א קריזיס.
- פליס-אראפ פליכטן: פארלאנגען אז אלע קריטישע זיכערהייט טערמינען זאלן אנwenden איבער די גאנצע צושטעל קייט - אריינגערעכנט סוב-פארקויפער - געשטיצט דורך דאקומענטאציע און באווייז-טיילונג רוטינעס (בעט לאגס, פעריאדישע וואַלידאַציע).
- רעמעדיאַציע, שטראָפֿן און טערמינאַציע: שטעלן נישט-קאָנפאָרמאַנס טערמינען (למשל, "30-טאָגיקע היילונג") פארבונדן מיט עסקאַלירנדיקע רעמעדיעס: פינאַנציעלע שטראָף, עסקאַלאַציע צו רעגולאַטאָרישע אָנזאָג, אָדער קלאָר "ריזיקירן-רעכט" צו ענדיקן.
קראָס-אָדיט עסענטשאַלז:
- סאַפּלייער שטאב קאָנטראָלס: פארלאנגען יערליכע זיכערהייט וויסיקייט טרענירונג (מיט באווייז), רעגולערע באשטעטיגונגען, און זעלבסט-אפשאצונגען פון אלע הויך-ריזיקירנדע סאַפּלייערס.
- גשמיות קאָנטראָלס: פֿאַר קריטישע סאַפּלייערז, דאַרפן באַווייַזן פון פאַסילאַטי זיכערהייט, באַקאַפּ וואַלידאַציע, ענווייראָנמענטאַל פּראַטעקשאַנז, און גשמיות צעשיידונג - צוגעפּאַסט צו סעקטאָר באדערפענישן.
א פינף-קלאָז קאָנטראַקט קערן דעקט 90% פון אוידיט דיפענסיביליטי; סעקטאָר צוגעבן קאַליברירן פֿאַר דיין אינדוסטריע.
ווי קענען אינצידענט מעלדונג קלאָזולעס בויען עכטן אוידיט צוטרוי?
סאַפּלייער בריטש באריכטן איז נישט קיין פֿענצטער דרעסינג - עס איז אַ לעגאַלע, קאָנטראַקטואַלע און אָדיט מוז-האָבן. ווען אַ סאַפּלייער טריגערט אַן אינצידענט, דער חילוק צווישן אַ רעגולאַטאָרישן שרעק און אַ באַגרענעצטן געשעעניש איז די עקזיסטענץ און עפעקטיווקייט פון דיין אָנזאָג קלאָזול. דאַטן פון רעגולירטע אינדוסטריעס ווייַזן סאַפּלייערז מיט פּינקטלעכע, דורכגעפירטע קלאָזולעס דורכשניטלעך אונטער 36 שעה ענטפער צייט, בשעת אנדערע דערפאַרן קייפל-טאָג פאַרהאַלטונגען - וואָס פאַרגרעסערט די ריזיקירן און דורכפירונג ויסשטעל.
א שנעלע, באווייזענע רעאקציע אויף א בריטש איז נאר מעגלעך אויב אייער קאנטראקט איז דורכפירבאר, געמאסטן, און ביידע זייטן זענען פאראנטווארטלעך.
מינימום קאנטראקטועלע רעקווייערמענץ פאר נאטיפיקאציע:
- 24-שעה ערשטע נאטיץ: קלאר דעפינירן מעלדונג טריגערס (יעדער באשטעטיקטער אדער פארדעכטיגטער פארלעצונג פון קאנפידענציאליטעט, באדייטנדיקער סיסטעם אויספאל, אדער אומאויטאריזירטער דאטן עקספילטראציע), באקומער, און בילכער קאנאלן. זיכער מאכן אז די לעגאלע און אפעראציאנעלע קאנטאקטן פון די סופלייערס ווערן קלאר גערופן.
- 72-שעה נאכפאלג: מאַנדאַט אַקציאָנעלע דערהייַנטיקונגען: פּראָגרעס אויף וואָרצל-גורם אויספאָרשונג, מיטיגאַציע געענדיקט, און פּראַל אַסעסמאַנט רעזולטאַטן (אפילו אויב נאָך פרי).
- 30-טאגיקער לעצטער באריכט: פארלאנגען א פארמאלע, אוידיטירבארע חשבון פון אינצידענט רעמעדיאציע-לעקציעס געלערנט, קאָנטראָלס אַדזשאַסטיד, באַווייַזן אַטאַטשט - ווי אַ שליסנדיקע שלייף.
העכערן די סטאַנדאַרטן: פֿאַר פֿינאַנציעלע (DORA) אָדער געזונטהייט (למשל, דײַטשלאַנדס BSI) סעקטאָרן, ערוואַרט שטרענגערע צײַטפּלאַנען (מאַנטשמאָל אונטער 12 שעה) און פּעריאָדישע "נאָטיפֿיקאַציע סימולאַציע" געניטונגען. פֿאָדערט אַ יערלעכע געמיינזאַמע אינצידענט סימולאַציע אין דעם קאָנטראַקט; רעגולאַטאָרישע און אוידיט רעזולטאַטן הייבן אָן צו ערוואַרטן די אין הויך-אימפּאַקט צושטעל קייטן.
אָן אַ שטאַרקע מעלדונג קלאַזול, עסאַקאַלירן די ריזיקע און קאָנפאָרמאַנס פֿאַראַנטוואָרטלעכקייטן פֿון אייער אָרגאַניזאַציע - אָפֿט אויף דער דירעקטאָרן־ליניע, נישט נאָר אין זיכערהייט אָדער פּראָקורמענט. דער ווייַטערער בריטש קען פּרובירן אייער קאָנטראַקט, נישט נאָר אייערע טעכנישע קאָנטראָלן.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
ווי אזוי זיכערט א "פלאָו-דאַון" קלאָז אייער גאַנצע סאַפּליי קייט?
