איז יעדער סאַפּלייער קאָנטראַקט איצט אַ זיכערהייט ציל אונטער NIS 2? (און וואָס איז אויף די שפּיל אויב איר מאַכט עס פאַלש?)
די וועלט פון סאַפּלייער קאָנטראַקטן ווערט מער נישט דעפינירט דורך "גוט צו האָבן" קלאָזולעס אדער ברייטע פאַלבעק צו אינדוסטריע סטאַנדאַרדס. אונטער NIS 2, קען אַ פעלנדיקע אָדער שלעכט-געמאַפּט זיכערהייט קלאָזול ריזיקירן מער ווי אַ דורכגעפאַלענע אוידיט - עס קען אויפדעקן רעוועך, אָפּעראַציעס און עקסעקוטיוו רעפּוטאַציעס אין וועגן וואָס סאַפּליי קייט אָונערז האָבן זעלטן יקספּיריאַנסט פריער. אַנשטאָט צו פרעגן, "דאַרף יעדער סאַפּלייער קאָנטראַקט אַ NIS 2 קלאָזול?", די קשיא וואָס באָרדס, CISOs, קאַמפּליאַנס פירער און אפילו פּראָיעקט מאַנאַדזשערז מוזן דרינגלעך ענטפֿערן איז, "ווי קענען מיר באַווייַזן, שורה נאָך שורה, אַז יעדער הויך-ריזיקירן קאָנטראַקט האלט זיך צו די שווערסטע אוידיט און שנעלסטע רעגולאַטאָרישע דעדליין?"
א קאנטראקט רעגיסטרי מיט פעלנדיקע קלאָזולעס איז נישט קיין קליינע ריס - עס איז די מערסטע פארשפרייטע וואָרצל-אורזאך פון אוידיט ווייטיק, רעגולאַטאָר פֿראַגעס, און עקסעקוטיוו דייַגעס.
פֿאַר סופּליי טשיין און קאָנטראַקט מאַנאַדזשערז, איז NIS 2 נישט נאָר געזעץ; עס איז אַ הייבער צו באַפֿעלן מאַטעריאַלע געשעפט רעזולטאַטן. די גייד גיט אַ פּלאַן פֿאַר אַריבערפֿירן אַלע אייערע קאָנטראַקטן - פֿון דעם וואָלקן אָדער לאָגיסטיק פּראַוויידער מיט דער העכסטער השפּעה ביז איבערגעקוקטע פאַסילאַטיז אָדער רעגיאָנאַלע סערוויס פֿאַרבינדונגען - אַרויס פֿון דעם ריזיקאָ שאָטן, אין אַ ראַם וווּ באַווייזן און בטחון זענען איינגעבויט.
וועלכע סאַפּלייער קאָנטראַקטן פאַלן טאַקע אין דעם פאַרנעם, און ווער דאַרף האַנדלען?
די געדאַנק אַז יעדער סאַפּלייער אָפּמאַך מוז פּלוצעם אַנטהאַלטן NIS 2 סקעדזשול שפּראַך איז אַ מיטאָס. אָבער, פֿאַר יעדער אָרגאַניזאַציע וואָס אַרבעט ווי אַ "עסענציעלע" אָדער "וויכטיקע" ענטיטי - ספּעציעל אין רעגולירטע סעקטאָרן אָדער יענע וואָס שטיצן געשעפט קאָנטינויִטעט - די מערהייט פון מאַטעריאַל סאַפּלייער קאָנטראַקטן דאַרפן אַבסאָלוט שטאַרקע זיכערהייט און אינצידענט פּראָוויזשאַנז. ניט דערקענען די קען אײַך צווינגען אין לעגאַלע "פייער-קאַמף" פּונקט אַזוי שנעל ווי אַ סייבער אינצידענט.
דעמיסטיפיצירן ענטיטי טייפּס
עסענציעלע ענטיטעטן - די רוקן-ביין פון רעגולירטע און קריטישע סעקטארן (באַנקינג, געזונטהייט, ענערגיע, וואָלקן אינפראַסטרוקטור, טראַנספּאָרט) - מוזן באַהאַנדלען סאַפּלייער קאָנטראַקטן ווי רעגולאַטאָרישע אַסעץ. לויט ENISA, מוזן די לינקס זיין "אויפֿהערן-גרייט" צו יעדער צייט, קענען באַווייַזן אינצידענט גרייטקייט, אוידיטאַביליטי, און זיכערהייט קאָנטראָל מאַפּינג.
וויכטיגע ענטיטעטן (וויכטיגע צושטעל קייטן, דידזשיטאַלע סערוויסעס, הויך-ווערט געשעפט אפעראציעס) זענען נישט באפרייט. זיי מוזן באווייזן אז קאנטראקטן וואס זענען קריטיש פאר געשעפט רעזולטאטן האבן אין-סקאפע קלאוזלען, מאַפּט, איבערגעקוקט, און גרייט פאר אינספּעקציע אויב אן אינצידענט אדער אויספארשונג זאל פאסירן.
א שריט-פאר-שריט מאַפּע: ריזיקע, סעקטאָר, סערוויס
כדי צו ברעכן דעם ציקל פון ברייטע פאליסיס און "פאליסי קאפירן-פייסטן", פירט אייערע קאנטראקטן דורך דריי איינפאכע טעסטן:
- ריזיקע אימפאקט: שטיצט דער סאַפּלייער דעם טעגלעכן רעגולירטן סערוויס? וואָלט אַ דורכפאַל געפֿאָדערט אַז איר זאָלט אַרויסרופֿן אַ NIS 2 נאָטיפיקאַציע?
- סעקטאָר רעלעוואַנץ: איז דער סאַפּלייער פֿון אַ סעקטאָר, אָדער אַרבעט אין אַ לאַנד, מיט NIS 2 (אָדער מער שטרענגע "גאָלדפּלייטאַד") קאַווערידזש? (למשל, לאָגיסטיק, SaaS, געראטן סערוויסעס, מאַכט)
- סערוויס קריטישקייט: אויב דער סאַפּלייער פאַרפעלט, זענען דאָ אינצידענט, אוידיט, אָדער באַריכטן קאָנסעקווענצן אונטער NIS 2 אָדער נאַציאָנאַלע אָוווערלייעס?
באַהאַלטענע קאָנטראַקטן = באַהאַלטענע ריזיקע
רוב אוידיט רעזולטאטן קומען נישט פון איי-טי סערוויסעס, נאר פון נישט-קלארע פארקויפער: לאגיסטיק, רייניקונג, מענעדזשד וישאַלט, אדער נישע וואָלקן סערוויסעס. אויב א קאנטראקט איז נישט מאַפּט - קיין באווייז "אין האַנט" - איז עס נישט נאָר א פּאָליטיק גאַפּ, נאָר א פאַראַנטוואָרטלעכקייט בליץפונקט פֿאַר נעקסט יאָר'ס אוידיט, אדער ערגער, מאָרגן'ס רעגולאַטאָר רוף.