NIS 2 און ISO 27001 פארלאנגען אז אייער סאַפּלייער קאָנטראַקט זאָל דערגרייכן טיף אין אייער סאַפּלייער קייט - און אָנווענדן קאָנטראָלן ווייטער ווי אייערע דירעקטע פאַרקויפער, אַריבער יעדן סוב-סאַפּלייער וואָס קען האָבן אַן השפּעה אויף קריטישע באַדינונגען אָדער סענסיטיווע דאַטן. די "פלוס-אַראָפּ" איז איצט אַ רעגולאַטאָרישע נויטווענדיקייט, נישט קיין אָפּציאָנעלע סטאַנדאַרט, און גאַפּס ווערן שנעל איבערגעקוקט.
- פֿאַראַנטוואָרטלעכקייט איבערפֿירונג: סאַפּלייערס זענען פאַראַנטוואָרטלעך צו זיכער מאַכן אַז זייערע סובקאָנטראַקטאָרן פאָלגן די זעלבע זיכערהייט קאָנטראָלן און אָנזאָג רעקווירעמענץ ווי איר האָט פעדעראלע אָדער סעקטאָראַלע רעגולאַטאָרישע ויסשטעל. אויב די פֿאַראַנטוואָרטלעכקייט קייט ברעכט זיך, גייט די ריזיקע צוריק צו אייער אָרגאַניזאַציע.
- באווייזן און מעלדונג: אייער קאנטראקט מוז פארלאנגען אז סוב-סופלייערס זאלן ווערן אידענטיפיצירט, אינצידענטן זאלן ווערן ארויפגעפירט אין דער קייט, און אלע ענדערונגען אין סוב-סופלייערס קאנטראקטן זאלן ווערן רעגיסטרירט און איבערגעקוקט.
- זעעוודיקייט: פארלאנגען פון קאנטראקטארן צו געבן באווייזן-טיילן - דאס קען מיינען רעגיסטריר צוטריט אדער אויסגעארבעטע קאנטראקטן אויף פארלאנג. קאנטראקטן מוזן האבן קלאוזלען פאר שנעלע אפדעיטס אין פאל פון א נייעם געזעץ אדער ריזיקע געשעעניש.
- יוריסדיקציע/לעגאַלע אויסריכטונג: באַשטימען אי־יו יוריסדיקציע, GDPR אויסריכטונג פֿאַר יעדער דאַטן האַנדלינג, און פאָדערונג צו מעלדן וועגן מאַטעריאַל לעגאַל/רעגולאַטאָרי טוישן.
איר קאָנטראָלירט נאָר באמת די ריזיקע פון סאַפּלייער ווען איר קענט שפּורן די פליכט און באַווייזן דורך יעדן לינק אין אייער צושטעל קייט - אָן קיין אויסנעמען.
מאָדערנע וואָלקן און דיגיטאַלע פּראַוויידערז זאָלן האַלטן אַ לעבעדיקן רעגיסטער פון סוב-סאַפּלייערז, אויטאָמאַטישע דערמאָנונגען פֿאַר לעגאַלע אָדער אָפּעראַציאָנעלע ענדערונגען, און אָדיט לאָגס וואָס זענען גלייך צוגעפּאַסט צו יעדער ענדערונג. דאָס איז וווּ אייער ISMS פּלאַטפאָרמע, מיט שפּורבאַרע לאָגס און אָפּשאַצונג ציקלען, ווערט מער ווי סטאָרידזש - עס איז אייער לעגאַלע און אָפּעראַציאָנעלע פאַרטיידיקונג אין פאַקטישער צייט.
ווי אזוי קען מען צופּאַסן קאָנטראַקט קלאָזעס צו ISO 27001 קאָנטראָלן און זיכער מאַכן אַז מען קען זיך פֿאָרשטעלן לויט די אינסטרוקציעס פֿון אויטאָריטעטן?
עפעקטיווע אוידיט פארטיידיגונג רוט אויף קאנטראקט קלאוזעס וואס זענען געווארן צוגעפאסט צו ISO 27001 אדער NIS 2 קאנטראלן, מיט א דעמאנסטרירבארער באווייז קייט. אייער סטעיטמענט פון אפליקאציע (SoA) זאל ווייזן אויף די קאנטראל, וואו די קאנטראקט קלאוזע אימפלעמענטירט עס - און אייער באווייז באנק ווייזט די רעזולטאטן. דאס פארמאכט די איבערגעבונג פון פאליסי צו באווייז.
אוידיט טראַסט לעבט אין טראַנזאַקציאָנעלע באַווייַזן - קאָנטראַקטן, לאָגס, באריכטן - נישט אין פּאָליטיק פּידיעפס.
ISO 27001 קלאָז-צו-קאָנטראַקט בריק טאַבעלע:
| דערוואַרטונג | אפעראציאנאליזירטע קלאָז ביישפּיל | ISO 27001/אַנעקס א רעפערענץ (ISMS.online אַקציע) |
|---|---|---|
| אינצידענט באריכטאין פֿענצטער | "סאַפּלייער זאָל מעלדן בריטש אין 24 שעה; 72 שעה RCA" | A.5.25, A.5.26, A.5.27 (קאָנטראַקט פֿאַרבינדונג, אינצידענט לאָג) |
| טעכנישע קאנטראלן דורכגעפירט | "אַדמין צוטריט פארלאנגט MFA + קריטישע פּאַטש SLA" | A.5.20, A.5.21, A.8.24 (קאָנטראָל ביבליאָטעק, SoA מאַפּינג) |
| באַווײַז/אויפֿפֿרעג רעכטן | "יערלעכע צושטעל פון לאָגס; אויספארשונג אויף פארלאנג" | A.5.21, A.5.35 (באווייז באנק, רעגיסטער, דעשבאָרד) |
| פלוס-אראפ / סוב-פארקויפונג פלוס | "פליכט גילט פאר אלע סוב-סופלייערס" | A.5.21, A.8.34 (רעגיסטרירן, איבערקוקן טריגערס, דערמאָנונגען) |
| GDPR/פּראָצעס קאָנטראָלס | "בריטש מעלדונג און דאַטן לימיטן" | GDPR ארט.28, A.5.21 (קאנטראקט פאן, פריוואטקייט לאג) |
מיני-טיש פון אוידיט טרעיסאַביליטי:
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל/SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| סאַפּלייער בריטש | סאַפּלייער ריזיקע אַרויף | A.5.25 | אינצידענט, קאנטראקט, איבערבליק לאג |
| נייַער פארקויפער אויף דער באַן | צושטעלן ריזיקע/VAP | A.5.21, ארט.28 | רעגיסטרירן, איינפיר-באשטעטיקונג |
| רעגולאַטאָרישע ענדערונגען | קאָנטראַקט דערהייַנטיקונג | A.5.35 | קאָנטראַקט רויט ליניע, SoA דערהייַנטיקונג |
| SLA פארפעלט | ריזיקע פון שוואַכקייט | א.8.8, א.5.20 | דאַשבאָרד, SoA, audit trail |
| נייע סיסטעם אויפשטעלן | טעק ריזיקע איבערבליק | א.5.21, א.5.36 | איבערקוקן, פּרובירן, נײַע קלאָז לאָג |
אויב אַ קלאָז איז נישטאָ אָדער אַ קאַרטינג פעלט אין דער צייט פון אַ בריטש, אַודיט אָדער אַ רעגולאַטאָרישער איבערבליק, ירשעט די אָרגאַניזאַציע ביידע רעפּוטאַציע ריזיקע און פֿאַראַנטוואָרטלעכקייט. פֿאַר דעם באָרד און ריזיקע קאָמיטעט, גאַראַנטירט די קאַרטינג אַז ביזנעס אונטערברעכונג איז מינימיזירט.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
וואָסערע באַווײַזן זענען נויטיק צו באַווײַזן אָנגייענדיקע קאָנפאָרמאַטי אין אַן אוידיט?
סטאַטישע דאָקומענטאַציע איז איצט אוידיט פֿאַראַנטוואָרטלעכקייט. אוידיטאָרן ווילן זען באַווייזן פֿון אָנגייענדיקע, אָפּעראַציאָנעלע קאָנטראָלן: אַז קאָנטראַקטן זענען אַרויף-צו-דאַטע, איבערגעקוקט אין אינטערוואַלן, צוגעפּאַסט צו איצטיקע ריזיקעס, און געשטעלט אונטער רוטינע באַווייז קאָנטראָל - נישט נאָר געשריבן און פֿאַרשריבן. דער לאַקמוס טעסט: אין יעדן מאָמענט מוזט איר אויפֿהייבן אַ קאָנטראַקט, ווייַזן ווען עס איז לעצט איבערגעקוקט געוואָרן, ווייַזן די קאָנטראָלן וואָס עס שטיצט נאָך, און באַווייזן יעדע ענדערונג פֿון אָנבאָאַרדינג ביז אינצידענט פֿאַרמאַכן.
נאָר אַ לעבעדיקע, קאָנטראַקט-צו-באַווייַז קייט וועט באַשיצן קעגן אַ נול-טאָג געשעעניש אָדער אַ פּלוצעמדיקע רעגולאַטאָר אויספאָרשונג - פּדף'ס געהערן צו פאַרגאַנגענע אויספאָרשונגען.
רעקווייערמענץ פֿאַר אָדיט-גרייט קאָנטראַקט און באַווייַז קייטן :
- אונטערגעשריבענע, איצטיקע קאנטראקטן: linked to ריזיקירן רעגיסטרירן איינטראגעס און אייגענטימער.
- אָטאַמאַטיק רימיינדערז: אַקטיוויירן קאָנטראַקט איבערבליקן אָדער ריזיקאָ עסאַלאַציעס (ביי סאַפּלייער אינצידענט, אָנבאָרדינג, פּערסאָנאַל ענדערונג).
- באַווײַזן לאָגס: פֿאַר יעדער ענדערונג: איינפֿירן, צולייגן קלאָז, איבערקוקן דעם קאָנטראַקט, אינצידענט מעלדונג, זעלבסט-אפשאצונג פון סאַפּלייער, רעגולאַטאָרישע דערהייַנטיקונג.
- דערציילונג מאָטאָר: די פּלאַטפאָרמע זאָל ערלויבן אַ קלאָרע, צייט-געשטעמפּלטע רעקאָנסטרוקציע פון "וואָס איז געשען, ווער האָט געהאַנדלט, ווער האָט באַשטעטיקט, און וועלכע באַווייזן האָבן געשלאָסן דעם קרייז", צוטריטלעך פֿאַר אָדיטאָרס, רעגולאַטאָרן, און דירעקטאָריום אין סעקונדעס.