נאציאנאלע און סעקטאר-ספעציפישע איבערדעקונגען
רעגולאַטאָרן זענען נישט געבונדן צו דורכפירונג לויטן נידעריגסטן נענער. עטלעכע לענדער הייבן די סטאַנדאַרדן ווייטער ווי די NIS 2 דירעקטיווע (בעלגיע, איטאליע, שפּאַניע, אאז"וו), וואָס פירט צו אַ ברייטערע קאַווערידזש אָדער שטרענגערע סאַפּלייער קלאָז רעקווייערמענץ. יעדע אָרגאַניזאַציע מוז וויסן, און ווייַזן, וועלכע קאָנטראַקטן זענען אונטער וועלכער יוריסדיקציע - און אַז זייערע קלאָזולעס פּאַסן צו דער שווערסטער פּראָבע, נישט די שוואַכסטע פּיר פּראַקטיק.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
וואָס פּאַסירט ווען סאַפּלייער זיכערהייט קלאָזולעס פעלן אָדער זענען שוואַך? (און פארוואס עס קאָסט מער ווי איר טראַכט)
חסרונות אין סאַפּלייער קאָנטראַקטן מעלדן זיך זעלטן ביים אונטערשרייבן פון קאָנטראַקטן; זיי ווערן טייַער נאָר ווען דער געשעפט ווערט איבערגעריסן, אויডিץ גייען שלעכט, אָדער רעגולאַטאָרן פרעגן די שווערע פֿראַגעס. די פֿינאַנציעלע, רעפּוטאַציע, און אפילו אָפּעראַציאָנעלע קאָנסעקווענצן זענען רעאַל - און אומגלייך פֿאַרטיילט.
רעגולאַטאָרן און אוידיטאָרן אָננעמען מער נישט 'בעסטע פּראַקטיקעס אין דער אינדוסטריע' אדער 'מוסטער שפּראַך' - זיי ווילן קלאָרע נאָכפֿאָלגונג, קאַרטירטע קאָנטראָלן, און באַווייזן וואָס אייער דירעקטאָרן-ראַט האָט געלייענט און איז דער אייגנטומער.
שטראָף סצענאַרן: קנסות, געפינסן, און אָפּעראַציאָנעלע צוריקשטויסן
- דירעקטע קנסות: אוידיטארן קענען דורכפירן קארעקציעס, שטראָפן און געפינסן פאר נישט-אויסגעשטעלטע אדער פעלנדיקע קלאָזולעס - אפילו אין "מינארע" סאַפּלייער קאָנטראַקטן. פאר NIS 2 "עסענציעלע" ענטיטעטן, דערגרייכן די €10 מיליאָן אדער 2% פון גלאָבאַלן פאַרקויף (ANSSI פֿראַנקרייַך).
- רעפּוטאַטיאָנאַל שעדיקן: קונה אדער באָרד צוטרוי גייט פאַרלוירן ניט נאָר דורך בריטש, נאָר דורך "אומזעיקבאַרע" פּראָצעס ברייקדאַון-פאַרהאַלטן אינצידענט באַריכטינג, פארפעלטע קאנטראקט אוידיטס, אדער אַמביגואַטי אין אַקאַונטאַביליטי (דאַטן פּראַטעקשאַן אירלאַנד).
- אפעראציאנעלע ווייטיק: די וואָס מוטיקן זיך צו רענאָווירן קאָנטראַקט שפּראַך נאָך אַן אינצידענט פאַרלירן טייערע וואָכן און זאַמלען זיך אָן לעגאַלע קאָסטן, פּראָיעקט איבערשרייטונגען, און פאַרוואַלטונג פאָקוס אויסגעגעבן אויף אַפּעלאַציעס - נישט אויף דורכפירונג.
"בוילערפּלעיט" איז נישט קיין פארטיידיגונג
די תקופה פון "געמאַכטע" זיכערהייט סקעדזשולז איז פֿאַרביי. נישט קיין חילוק ווי אימפּרעסיוו אַ טעמפּלאַט קלינגט, אָדיטאָרס קאַליברירן זייער אָפּשאַצונג קעגן דיין אייגענעם קאָנטראַקט רעגיסטער, קראָס-טשעקינג יעדן NIS 2 טריגער, נאַציאָנאַלע פאָדערונג, און קראָס-יוריסדיקשאַן מאַפּינג פֿאַר פּאַסיק שפּראַך און לעבעדיקע באַווייַזן.
בייַשפּיל: די לעגאַסי לאָגיסטיק גאַפּ
א באַוואוסטער EMEA פאַבריקאַנט איז געווען אַ ציל נישט דורך סייבער-קרימינאַלן, נאָר דורך אַן אינצידענט וואו אַ שליסל לאָגיסטיק פּראַוויידער, נישט אַרייַנגערעכנט אין IT פאַרקויפער באריכטן, האָט געליטן אַ ראַנסאָמווער בריטש. די פעלנדיקע אינצידענט באַריכט קלאַזול האָט געמיינט אַ פאַרשפּעטיקטע אָנזאָג, אַ פאַרלענגערטע רעגולאַטאָרישע אויספאָרשונג, און געצוואונגענע צוגאבן. די קאָסטן? חוץ קנסות: פאַרלוירענע רעוועך, נאָך לעגאַלע הוצאות, איבערצייט פֿאַר קאַמפּליאַנס כאַפּ-אַרויף - פּלוס חדשים פון צוטרוי ריבילדינג.
עסענציעלע קעגן וויכטיגע ענטיטי אַקציעס: מאַפּינג די פאַקטישע ראָודמאַפּ
עכטע איינהאלטונג מיינט אנערקענען אייער קלאסיפיקאציע און האנדלען לויט דעם - נישט נאר איין מאל, נאר דורך אנגייענדע, געמאפטע מיילשטיינען:
דער ערשטער שריט: וויסן אייער סטאַטוס. דער צווייטער: איינשליסן באווייזן וואָס באַווייזן ווער עס באַזיצט וועלכע ריזיקע, קאָנטראַקט, קלאָז און באַשלוס.
פֿאַר עסענציעלע ענטיטיז
- פירן א רעגיסטער פון יעדן סאַפּלייער וואָס שטיצט רעגולירטע אָפּעראַציעס, נישט נאָר די מיט IT-פייסינג קאָנטראַקטן.
- באַשטימען קלאָרע אָונערשיפּ און דערהייַנטיקן ציקלען פֿאַר יעדן קאָנטראַקט; זיכער מאַכן אינצידענט מעלדונג און אוידיט "פענצטער" קלאָזולעס זענען אַקטועל און פֿאַרבונדן גלייך מיט ISO 27001.
- ערוואַרט רעגולערע, פּראָאַקטיווע אויספֿאָרשונגען און הויך-שטראָס אינצידענט דרילס פֿון ביידע אינערלעכע און עקסטערנע רעצענזענטן. פֿאַרפעלטע אָדער אַד-האָק פּלאַנען סיגנאַלירן שוואַךקייט און פֿאַרגרעסערן רעגולאַטאָרישע קאָנטראָל.
פֿאַר וויכטיקע ענטיטעטן
- צילט די "טאָפּ פינף" סאַפּלייערז: גייט נאָך אַ ריזיקאָ/ווערט כייעראַרכיע באַזירט אויף געשעפט קאָנטינויִטעט, רעוועך, אָדער רעגולאַטאָרישע ויסשטעל.