ISMS פּלאַטפאָרמעס ווי ISMS.online שטעלן אַרײַן די ציקלען: זיי מאַפּן יעדע קלאָז צו אַ קאָנטראָל, יעדע איבערבליק צו אַן אַקציע, יעדן אינצידענט צו אַ ריזיקאָ דערהייַנטיקונג, און ווײַזן דאָס אַלץ אויף אַ לעבעדיקן דאַשבאָרד.
ווי זאָלן סאַפּלייער קאָנטראַקטן זיך אַדאַפּטירן פֿאַר פֿאַרשידענע סעקטאָרן, יוריסדיקציעס און טעכנאָלאָגיעס?
עס איז מער נישטאָ קיין איין-גרייס-פּאַסט-אַלעמען סאַפּלייער קאָנטראַקט: סעקטאָר, יוריסדיקציע און טעכנאָלאָגיע פאָדערן יעדער צוגעפּאַסטע קלאָזולעס - און דעמאָנסטרירטע באַווייַז ציקלען - צו דורכגיין אוידיט און פֿאַרמינערן ריזיקע.
- געזונטהייט סעקטאָר (דײַטשלאַנד): נאטיפיקאציע פענצטער קענען זיין 12 שעה אדער ווייניגער; קאנטראקטן מוזן ספעציפיצירן טעכנישע רעסטאָראַציע צייטן, דאַטן סואָווערייניטי, און צוריקצוקומען צו סוב-סאַפּלייערז מיט מיטל זיכערהייט.
- וואָלקן/דיגיטאַל (פֿראַנקרײַך): פארלאנגען א סובפראסעסאר רעגיסטרי, 48-שעה ענדערונג נאטיפיקאציע, GDPR/EU געזעץ מאנדאט אלס יוריסדיקציע, און דירעקטע קאנאלן פאר עסקאלאציע.
- פינאַנציעלער סעקטאָר (EU): DORA לייערינג: קאנטראקטן ספעציפיצירן קווארטאלע דורכדרינגונג טעסט, מולטי-שיכטיקע בריטש נאטיפיקאציע, און פארמאלע אינצידענט סימולאציעס - דורכפאל טריגערט רעגולאטורישע נאטיץ, נישט נאר אוידיט געפינסן.
| סעקטאָר | קלאָז בייַשפּיל | פארוואס נויטיג |
|---|---|---|
| העאַלטהקאַרע | 12 שעה רעגולאַטאָר נאָטיפיקאַציע; רעסטאָראַציע SLA | שנעלע רעאַקציע; גרענעץ-איבערשרייטנדיקע געזונטהייט רעגולאציעס |
| וואָלקן/דיגיטאַל | סובפּראָסעסאָר רעגיסטער; 48 שעה נאָטיץ, אי.יו. געזעץ | דאַטן לאָקאַציע; צושטעלן קייט טראַנספּעראַנסי |
| פינאַנץ (אי.יו.) | קוואַרטאַל פּען-טעסט, שנעלע בריטש אָנזאָג | DORA רעזשים; רעגולאַטאָר טראַסט |
טעכנאָלאָגיע ענדערונגען (למשל, נייַ SaaS אָדער IoT) און רעגולאַטאָרישע אַנטוויקלונגען זאָלן אויסרופן אויטאָמאַטישע קאָנטראַקט אָפּשאַצונג און באַווייַז ציקל דערהייַנטיקונגען. מיט ISMS.online, קאָנטראַקט סטאַטוס, רינואַל טריגערס, און סעקטאָר אָוווערלייז ווערן מאָניטאָרירט אין פאַקטיש צייט.
טראַנספאָרמירן סאַפּלייער קאָנטראַקטן אין לעבעדיקע, אָדיט-דערווייַז אַסעץ
סאַפּלייער קאָנטראַקטן זענען איצט דער הויפּטשטיק פון אייער NIS 2 קאָנפאָרמאַטי שטעלונג און אייער ערשטע ליניע פון באַווייַזן פֿאַר אָדיטס, סערטיפיקאַציע און אָפּעראַציאָנעלע ווידערשטאַנד. די אָרגאַניזאַציעס וואָס בליען זענען די וואָס קאָנווערטירן קאָנטראַקטן פון סטאַטישע לעגאַלע דאָקומענטן אין לעבעדיקע, אָפּעראַציאָנעל איינגעוואָרצלטע אַסעץ-מאַפּט, באַווייַזט און גרייט צו אַדאַפּטירן אין דעם גאַנג פון ריזיקע. ISMS.online ברענגט קאָנטראַקט טערמינען, קאָנטראָלס, לעבעדיקע אָפּשאַצונג ציקלען און סאַפּליי קייט געשעענישן אין איין סימלאַס, אָדיטאַבלע סביבה.
ווען איר בויט אַ קאָנטראַקט פּראָצעס וואָס אַדאַפּטירט זיך אַזוי שנעל ווי אייער ריזיקאָ סביבה, ווערט ענדערונג אַ מקור פון ווידערשטאַנד - און קאָנפאָרמאַנס איז נישט נאָר אַ פאַרטיידיקונג, נאָר אַן אָפּעראַציאָנעלער מייַלע . מאַכט סאַפּלייער קאָנטראַקט פאַרוואַלטונג אַ טעגלעך אַסעט און די רוקן-ביין פון קעסיידערדיק צוטרוי מיט ISMS.online.
אָפֿט געשטעלטע פֿראגן
וואָס זענען די אַבסאָלוטע מינימום קלאָזולעס וואָס יעדער סאַפּלייער קאָנטראַקט מוז אַנטהאַלטן פֿאַר NIS 2 קאַמפּליאַנס?
א NIS 2-קאָמפּאַטיבל סאַפּלייער קאָנטראַקט מוז טראַנספאָרמירן אינפֿאָרמאַציע זיכערהייט פֿון אַלגעמיינע הבטחות אין אָפּעראַציאָנעלע, אָדיטאַבלע פֿאַרפֿליכטונגען. צום מינדסטן, זאָל אייער קאָנטראַקט אויסשמועסן זעקס קריטישע זיילן:
- דעפינירטע זיכערהייט קאָנטראָלס: ספּעציפֿיצירן קאָנקרעטע מיטלען (למשל מולטי-פאַקטאָר אָטענטאַקיישאַן, שטאַרקע ענקריפּשאַן, שנעלע פּאַטשינג, ענדערונג לאָגינג) מאַפּט קעגן ISO 27001 אַנעקס A קאָנטראָלס, און צוגעפּאַסט צו יעדן צוגעשטעלטן סערוויס - נישט איבערגעלאָזט צו אינטערפּרעטאַציע.
- אינצידענט און וואַלנעראַביליטי באריכטןאינסיסטירן אויף שנעלער מעלדונג (אינערהאלב 24 שעה) און פארמאלע וואָרצל-אורזאך אַנאַליז אינערהאלב 72 שעה - וואָס שפּיגלט אָפּ די NIS 2 באַריכט צייטפֿריימען - מיט קלאָרע באַווייַז רעקווייערמענץ.
- אויডিץ און באַווײַז רעכטןגאַראַנטירן אייער רעכט צו באַקומען לאָגס, סערטיפיקאַטן, אָדער וועריפיצירבארע באַשטעטיקונגען אויף פארלאנג, און רעזערווירן די אָפּציע פֿאַר עקסטערנע אָדער אויף-פּלאַץ אַדאַץ וווּ גערעכטפארטיקט.
- ביינדינג פלאָו-אַראָפּאויסברייטערן אלע באדינגונגען צו יעדן סוב-פראסעסאר, סובקאנטראקטאר, אדער וואלקן סערוויס - און קלאר זאגן אז די רעקווייערמענטס "פליסן אראפ" די צושטעל קייט אן קיין לעכער.
- רעמעדיאַציע און טערמינאַציע טריגערסשטעלן קלאָרע, דורכפירבארע קארעקציע פֿענצטער, שטראָפֿן פֿאַר פֿאַרפֿעלטע פֿאַרפֿליכטונגען, און נישט-אַמביגואָזע רעכט צו אַרויסגיין פֿאַר איבערגעחזרטע דורכפֿאַלן אָדער קריטישע ניט-קאָנפֿאָרמיקייטן.
- לעגאַלע אַליינמאַנטרעפערענץ NIS 2, נאציאנאלע געזעץ, און וואו פערזענלעכע דאטן איז פארמישט, GDPR - זיכער מאכן אז דער קאנטראקט שטייט קעגן סיי אוידיטאר און סיי רעגולאטאר אויפזיכט.
ווען ריכטיק אויסגעשטעלט, פֿאַרבעסערן די קלאָזולעס אײַער קאָנטראַקט פֿון אָפּהאַקן קעסטלעך צו אַ פֿונקציאָנירנדיקן רוקן־ביין פֿאַר צוטרוי, גרייטקייט און ווידערשטאַנד – און זיכער מאַכן אַז איר קענט באַווײַזן קאָנפֿאָרמאַנס ווײַטער פֿון דער אונטערשריפֿט־בלאַט.
ISO 27001/אַנעקס א שנעלע רעפֿערענץ טאַבעלע
| NIS 2 זייל | בייַשפּיל קלאָז | ISO 27001 רעפערענץ |
|---|---|---|
| ינסידענט ריפּאָרטינג | "מעלדן אינצידענטן אין 24 שעה, RCA אין 72 שעה" | א.5.25, א.5.26 |
| טעכניש קאָנטראָלס | "פאַרשליסן דאַטן אין רו און אין טראַנזיט, פּאַטש קריטישע וואַלנעראַביליטיז אין 10 טעג" | א.5.20, א.8.24 |
| אוידיט און באווייזן | "יערלעכע אויספארשונג, לאגס/באווייזן אויף פארלאנג" | א.5.21, א.5.35 |
| פלוס-אראפ | "בינדט אַלע סוב-סאַפּלייערז צו די תּנאים" | א.5.21, א.8.34 |
ווי זאָלט איר אַדאַפּטירן NIS 2 קאָנטראַקט קלאָזולעס פֿאַר סאַפּלייערז וואָס געפֿינען זיך אַרויס פֿון דער אי־יו?
קאנטראקטן מיט נישט-אי.יו. סאַפּלייערס וואָס שטיצן אי.יו. אָפּעראַציעס מוזן דינען ווי אַ בריק, וואָס פארברייטערט אי.יו. לעגאַלע שוץ און רעגולאַטאָרישע הייבער וואו אימער אייער ריזיקע לויפט. דאָ איז ווי אַזוי צו פאַרמאַכן די גרעסטע קאָנפאָרמאַנס גאַפּס :
- באַשטימען אַן אי.יו.-באַזירטן לעגאַלן פארשטייער: קאנטראקטועל פארלאנגען אן אי.יו. אנוועזנהייט וואס איז בארעכטיגט צו באקומען נאטיצן אדער שטראפן - דאס גאראנטירט אז איר האט א "לאקאלן פונקט" פאר רעגולאטארן.
- גאַווערנינג געזעץ: פעסטשטעלן דעם געזעץ פון אייער אי.יו. מיטגליד־שטאַט ווי דער לעגאַלער אַנקער פון קאָנטראַקט, פאַרהיטנדיק "לאָקאַלע געזעץ" דיילושאַנז אָדער קאָנפליקטן.