- מאַפּירן קאָנטראַקט שפּראַך פֿאַר סעקטאָר אָוווערלייז און פֿאַרבינדן יעדן קאָנטראַקט צו דער ריזיקאָ מאַפּע אין דיין ISMS.
- פּריאָריטיזירן קלאָזול דערהייַנטיקונגען לויט ריזיקע - נישט קאָנטראַקט עלטער אָדער פֿאַרהאַנדלונג באַקוועמלעכקייט.
הרגענען די "גרויע זאָנע" מיט טיערד ריזיקאָ מאַפּינג
יעדער סאַפּלייער, נישט קוקנדיק אויף הוצאות אדער אויסגערעכנטע גרייס, ווערט צוגעטיילט צו א קאטעגאריע: "קריטיש," "הויך," אדער "רוטינע." קריטיש = מוז-האבן קלאָזולעס יעצט. הויך = נעקסט-אין-ליניע. רוטינע = מאָניטאָרירט, קען דאַרפן באַשטעטיקונג. אדאפטירן דעם ריזיקאָ-באזירטן צוגאַנג פארקלענערט די שאנסן אז באַהאַלטענע קאָנטראַקטן וועלן דורכגליטשן צוקונפטיגע אוידיטס.
פאַרוואַלטן מולטי-פרעמווערק אָוווערלייז
NIS 2 ארבעט זעלטן אליין. פאר פילע, DORA, די סייבער ריזיליענס אקט, און GDPR איבערלאגעס פארלאנגען קראָס-מאַפּט קלאָזולעס און געטיילטע עווידענס לאָגס (Clifford Chance, 2023). פארשפעטיגונגען אין דערהיינטיקן דאקומענטאציע מיינען פארלוירענע עקסעקוטיוו צוטרוי, פארשפעטיגטע פּראָדוקט אויסלייגונגען, און א פארצויגענע קאמפלייענס זייגער.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
לאַנד און סעקטאָר גאָלדפּלייטינג: פארוואס "נידעריגסטע מי" וועט שטענדיק דורכפאַלן
קאנטראקט קאמפלייענס מוז צילן פארן שטרענגסטן טעסט - דעם מערסט פארלאנגענדן רעגולאטאר אדער סעקטאר איבערדעק וואו ביזנעס אפערירט. דער פרינציפ באשיצט ארגאניזאציעס פון דעם כאאס פון לעצטע-מינוט ענדערונגען און "דאפלטע געפאר" אונטער פארשידענע נאציאנאלע און סעקטאראלע אימפלעמענטאציעס.
אייער קאנטראקט באווייזן ארבעטן נאר אויב עס גייט אריבער אין יעדן לאנד וואו איר אפערירט - נישט נאר אין דעם באקוועמסטן.
פּראַקטישע טריט פֿאַר קאָנטראַקטן צווישן פֿאַרשידענע יוריסדיקציעס
- מאַפּע יעדן סאַפּלייער לויט היים סעקטאָר, געזעץ, און לאָקאַלע אָוווערלייגס.: קאנטראקטן זענען נישט "איין גרייס פאסט פאר אייראפע".
- דראַפט צוגאב פֿאַר דעם "שטריקסטן נענער": איבער אייערע איצטיקע און פאָרויסגעזאָגטע יוריסדיקציעס.
- אַקטיווירן דעדליין-טראַקינג און ענדערונג-לאָגינג אין דיין ISMS.: די גרייטע באווייזן קענען קויפן גוטן ווילן פון דעם באָרד בעת די אוידיט ציקלען, און רעגולאַטאָרישע אָפּהאַלטונג אויב ענדערונגען זענען אין גאַנג.
- ארייננעמען לאקאלע אדוואקאטן ווען עס קומט צו אומקלארקייט: און האַלטן זייער אַרייַנשרייַב רעקאָרדירט לעבן די קלאָז מאַפּע פֿאַר יעדן קאָנטראַקט.
- אויסלערנען ברעטער און אינטערעסירטע קאמיטעטן: מיט עקספּליציטע אָוווערלייז - קיין אַלגעמיינע פּאָליטיק-רעדע.
ISMS פּלאַטפאָרמעס ווי ISMS.online צושטעלן איצט דאַשבאָרד וויזאַביליטי אין אָוווערלייז, טריגערס און לייוו קאַמפּליאַנס שטאַט - וואָס פלעגט דאַרפן אַן אַרמיי פון ספּרעדשיץ קען איצט זיין אַ 5-מינוט סיסטעם איבערבליק נאכגעגאנגען דורך סקעדזשולד אַקציע.
די לעגאַסי קאָנטראַקט דילעמע - און ווי אַזוי איבערצוגיין צו NIS 2 קאָנפאָרמאַטי איצט
באַהאַלטענע, "פאַר-NIS 2" קאָנטראַקטן זענען איצט ריזיקאָ-פּריים. זיי זענען די הויפּט וואָרצל-אורזאַך פון "שטילער עקספּאָוזשער" - נישט דעטעקטירט ביז אַן אויডিץ אָדער אינצידענט. אַ שנעלער, סיסטעמאַטישער איבערגאַנג איז קריטיש פֿאַר קאָנפאָרמאַנס.
דערהייַנטיקן קאָנטראַקטן איז נישט אָפּציאָנאַל. א שטאַרקער קאָנטראַקט לעבן-ציקל איז דער איינציקער אונטערשייד צווישן אָפּעראַציאָנעלער קאָנטינעויטעט און רעגולאַטאָרישן ווייטיק.
בויען אַ צענטראַליזירטן קאָנטראַקט רעגיסטער
צענטראליזירן אַלע סאַפּלייער קאָנטראַקטן אין אַ דיגיטאַל, זוכבאַר רעגיסטער וואָס ווערט געהאַלטן אַקטועל און אַקטיוו געטראַקט. פֿאַר יעדן קאָנטראַקט, לאָג:
- לינק צו רעגולירטע סערוויס(ס)
- קלאָז אַפּדייט סטאַטוס און פאַראַנטוואָרטלעכער באַזיצער
- ריזיקע קלאַסיפֿיקאַציע, גלייך צוגעפּאַסט צו אייער ISMS
- פּלאַנירטע איבערבליק און ענדערונג טריגערס
נוצן פאַזירטע צוגאבן פֿאַר קריטישע דערהייַנטיקונגען
וואו פארהאנדלונגען זענען שטייט אדער סאַפּלייערס קעגנערשאפט איז הויך, ארויסגעבן צילגעריכטעטע צוגאבן מיט פאר-באשטעטיקטע שפראך, רעפערענצירנדיק NIS 2 און טעריטאריע איבערלעגונגען. האַלט ענדערונגען און קאָמוניקאַציע לאָגס ווי פאָרמעלע אַרטיפאַקץ - די ציילן אָפט אין אייער טובה בעת אויפֿזיכט און קענען פֿאַרמינדערן רעגולאַטאָר אַקציע אויב ענדערונגען זענען אין גאַנג (קלייד און קאָ, 2024).
באַווײַזן יעדן שריט - אפילו אין איבערגאַנג
אויב נישט יעדער קאנטראקט קען ווערן אפדעיטעד פאר אייער נעקסטן אוידיט, פירט א לאג פון פארמאכן א גאפ: קאמוניקאציעס, נאכגעפאלגטע פארזוכן, און פארשריט. "קרעדיט" ווערט געגעבן צו ארגאניזאציעס וואס ווייזן באוואוסטזיניגע פארשריט - בשעת שטילשווייגן אדער אויסגעלאזטע לאגס ווערן באשטראפט.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
קוילזיכערע NIS 2 קלאָזולעס: איבערגאַנג צו ISO 27001:2022 (טאַבעלע אַרייַנגערעכנט)
נישט אַלע קאָנטראַקט שפּראַך איז באַשאַפן גלייך. אָדיטאָרס, און מער און מער, באָרדס און לעגאַלע, דאַרפן קלאָז סקעדזשולז וואָס זענען:
- עקספּליציט פארבונדן מיט ISO 27001:2022 און אַנעקס A קאָנטראָלן: (נישט נאָר "בעסטע פּראַקטיק").
- נאכפאלגלעך צו פארבונדענע ריזיקע/אקציע(ס): אין אַן ISMS אדער עווידענס דאַשבאָרד.
קאָנטראַקט פּאָליטיק מאַפּינג טיש
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001:2022 / אַנעקס A רעפערענץ |
|---|---|---|
| סאַפּלייערס שטעלן אַ ריזיקע | קלאָזעס דעקן די פולע צושטעל קייט און ריזיקע אַקסעפּטאַנס | A.5.19–A.5.22 |
| אינצידענט ריפּאָרטינג | פארלאנגען נאטיפיקאציע אין X שעה/טעג, עסעקאלאציע צום קאנטראקט אייגענטימער | א.5.19, א.5.21 |
| רעכט צו אוידיט | געבן צוטריט צו און דורכקוק רעכטן צו אוידיט דאטן (אריינגערעכנט סוב-קאנטראקטארן) | א.5.20, א.5.22 |
| זיכערהייט קאָנטראָלס | ספּעציפֿיצירן ענקריפּשאַן, צוטריט, ריטענשאַן, טריינינג; קלאָרע טעכנישע טערמינען | A.5.19–A.5.22 |
טרעיסאַביליטי אין פּראַקטיק (מיני-טאַבעלע)
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל / SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| סאַפּלייער אָנבאָרדז | ISMS ריזיקע און קאנטראל אפשאצונג | A.5.21 / SoA פּונקט 21 | קאָנטראַקט באַווײַזן רעקאָרדירט |
| געזעץ ענדערונגען | קלאָז איבערבליק און דערהייַנטיקונג פּלאַנירט | פּראָטאָקאָלן פֿון דירעקטאָרן-ראַט, קלאָז מאַפּע | צוגאב און באַשטעטיקונג לאָגס |
| אוידיטאר בעט באווייז | אייגענטימער באשטימט, דאקומענט איבערבליק אקטיוויזירט | אוידיט לאג/רעפערענץ | באווייזן אין ISMS, אונטערשרייבונג |
ISMS.online ביישפּיל
יעדער נייער סאַפּלייער קאָנטראַקט ווערט רעגיסטרירט אין ISMS.online, קעגן זיין סאַפּליי טשיין קאָנטראָל (A.5.21), וואָס באַשטימט גלייך אַן אייגנטימער און באַווייַז שפּור. יעדע לעגאַלע אָדער רעגולאַטאָרישע ענדערונג מאַרקירט קאָנטראַקטן און סקעדזשולירט ענדערונגען, מיט קאָמוניקאַציע און אָפּשאַצונג סטאַטוס טראַקט אין די דאַשבאָרד - געבן איר אַן אוידיט-גרייט שפּור און באַווייַז פון "לעבעדיקע" העסקעם אין יעדער צייט.
טרעיסאַבאַל, אוידיט-באַווייַזנדיק העסקעם - ווי אַזוי צו מאַכן עס פאַקט
עכטע קאמפלייענס איז נישט סטאטיש - אדער איינגעשפארט אין א פייל שעיר. די איינציגע נאכhalטיגע ענטפער איז לעבעדיגע אייגנטומערשאפט, אויטאמאטישע באווייז ציקלען, און טרעקבארע ענדערונג לאגס וואס רעדוצירן פאניק, נישט פארגרעסערן עס.
אוידיט-גרייט איז א פונקט-אין-צייט אילוזיע - לעבעדיגע אייגנטומערשאפט און אקטיווע טרעקינג שאפן עכטע ווידערשטאנדסקראפט און צוטרוי אין דעם באארד.
ווי אזוי זיך בעסטן צוצוגרייטן (פערזאנע דיאגנאסטיק)
- יעדער קאָנטראַקט איז צענטראַליזירט, מאַפּט, און קאַטעגאָריזירט לויט ריזיקאָ שיכט.
- ISMS און אַנעקס A רעפערענץ לינקס פּלוס באַווייַז לאָגס זענען מוז.
- אייגנטומערשאפט איז צוגעטיילט, אויטאמאטישע דערמאָנונגען און איבערבליק ציקלען זענען אין פּלאַץ.
- אַלע ענדערונג און קאָמוניקאַציע לאָגס ווערן געטראַקט, וואָס פֿאַרמאַכט יעדן ריס צווישן קאָנטראַקט דערהייַנטיקונגען און די רעאַליטעט פֿון די אוידיט.
- טימז אַרבעטן דורך אַ געטיילטן, "איין פֿענצטער פֿון גלאָז" צוגאַנג פֿאַר פּראָקורעמענט, לעגאַל, IT, און קאָנפאָרמאַנס.
אויטאָמאַטיזירן פֿאַר בטחון
דורכגעפאלענע אויספארשונגען און שפעטע אריינשיקונג פון באווייזן קומען אפט אראפ צו פארפעלטע דערמאנונגען אדער "פארגעסענע" קאנטראקט אויפגאבן. צענטראליזירטע, אויטאמאטישע פלאטפארמעס ווי ISMS.online אנצינדן באנייאונג, ענדערונג, און איבערבליק ציקלען - אזוי קענען קאנטראקט אייגענטימער, מענעדזשערס, און עקזעקוטיוון זען זייער אויספארשונג סטאטוס אין רעאל-צייט.
א ווידערשטאנדספעאיקער קאנטראקט לעבנסציקל פארוואנדלט וואס איז אמאל געווען דאגות אין אן אפעראציאנעלן מייַלע און רעדוצירט אוידיט ציקלען צו רוטינע מיילשטיינען.
באַווייַזן קאָנטראַקט קאַנפאָרמאַטי צו אָדיטאָרס, באָרדז און רעגולאַטאָרן
זיכערהייט מיינט איצט באווייזן אקציע - נישט נאר כוונה - פאר יעדן עולם: פון דעם געשעפט אייגענטימער ביזן דירעקטאריום און ארויס ביזן רעגולאטאר.
אן אוידיט-זיכערער קאנטראקט לעבנסציקל ווערט פארדינט, נישט באשטעטיגט. אויב די באווייזן ווערן צענטראליזירט, מאַפּט און דערהייַנטיקט, ווערן אוידיטס, רעגולאַטאָר וויזיץ און דירעקטאָרן-ראַט איבערבליקן טרוקענע לויפונגען - נישט איבערראשונגען.