- עקספּליציטע NIS 2 און GDPR קאַווערידזש: באַצייכנט די אין קאָנטראַקט; נעמט אַרײַן סטאַנדאַרט קאָנטראַקטואַלע קלאָזולעס (SCCs) אָדער בינדנדיקע קאָרפּאָראַטיווע כּללים (BCRs) פֿאַר יעדע עקספּאָרט פֿון פּערזענלעכע דאַטן.
- שפּיגלדיקע פֿאַרפֿליכטונגען: דופליקירט יעדן אוידיט, נאטיפיקאציע, און פלאָו-דאַון קלאָז - לאָזט נישט צו אַז יוריסדיקציע, שפּראַך, אדער לאקאלע געזעצן זאָלן שוואַכן אייערע באדערפענישן.
- צושטעלן קייט טרייסאַביליטי: פארלאנגען פולע אנטפלעקונג פון סוב-סאַפּלייער און קייט-פון-קאַסטאָדי באווייזן פאר זייער העסקעם, אַרייַנגערעכנט באַלדיקע מעלדונג פון ענדערונגען.
דורך איינפירן די עלעמענטן, שליסט איר דעם רעגולאַטאָרישן שלייף, עלימינירט דורכפירונגס-בלינדע פלעקן, און זאָרגט אז - ביי א אָדיט אדער אין א קריזיס - ציט זיך אייער קאָנפאָרמאַנס טאַקע אַזוי ווייט ווי אייער ריזיקע.
גרענעץ-איבערשרייטנדיקע קאנטראל טאבעלע
| טריגערד סצענאַר | קאָנטראַקט דורכפירונג סטראַטעגיע | פארלאנגטע באווייזן פון אוידיט |
|---|---|---|
| נישט-אי.יו. סאַפּלייער איינגעשריבן | אי־יו געזעץ + רעפּרעזענטאַציע + NIS 2/GDPR קלאָז | אונטערגעשריבענער קאנטראקט, פארטרעטער אפוינטמענט |
| אָפשאָר סוב-סאַפּלייער | פארפליכטעטע אַראָפּפלוס | אונטער-סאַפּלייער אַנטפּלעקונג, אָדיט לאָג |
| נאָטיפיקאַציע פאַרהאַלטונג | שטראָף, עסאַקאַלירן צו די אויטאָריטעטן | צייט-געשטעמפּלטע באַווייַזן, קלאָוזשער לאָג |
וואָסערע באַווײַזן דאַרפֿסטו צו ווײַזן אָנגייענדיקע NIS 2 קאָנטראַקט קאָנפאָרמאַטי?
איר מוזט זיין גרייט פֿאַר אַן אוידיט מיט לעבעדיקע באַווײַזן, נישט נאָר מיט געהיטענע PDF'ס. אוידיטאָרן און רעגולאַטאָרן ערוואַרטן פֿון אײַך צו פּראָדוצירן:
- אונטערגעשריבענע קאנטראקטן (מיט יעדער פארפליכטעטער קלאזול) און אקטועלע ענדערונגען.
- א ריזיקאָ רעגיסטער וואָס רעקאָרדירט סאַפּלייער אָנבאָאַרדינג ריזיקאָ, יערלעכע איבערבליקן און דינאַמישע דערהייַנטיקונגען (למשל נאָך אינצידענטן).
- לאָגס פון סאַפּלייער אַדאַץ (אין-הויז און דריט-פּאַרטיי), מיט געפינסן, רעמעדיאַציע אַקציע, און סטאַטוס.
- אינצידענט און מעלדונג רעקאָרדס וואָס ווייַזן SLA אַדכיראַנס און רעזולטאַטן.
- סוב-סאַפּלייער רעגיסטרירט זיך מיט קאָנטראַקטואַל פלאָו-דאַון און טרייסאַבאַל קאַנפאָרמאַטי טשעקס.
- דאַקיומענטאַד סאַפּלייער זיכערהייט וויסיקייַט טריינינג.
- וואָרקפלאָו רעקאָרדס וואָס לאָגירן קאָנטראַקט ענדערונגען, עסאַקאַלאַציע, סאַנקציעס און קערעקטיוו אַקשאַנז נאָך אַן אוידיט אָדער אינצידענט.
אייער ISMS זאָל אויטאָמאַטיזירן די פֿאַרבינדונג פֿון קאָנטראַקט טעמפּלאַט ביז באַווײַז דאַשבאָרד, אַזוי איר זײַט קיינמאָל נישט אומפֿאָרגעגרייט ווען אָדיט אָדער דורכפֿירונג רופֿט אָן.
קאָנטראַקט קאָנפאָרמאַטי באַווייַז טיש
| געשעעניש | פארלאנגט זאָגן | סיסטעם אַנקער |
|---|---|---|
| אָנבאָאַרדינג פון סאַפּלייער | אונטערגעשריבענער קאנטראקט, ריזיקע אפשאצונג | קאָנטראַקט ביבליאָטעק, ריזיקאָ רעגיסטער |
| אָנגייענדיקע איבערבליק | קאָנפאָרמאַנס לאָג, סאַפּלייער אַטעסטאַציע | סאַפּלייער דאַשבאָרד, אָדיט טרייל |
| בריטש/אינצידענט | נאטיפיקאציע לאג, RCA | אינצידענט רעגיסטער, אַקציע טראַקער |
| סוב-סאַפּלייער ענדערונג | פלאָו-דאַון קאָנטראַקט, קאָנפאָרמאַנס קאָנטראָל | סוב-סאַפּלייער לאָג, אוידיט באווייזן |
ווי אזוי צוצוקונפטזיכערט מען NIS 2 קאנטראקטן פאר קלאָוד, קינסטלעכע אינטעליגענץ, און העכסט רעגולירטע סעקטאָרן?