וואָס סקרוטינערס ווילן
- מוסטער סאַפּלייער קאָנטראַקטן קראָס-מאַפּט צו אַרויף-צו-דאַטע NIS 2 & יסאָ קסנומקס קאָנטראָלס, מיט דיגיטאַלע לאָגס.
- באווייז פון אייגנטומערשאפט און סטאטוס נאכפאלגן - ווער איז אין שריט, ווער נישט.
- טראַינינג און אינצידענט רעקאָרדס באַשטעטיקן אַז קאָנטראַקט רעקווירעמענץ ווערן אויסגעפירט, נישט איגנאָרירט.
- קראָס-יוריסדיקציע אָוווערלאַגס געראטן אין איין סיסטעם, גרייט אין שנעלקייט פֿאַר יעדער אָנפֿרעג.
ווייַזן פּראָגרעס (און פאַרדינען גוטן ווילן)
אוידיטאָרן, רעגולאַטאָרן, און באָרדס באַלוינען אַלע קלאָרע באַווייַזן פון אָנגייענדיק קאָנטראַקט געזונט: ענדערונג לאָגס, סאַפּלייער קאָרעספּאָנדענץ, און העכער אַלע קאַרטירטע פֿאַרבעסערונג ציקלען - טראַקט פֿון ענד צו ענד, מיט גאָרנישט לינקס "אַוועק פון די ביכער".
בענטשמאַרקינג ווײַט העכער דורכשניטלעך אין דער אינדוסטריע
רעגולאַטאָרישע אויפמערקזאַמקייט פאַלט איצט די שווערסטע נישט אויף "שלעכטע אַקטיאָרן" נאָר אויף די וואָס האָבן נישט געקענט אַנטוויקלען זיך העכער ווי די מינימום קאָנפאָרמאַטי. פירמעס וואָס מאַפּירן זייערע קאָנטראַקטן צו NIS 2, ISO 27001, און נאַציאָנאַלע אָוווערלייעס, און דאַן האַנדלען סיסטעמאַטיש, האָבן טראַנספאָרמירט די שטעלונגען פון די דירעקטאָרן-ראַט און די אויডিץ-קאָמיטעטן פון "קאָנפאָרמאַטי-אנגסט" צו "קאָנקורענץ-שטאַרקייט".
פֿאַרבעסערן דיין קאָנטראַקט קאַמפּליאַנס - און באָרד בטחון - מיט ISMS.online
אייערע קאנטראקטן באשיצן נישט נאר פארמעגן - זיי ווערן אקטיווע באווייזן פון צייטיגקייט און צוטרוי ווען זיי ווערן געמאַפּט, באזיצט און נאכגעפאלגט. די קאמבינאציע פון א לעבעדיגע רעגיסטער, דערמאָנונגען און געמאַפּטע באווייזן מאכט יעדן אוידיט אדער אינצידענט אן עקסערסייז אין אפעראציאנעלן צוטרוי, נישט קיין קאמף.
מיט ISMS.online, איר קענען:
- שאַפֿן און אויפֿהאַלטן אַ לעבעדיקן קאָנטראַקט רעגיסטער פֿאַר סאַפּלייערז, מאַפּט אַריבער אַלע פריימווערקס און אָוווערלייז, געבונדן צו באַווייַזן און אָונערשיפּ.
- אויטאמאטיזירן קאנטראקט צוגאבן, באנייאונג ציקלען, און באווייז טרעקינג - אראפנעמענדיג "פייער דריל" שטערונגען און פארשטארקן די מאראל פון די מאַנשאַפֿט.
- מאַפּירט אייערע פּאָליטיקס גלייך צו ISO 27001:2022, NIS 2, DORA, און אַלע באַטייַטיקע געזעצן, און זאָרגט דערפאַר אַז יעדער קאָנטראַקט איז שטענדיק גרייט פֿאַר זיין שווערסטן פּראָבע.
- טראַנספאָרמירן אוידיטס און דירעקטאָרן-בריוו בריפינגס פון דייַגעס געשעענישן צו קלאָרע דעמאַנסטראַציעס פון פלייסיקייט, גרייטקייט און פירערשאַפט.
- גיט יעדן קאמפלייענס אדער איינקויף אייגענטימער בטחון אז וואס איז וויכטיג ווערט נאכגעפאלגט, גאפען ווערן באמערקט, און באווייזן זענען שטענדיג ביי די פינגערשפיצן.
גרייט צו זען ווי אזוי נאכפֿאָלגבאַר, באַווײַז-געטריבן קאָנטראַקט פאַרוואַלטונג קען געווינען צוטרוי, רעדוצירן ריזיקע, און פֿאַרפּשוטערן אײַער קומענדיקן אוידיט? פֿאַרבינדט אײַערע אינטערעסירטע פּאַרטייען, פֿאַרמאַכט יעדן קאָנפאָרמאַנס גאַפּ, און פֿאַרוואַנדלט קאָנטראַקטן אין אַסעץ - נישט פֿאַראַנטוואָרטלעכקייטן - מיט ISMS.online.
אָפֿט געשטעלטע פֿראגן
וועלכע סאַפּלייער קאָנטראַקטן דאַרפן טאַקע NIS 2 זיכערהייט קלאָזולעס - און ווען גילטן אויסנעמען?
סאַפּלייער קאָנטראַקטן דאַרפן נאָר NIS 2 זיכערהייט קלאָזולעס אויב די סאַפּלייער'ס באַדינונגען זענען לינגקט צו דיין רעגולירטע "עסענציעלע" אָדער "וויכטיגע" פונקציעס, וואו זייער קאָמפּראָמיס קען אַפעקטירן געשעפט קאָנטינויִטעט, אָפּעראַציעס, אָדער די קריטישע אינפראַסטרוקטור אַבליגאַציעס מאַנדאַטעד דורך NIS 2 אָדער דיין נאַציאָנאַלער רעזשים. עס איז נישט וועגן וניווערסאַל קאַווערידזש; עס איז וועגן מאַטעריאַליטעט און ריזיקאָ טראַנספעראויב איר פֿאַרלאָזט זיך אויף אַ קאָר IT סערוויסעס פּראַוויידער, SaaS פֿאַרקויפֿער וואָס האָסטירט קונה/רעגולירטע דאַטן, אָדער קיין דריט פּאַרטיי וועמענס אויספֿאַל אָדער בריטש וואָלט שטערן אייערע רעגולאַטאָרישע פֿאַרפֿליכטונגען, מוז אייער קאָנטראַקט ספּעציפֿיצירן NIS 2-אַליינד טערמינען. פאַרקערט, קאָנטראַקטן מיט סאַפּלייערז ווי אָפֿיס רייניקונג אָדער גרונטלעכע מעכירעס פאַרוואַלטונג זענען אָפֿט אַרויס פֿון דער פֿאַרנעם - סייַדן אייער נאַציאָנאַלע געזעץ האט "גאָלדפּלייטאַד" NIS 2, ווי געזען אין בעלגיע, די נעטהערלאַנדס אָדער דײַטשלאַנד, וווּ רעגולאַטאָרן קענען אויסברייטערן קאַווערידזש צו מער קאַטעגאָריעס אָדער נידעריקער-מדרגה פֿאַרקויפֿער. דאָקומענטאַציע און לאָגיק זענען אייערע בעסטע פאַרטיידיקונגען: פירן א לעבעדיגן רעגיסטער וואס דערקלערט פארוואס יעדער פארקויפער קאנטראקט איז אינעם ראם אדער נישט אין זיין ראם, גרייט פאר א באארד, אוידיטאר, אדער רעגולאטורישן איבערבליק.
אפילו פֿאַר באַפרייטע סאַפּלייערז, איבערקוקן באַשלוסן יערלעך און נאָך גרויסע אָפּעראַציאָנעלע ענדערונגען - רעגולאַטאָרישע דעפֿיניציעס און סעקטאָר אָוווערלאַגס קענען זיך שנעל ענדערן.
קאָנטראַקט פאַרנעם טאַבעלע: NIS 2 אַפּליקאַביליטי
| סאַפּלייער טיפּ | לאַנד בייַשפּיל | קלאָז מאַנדאַטירט? |
|---|---|---|
| קאָר IT/MSP/וואָלקן | דייטשלאנד | יא-קריטישער סאַפּלייער |
| SaaS פֿאַר קונה דאַטן | איטאליע | יא - אויב שטיצט שליסל סערוויסעס |
| אָפיס רייניקונג/פאַסילאַטיז | האלאנד | געוויינטלעך באפרייט, טשעק איבערדעק |
| דאַטן צענטער (אויסגעסאָורסט אָפּעראַציעס) | בעלגיע | יא - אונטערטעניק צו "גאָלדפּלייטינג" |
| לאקאלע קייטערינג | france | בכלל באפרייט |
וואָס ספּעציפֿישע קלאָזולעס מוז אַ NIS 2-קאָמפּאַטיבל קאָנטראַקט אַנטהאַלטן צו באַפֿרידיקן די אויডিץ און רעגולאַטאָרן?
א NIS 2-קאמפאַטיבלער סאַפּלייער קאָנטראַקט גייט ווייט ווייטער ווי אַלגעמיינע זיכערהייט קלאָזולעס. עס זאָל אויסדריקלעך באַשטימען:
- אימפּלעמענטירבארע ריזיקאָ קאָנטראָלן: -באדערפענישן פֿאַר פּאַטש קאַדענס, מולטי-פאַקטאָר אָטענטאַקיישאַן, אינצידענט דעטעקציע, זיכערהייט באוואוסטזיין און רעגולערע ריזיקע איבערבליק (אנעקס A.5.19–A.5.22 / ISO 27001).
- אינצידענט אָנזאָג: -גענויע צייט-פלאנען (24-72 שעה) פארן מעלדן אינצידענטן וואס קענען אפעקטירן אייערע וויכטיגע/עיקרדיגע סערוויסעס, מיט עסאקלאציע פראצעדורן וואס שטימען מיט אדער איבערשטייגן אייערע אייגענע מעלדונג-פליכטן.
- אויף-פאָדערונג אויডিץ רעכטן: -דאס עקספּליציטע, קאָנטראַקטואַלע רעכט צו בעטן באַווייַזן, אוידיט רעזולטאַטן, טריינינג/קאָנפאָרמאַנס לאָגס אין יעדן מאָמענט, נישט נאָר יערלעך.
- "פלוס-אראפ" קלאָזולעס: -בינדנדיק סובקאנטראקטארן אויף יעדן שיכט, זיכערמאכנדיג אז די גאנצע צושטעל קייט איז מחויב צו NIS 2 זיכערהייט ערווארטונגען.
- רעמעדיאַציע און דורכפירונג טריגערס: -קלארע רעמעדיעס פאר נישט-נאכקומען, אריינגערעכנט סוספענשאַן, רעמעדיאַציע פֿענצטער, און-אויב נייטיק-קאָנטראַקט טערמינאַציע.
- מאַפּינג צו סעקטאָר אָוווערלייז אָדער נאַציאָנאַלע געזעץ: -ווי למשל DORA פאר פינאנץ, דער סייבער רעזיליענס אקט, אדער שטרענגערע נאציאנאלע איבערדעקונגען אין יוריסדיקציעס ווי בעלגיע אדער דייטשלאנד.
- קאָמפּעטענץ/טראַינינג רעקווייערמענץ פון סאַפּלייער שטאב: וואו עס איז באַטייַטיק צו ריזיקע.
די קלאָזולעס מוזן זיין מער ווי נאָר פֿאָרמאַליטעט; אוידיטאָרן סקענען איצט סיי פֿאַר די אינהאַלט פֿון דער שפּראַך און סיי פֿאַר באַווײַזן אַז איר האָט אַקטיוויזירט אײַערע רעכטן, אַרויסגעגעבן דערמאָנונגען, און געבעטן באַווײַזן ווען עס איז געווען פּרודאַנט.
די עפעקטיווקייט פון א קאנטראקט ווערט געמאסטן לויט זיין מעגלעכקייט נישט נאר צו צוזאגן רעזולטאטן, נאר צו ערמעגלעכן אקציע, וועריפיקאציע און דורכפירונג - איבער דער גאנצער צושטעל קייט.
טאַבעלע פון שליסל קאָנטראַקט טעמעס
| טעמע | ISO 27001/אַנעקס א רעפערענץ | ניס 2 פאָקוס |
|---|---|---|
| ריזיקירן אַדמיניסטראַציע | A.5.19–A.5.22 | ספּעציפֿישע קאָנטראָלן, עכטע טשעקס |
| אינצידענט מעלדונג | A.5.21 | צייט-ליניעס, עסקאַלאַציע-וועגן |
| אויডিץ/באַווייַז רעכט | א.5.20, א.5.22 | אויף פארלאנג און דעטאלירט |
| פליס-אראפ פליכטן | A.5.21 | קאַווערידזש אין סובקאָנטראַקטאָרס |
| רעמעדיאַציע / טערמינאַציע | - | טריגערס און קלעריטי |
וואָסערע ריזיקעס און פֿאַראַנטוואָרטלעכקייטן קומען פֿאָר אויב איר איבערלאָזט אָדער אונטער-ספּעציפֿיצירט NIS 2 טערמינען אין סאַפּלייער קאָנטראַקטן?
באַהאַנדלען NIS 2 ווי אַ "קעסטל-טיק" אָדער פשוט אויסלאָזן שליסל פּונקטן קען אויסשטעלן אייער אָרגאַניזאַציע צו:
- רעגולאַטאָרישע קנסות און דורכפירונג: אונטער NIS 2, קענען שטראָפן דערגרייכן ביז €10 מיליאָן אדער 2% פון גלאבאלע איינקונפט פאר "וויכטיגע ענטיטעטן," מיט דירעקטע אחריות אויב א צושטעל-קייט דורכפאל האט אן איינפלוס אויף שליסל סערוויסעס. מיטגליד שטאטן ווי דייטשלאנד און בעלגיע האבן קלאר געמאכט אז זיי וועלן נוצן די כוחות.
- פארשפעטיקטע אינצידענט רעאקציע און קומולאַטיווע שאָדן: אָן דורכפירבארע מעלדונג קלאָזולעס, קענען סאַפּלייערז פאַרהאַלטן אינפאָרמירן אײַך וועגן אַ בריטש, און אַזוי אָפּזאָגן אײַער געשעפט - און אײַערע קאַסטאַמערז - ווערטפולע רעאַקציע צײַט.