פֿאַר וואָלקן/SaaS און AI סאַפּלייערז - אָדער אויב איר זענט אין רעגולירטע ווערטיקאַלז - מוז אייער קאָנטראַקט דערגרייכן ווייטער ווי אַלגעמיינע טערמינען:
- וואָלקן פאַרקויפער: פארלאנגען יערליך SOC 2 טיפ 2 סערטיפיקאציע, עפנטלעכע ISO 27001 אויסריכטונג, און לעבעדיגע וואַלנעראַביליטי באריכטן - נישט נאר אויף פארלאנג.
- קינסטלעכע אינטעליגענץ פּראַוויידערז: פארלאנגען דאקומענטירטע מאָדעל ערקלערבאַרקייט, ריזיקאָ אַסעסמאַנץ, און קעסיידערדיק מאָניטאָרינג באווייזן, רעפערענצירנדיק ISO 42001 אדער אויפקומענדיקע קינסטלעכע אינטעליגענץ סטאַנדאַרדן. אַדרעסירן דאַטן ליניאַזש און די רעכט צו אָדיטירן אַלגעריטמען.
- פינאַנציעלע סערוויסעס / דאָראַ: שטעלן שטרענגערע אינצידענט באריכטן SLAs (<24 שעה), העכערע אוידיט/טעסט אָפטקייט, און קלאָרע DORA (דיגיטאַל אָפּעראַציאָנעל ווידערשטאַנד געזעץ) באַווייַזן.
- געזונטהייטסזאָרג / קריטישע אינפראַסטרוקטור: פארלאנגען קאנטראלן אויף א מיטל-לעוועל, כמעט-רעאל-צייט אינצידענט באריכטן, און באווייזן פון מעדיצינישע מיטל אדער סעקטאר-ספעציפישע קאמפלייענס.
איבערקוקן און דערהייַנטיקן די קלאָזולעס רעגולער - ספּעציעל נאָך יעדן בריטש, געזעץ ענדערונג, אָדער טעכנאָלאָגיע יבעררוק - צו באַשיצן קאַמפּליאַנס ינוועסטמענט און אָפּעראַציאָנעל לערנען.
טעק און סעקטאָר אָוווערליי טאַבעלע
| סעקטאָר/טעכנאָלאָגיע | ספּעציעלע קאָנטראַקט קלאָז | טיפּישע באַווײַז אָרט |
|---|---|---|
| וואָלקן / סאַאַס | SOC 2 באַנייַונג, אויטאָמאַטישע דערהייַנטיקונג טריגער | סערט וואָלט, קאָנטראַקט אַרכיוו |
| AI | ערקלערבאַרקייט, אַלגעריטם אוידיט | קינסטלעכע אינטעליגענץ אוידיט לאג, ריזיקע רעגיסטער |
| פינאַנציעל (DORA) | טעסט לאָגס, 24 ביינאכט. אינצידענט ענטפער | פעדער טעסט לאג, רעגולאַטאָר טעקע |
| העאַלטהקאַרע | דעווייס קאנטראל, 12 שעה עסקאלאציע קלאוז | אינצידענט פלוס, אַסעט רעגיסטער |
וועלכע פלאָו-דאַון און סאַפּליי טשיין קלאָזולעס פאַרהיטן רובֿ אָדיט דורכפאַלן?
אוידיטס דורכפאלן רוב מאל ווען אייער קאנטראקט'ס מאכט פארשווינדט איידער אייער ריזיקע ענדיגט זיך - געווענליך אויפן סוב-סופלייער לעוועל. אייער קאנטראקט זאל:
- לעגאַל צווינגען אַלע סוב-פּראַסעסערז - נישט קיין חילוק ווי פיל שטאַפּלען - אין די זעלבע סטאַנדאַרדן פֿאַר זיכערהייט, אָדיט, אָנזאָגן און טראַנספּעראַנסי.
- פארלאנגען אקטיווע צושטעל-קייט אפדעקונג ביים איינפירן און ביי יעדער ענדערונג - נישט מער "אומבאקאנטע סובקאנטראקטארן".
- צווינגען אלע צושטעל קייט שיכטן צו אננעמען ענדערונגען (פאר געזעץ, ריזיקע, אדער בריטש) "גלייך," מיט אוידיטירבארע באווייזן.
- שטעלן דורכפירבארע טערמינען פארן צושטעלן באווייזן צו סוב-סאַפּלייער (אָפט 10 טעג).
- פארלאנגען א נאכפארשטעלבארן רעגיסטער פון אלע נאכפאלגנדע שותפים, אפדעיטעד אלס טייל פון רעגולערער פארזיכערונג.
פלאָו-דאַון אייַזן-קלאַד איז נישט נאָר לעגאַל - עס איז פּראַקטישע ריזיקאָ-פאַרזיכערונג, און אייער בעסטע שוץ פון דורכפירונג, קנסות און רעגולאַטאָר-סאַנקציעס.
אמתע ווידערשטאנדסקראפט גייט ווייטער ווי די גרענעצן פון אייער אייגענעם קאנטראקט - עס ווערט געמאסטן לויט ווי גוט איר קענט נאכפאלגן, טעסטן און דורכפירן יעדן לינק אונטער אייך.