א לאנגזאמע צושטעל-קייט רעאקציע פארוואנדלט אן איינהאלטבארן אינצידענט אין א קאַריערע-דעפינירנדיקע קריזיס.
- דורכפאַל פון אוידיט און לעגאַלע ריזיקע: אויספארשן איצט נישט נאר פאליסי, נאר אויך דעם דיגיטאלן קאנטראקט רעגיסטער, פארהאנדלונג קייטן, ענדערונג לאגס, און אקטיווע באטייליקונג. א דעטאלירטער שפּור (אפילו וואס ווייזט לעבעדיגע ארבעט-אין-פרארגרעס) איז פארטיידיגונגסווערט; אינאקטיוויטעט איז נישט. דער מאנגל פון א "גלייבלעכער בארעכטיגונג" פאר עלטערע/באפרייטע קאנטראקטן איז אליין א ריזיקע געפינס.
- שאָדן צו דער רעפּוטאַציע: לעכער אין צושטעל קייט גאַווערנאַנס זענען געווען אין צענטער פון לעצטע הויך-פּראָפיל רעגולאַטאָרישע אויספאָרשונגען - נישט קענען ווייַזן אַ קאָנטראַקט און באַווייַזן שפּור קען פאַרגיכערן געשעפט קאַנסאַקווענצן.
צי דערמאָנט זיך די רעפֿערענץ צו ISO 27001 אין אַ קאָנטראַקט לויט NIS 2, צי זענען נאָך קאָנטראַקט-צוגאַבעס נויטיק?
דערמאָנען ISO 27001 (ספּעציעל אַנעקס A.5.19–A.5.22) ווי די באַזעלינע איז עסענציעל, אָבער נישט גענוג פֿאַר NIS 2. רעגולאַטאָרן ערוואַרטן צו זען קלאָרע מאַפּינג צו NIS 2-ספּעציפֿישע ערוואַרטונגען, אריינגערעכנט סעקטאָר אָוווערלאַגס, פֿאַרבעסערונגען אין נאַציאָנאַלע געזעץ, און דעטאַלירטע באַווייַזן פֿאַר באַריכטן און אוידיט.
קאנטראקטן דאַרפן אָפט סקעדזשולז אָדער רעפֿערענץ דאָקומענטן וואָס:
- דעפינירן נאטיפיקאציע פראטאקאלן לויט קריטישקייט, סערוויס, און יוריסדיקציע.
- פֿאַרבינדט סעקטאָר פריימווערקס (למשל, DORA, CRA) צו ספּעציפֿישע סאַפּלייער ראָלעס און עסאַקאַלאַציע פּאַטס.
- ווײַזן "לעבעדיקע" סטעיטמענט פון אַפּליקאַביליטי (SoA) מאַפּינג צווישן קאָנטראַקט קלאָזולעס און אָפּעראַציאָנעלע קאָנטראָלס.
דער גאָלדענער סטאַנדאַרט איז אַ קאָנטראַקט אַדישאַן אָדער מאַפּינג מאַטריץ וואָס ברידזשט יעדן סאַפּלייער'ס אַבליגאַציעס צו דיין ISMS קאָנטראָלס, די NIS 2 אַרטיקלען וואָס זענען אָנווענדלעך, און באַטייַטיק סעקטאָר אָוווערלייז. מיט ISMS.online אָדער ענלעכע פּלאַטפאָרמעס, קענען די מאַפּינגס ווערן דזשענערייטאַד, דערהייַנטיקט און עקספּאָרטירט פֿאַר אָדיט אָדער באָרד אָפּשאַצונג.
קאָנטראַקט-קאָנטראָל טראַסעאַביליטי טאַבעלע
| צינגל | קאָנטראַקט מאַפּינג | SoA / קאָנטראָל רעפערענץ | בייַשפּיל פון אויספאָרשונג באַווײַזן |
|---|---|---|---|
| סאַפּלייער ענדערונג | צוגאב + SoA דערהייַנטיקונג | A.5.21; NIS 2 | אונטערגעשריבענער לאָג, דערהייַנטיקט SoA |
| רעגולאַטאָרישע דערהייַנטיקונג | דואַל מאַפּינג (DORA/NIS 2) | A.5.20; דאָראַ; 2 שקל | פּי-די-עף פון פּאָליטיק, קאָמוניקאַציע לאָג |
| ברעט איבערבליק | פולע SoA קראָס-רעפערענץ | SoA רעגיסטרירן | עקספּאָרטירטער קיצור באַריכט |
ווי אזוי רעטראָפיצירט מען אדער "פארהארטעוועט" מען לעגאַסי סאַפּלייער קאָנטראַקטן צו פּאַסן צו NIS 2?
צו פֿאַרבעסערן אַלטע קאָנטראַקטן - די וואָס זענען געשריבן פֿאַר 2024 אָדער וואָס האָבן נישט קיין פולע ISO 27001/NIS 2 טערמינען - פֿאָלגן אַ ריזיקאָ-פּריאָריטיזירטן און באַווײַז-רייַכן פּראָצעס:
- צענטראליזירן אַלע עקזיסטירנדיקע קאָנטראַקטן: אין אַ דיגיטאַלן רעגיסטער לויט ריזיקאָ שטאַפּל, סערוויס אימפּאַקט, און באַנייַונג ציקל.
- גאַפּ-אַנאַליז: יעדן קאנטראקט'ס באדינגונגען קעגן די 2024 NIS 2 גיידליינז, ISO 27001 קאנטראלן, און נאציאנאלע איבערדעקונגען; דאקומענטירן וועלכע קלאָזולעס פעלן.
- אַרויסגעבן צוגאבן אדער ענדערונגען: פֿאַר הויך-ריזיקירטע סאַפּלייערז ערשט, שיקן קאָמוניקאַציעס און פֿאַרהאַנדלען אַפּגריידז בשעת מען לאָגט אַלע קאָרעספּאָנדענץ און רעזולטאַטן.
- אויטאמאטיזירן דערמאָנונגען: פֿאַר באַנייַונגען און פּלאַנירטע ווידער-קאָנטראָלס, אויפֿהאַלטן אַ צייטפּלאַן פֿון יעדער דערהייַנטיקונג און פֿאַרהאַנדלונג.
- האַלטן אַ לעבעדיקע באַווייַז שפּור: -אוידיטארן זוכן דאקומענטן אונטער איבערקוק און פאררעכטן אזויפיל ווי ענדגילטיגע, פערפעקטע קאנטראקטן.
אוידיטארן און רעגולאטארן באלוינען אקטיווע מענעדזשמענט, דורכזעיגע דאקומענטאציע, און "ארבעט אין פראגרעס." אפוועזנהייט פון טעטיקייט אדער אומבאשטימטע, אומבאגרינדעטע באפרייאונגען פירן מער און מער צו געפינסן אדער שטראפן.
לעגאַסי קאָנטראַקט כאַרדאַנינג טשעקליסט
- אינווענטאַר און ריזיקאָ-ראַנגירן אַלע עקזיסטירנדיקע קאָנטראַקטן.
- מאַפּ יעדעס צו די איצטיקע NIS 2/ISO רעקווייערמענץ.