וואָס טוט מען אויב אַ סאַפּלייער פֿאַרהאַלט באַווײַזן, לאָגס, אָדער אוידיט צוטריט?
אויב אַ סאַפּלייער שלעפּט זיך אַוועק, אונטערדריקט פארלאנגטע באַווייזן, בלאָקירט אַודיט, אָדער איגנאָרירט קאָנטראַקט דערהייַנטיקונגען, זאָל מען עסקאַלירן שנעל און פֿאָרמעל:
- געשריבענע פארלאנגלאָגין אַן אָפיציעלע בקשה (פּלאַטפאָרמע אָדער אימעיל), שטעלן דעם טערמין וואָס פּאַסט צו דיין קאָנטראַקט (למשל 10 טעג).
- קאָנטראַקט שטראָףאויב עס איז נישטאָ קיין ענטפער, זאָל מען רופן קאָנטראַקטואַלע מיטלען - פינאַנציעלע שטראָף, אינטערנע בריטש באַריכטן, און עסאַקאַלירן צו פאַרוואַלטונג/לעגאַל.
- טערמינאַציע און פאַרבייַטביי אנגייענדיקע אדער מאטעריעלע דורכפעלער, אפשטעלן די קאנטראקט-אפדעיט רעגיסטערס און מעלדן אלע באטראפענע איינהייטן און, אויב נויטיג, די באטרעפנדע אויטאריטעטן.
- דאָקומענט אַלץרעקאָרדירן אַלע בקשות, ענטפֿערס, עסאַקאַלאַציעס, באַשלוסן און רעזולטאַטן (אין דיין ISMS אָדער אוידיט לאָג).
רעגולאַטאָרן און אוידיטאָרן באַלוינען עקספּליציט אָרגאַניזאַציעס וואָס פּראָאַקטיוו דורכפירן זייערע קאָנטראַקטן, עסקאַלירן אין באַשטימטע צייטפֿריימען און באַוואָרן אַ גאַנצע קייט פון באַווייַז.
עסקאַלאַציע טאַבעלע
| סאַפּלייער פּראָבלעם | שריט 1: פאָדערונג | שריט 2: רעמעדי/שטראף | שריט 3: ענדיקן/פאַרבייטן |
|---|---|---|---|
| צוריקגעהאַלטן אוידיט/באַווייַז | שריפטלעכע נאטיץ (10 טעג) | שטראָפן, עסקאַלירן | פאַרבייַטן, דערהייַנטיקן רעגיסטרירן |
| פארשפעטיקטע אינצידענט באריכטן | פארלאנג שנעלע RCA | לאָג בריטש, רעגולאַטאָרישע אינפֿאָרמאַציע | קאָנטראַקט סוף, נאָכפאָלגער איבערבליק |
| פּאָליטיק אָפּזאָג | דאָקומענט עסקאַלאַציע | סאַנקציעס, בלאָקירן צוטריט | אַראָפּנעמען/פאַרבייטן, באַשטעטיקן דעקל |
ווי אזוי אפעראציאנאליזירט ISMS.online NIS 2-קאמפליאנט קאנטראקט און סופּליי טשיין מענעדזשמענט?
ISMS.online פארוואנדלט סאַפּלייער קאָנטראַקטן אין טעגלעכע, לעבעדיקע אָפּעראַציאָנעלע קאָנטראָלן. יעדע קאָנטראַקט פּונקט איז צוגעפּאַסט צו קאָנטראָלן, פּאָליטיקס און פּראָצעדורן אין דער פּלאַטפאָרמע - אַזוי איר קענט אַקטיוויירן באַווייז זאַמלונג, ריזיקאָ סקאָרינג און וואָרקפלאָוז ביי אָנבאָרדינג, רינואַל אָדער אינצידענט אָן מאַנועלע יאָגן. סאַפּלייער פאַרוואַלטונג מאָדולן אָטאַמייטן באַווייז קאַפּטשער, עסקאַלירן שפּעט-געפאַלענע אַקשאַנז און פּלאַנירן פּראָואַקטיווע באריכטן - פֿאַרבינדן קאָנטראַקט פֿאַרפֿליכטונגען גלייך צו אינצידענט פאַרוואַלטונג, ריזיקאָ רעגיסטערס און קאָנפאָרמאַנס דאַשבאָרדז.
ווען רעגולאַטאָרן, אוידיטאָרן, אדער באָרדס בעטן רעקאָרדס, קענט איר גלייך ווייַזן אַ פולשטענדיקע מאַפּע - פֿון קאָנטראַקט אונטערגעשריבן, דורך יעדן צושטעל קייט שיכט, ביז די באַווייַזן וואָס באַווייַזן אַז ריזיקירן, אוידיט, און אינצידענט רעאַקציע זענען דורכגעפֿירט אין פאַקטישער פּראַקטיק. ניט מער קיין געיעג פֿאַר באַווייַזן אָדער לאַטע-אַרבעט שפּורן: נאָר בטחון, צוטרוי, און אָפּעראַציאָנעלע ווידערשטאַנד קאַנטיניואַסלי אויף אַרויסווייַזן.
ווען אייערע צושטעל-קייט פארפליכטונגען ווערן אפעראציאנעלע קאנטראלן - נישט נאר קאנטראקט באדינגונגען - שטעלט איר דעם טעמפּאָ פאר מארקעט צוטרוי, רעגולאטאר צוטרוי, און פירמע ווידערשטאנדסקראפט. לאָזט ISMS.online שטאַרקן די טראַנספאָרמאַציע פון פּאַפּירענע הבטחות צו באַווייַזן-אין-דיין פינגערשפּיץ.