- ענדערן קאנטראקטן אין פּריאָריטעט סדר; דאָקומענטירן יעדע פארהאנדלונג.
- ניצט אויטאמאטישע פראגראמען (פלאטפארם דערמאָנונגען) צו פאַרהיטן צוריקגיין.
- לאג און עקספארט ענדערונגען פאר audit trail.
וועלכע לענדער אדער סעקטארן האבן שטרענגערע רעגולאציעס, און ווי זאלן מולטינאציאנאלע ארגאניזאציעס מיטהאלטן?
עטלעכע אי־יו לענדער (אריינגערעכנט בעלגיע, דייטשלאנד, איטאליע און האלאנד) האבן "גאלד־פלאטירט" NIS 2 - אויסברייטערנדיקע פארלאנגטע קאנטראקט קלאוזלען אדער פארברייטערנדיק וועלכע סופלייערס זענען אינעם פארנעם.
- Belgium: ווענדט אָן כּללים אויף כּמעט אַלע קריטישע ענטיטעטן, נישט נאָר "עסענציעלע באַדינונגען" ווי דעפינירט דורך דער קאָר דירעקטיווע.
- דייטשלאנד: ימפּאָוזאַז פערזענלעכע אַכרייַעס וועגן סאַפּלייער טעותים און פאדערט טיפערע דירעקטאָרן-ראט אויפזיכט.
- איטאליע און האלאנד: ברייטערע קאנטראקט פארנעם, מיט פארפליכטעטע דערהייַנטיקונגען אויף קירצערע צייט-ליניעס.
אינערהאלב סעקטאָרן, איבערלעגונגען ווי DORA (פינאַנציעלע סערוויסעס) און דער סייבער ריזיליענס אקט (מאַנופאַקטורינג) פירן איין נייע קלאָזולעס פֿאַר אָדיט רעכטן, וואַלנעראַביליטי דאָקומענטאַציע, און דאַטן פלוס טראַקינג.
פֿאַר מולטינאַציאָנאַלע קאָמפּאַניעסדי זיכערסטע סטראַטעגיע איז צו צופּאַסן אַלע קאָנטראַקטן צו דער מערסט פאָדערונגספולער אַפּליקאַבלער יוריסדיקציע אָדער רעגולאַטאָרישער רעזשים וואָס אַפעקטירט יעדע איינע פון אייערע גרופּע ענטיטיז. האַרמאָניזאַציע מיינט ווייניקער איבערראַשונגען אין גרענעץ-איבערשרייטנדיקע אָדאַץ און סטריםליינד סאַפּלייער אָנבאָרדינג.
גאָלדפּלעיט אָוווערליי טיש
| לאַנד | אַפעקטירטער סעקטאָר | קאָנטראַקטירנדיקע ווירקונג | סטראַטעגישע נאָטיץ |
|---|---|---|---|
| בעלגיע | אַלע קריטישע האַנדל | מער סאַפּלייערז אין פאַרנעם | ניצט נישט נאָר EN טרעשאָולדס |
| דייטשלאנד | אינפאָרמאַציע טעכנאָלאָגיע/קריטיש | פֿאַראַנטוואָרטלעכקייט פֿון באָרד/באַזיצער | דאָקומענטירן און צוטיילן אייגנטומערשאַפט |
| איטאליע | לאַכאָדימ/קולטור | סעקטאָר אָוווערלייגס, מער שטאַפּלען | קאָנטינויִערלעכער ציקל פון רעצענזיעס |
| האלאנד | אַלע סעקטאָרס | פארפליכטעטע קורצע באריכטן | ניצן פּלאַטפאָרמע פֿאַר דערמאָנונגען |
ווי אזוי קענט איר מאכן אז אייער סופלייער קאנטראקט זאל זיין רעגיסטרירט "אוידיט-גרייט" און "באארד-גרייט" אונטער NIS 2 - סיי היינט און סיי ווי די באדערפענישן אנטוויקלען זיך?
אוידיט- און באָרד-גרייטקייט הייבט זיך אָן מיטן אויפהאלטן:
- A דיגיטאַלער רעגיסטער מאַפּינג יעדן סאַפּלייער, שיכט, און קאָנטראַקט באַזיצער, מיט קלאָז-צו-קאָנטראָל קראָס-לינקס.
- אויטאָמאַטישע פּלאַנען פֿאַר קלאָזול איבערבליק, קאָנטראַקט דערהייַנטיקונג, און באַווייַז כאַפּן - אַזוי גאָרנישט פאַלט דורך די ריסן ווען די אוידיט סעזאָן אָדער רעגולאַטאָרישע איבערבליקן שלאָגן אָן.
- פולשטענדיגע, זוכבארע לאגס פון אלע אמענדמענטן, פארהאנדלונגען, און אקטיווע סופלייער קאמוניקאציעס - עקספארטירבאר מיט א קליק פאר אינערליכע (באָרד) אדער עקסטערנע (אוידיט/רעגולאטאר) וואַלידאַציע.
- אינטעגרירטע וואָרקפלאָוז פֿאַר פּראָקורעמענט, קאַמפּליאַנס, און IT/זיכערהייט צו קאָלאַבאָרירן אין פאַקטישער צייט.
צענטראליזירן אייער סיסטעם ניצנדיק אן ISMS פלאטפארמע, ווי למשל ISMS.online, ערלויבט קאמפלייענס צו אריבערגיין פון אן "אוידיט פייער-דריל" צו א שטענדיגן, קאלאבאראטיווען און געראטן ביזנעס פראצעס.
עכטע בטחון קומט פון זעבארקייט - ווען אייער מאַנשאַפֿט קען גלייך אויפדעקן און עקספּאָרטירן די קאָנפאָרמאַטי באַווייזן פון אַ קאָנטראַקט, ווערט דער ווייַטער אוידיט אַ געלעגנהייט, נישט אַ ריזיקע.
וואָסערע באַווײַזן דאַרפן אוידיטאָרן, רעגולאַטאָרן און באָרדס צו באַווייַזן אייער NIS 2 קאָנטראַקט קאָנפאָרמאַטי?
אוידיטאָרן, באָרדס און רעגולאַטאָרן ערוואַרטן איצט אַ דעטאַלירטע באַווײַז־שפּור:
- דיגיטאַלע קאָפּיעס פון קאָנטראַקטן: , גלייך צוגעפאסט צו ISO/NIS 2 קלאָזולעס, נישט נאָר גענערישע "מיר האָבן אַ קאָנטראַקט" באַהאַופּטונגען.
- אמענדמענט און פארהאנדלונג לאגס: -צייט-געשטעמפּלט, באַזיצער-געטאַגד, ווײַזט רעספּאָנסיוו פאַרוואַלטונג (נישט "פיילן און פאַרגעסן").
- אַקטיווער באַזיצער/לעבנסציקל אַסיינמאַנט: פֿאַר יעדן סאַפּלייער קאָנטראַקט.
- סאַפּלייער קאָמוניקאַציע לאָגס: -מיט ריזיקע נאטיפיקאציעס, באווייז פארלאנגען, און (וואו נויטיג) באשטעטיגונג אדער טרענירונג באווייז פאר שליסל סאַפּלייערס.
- איבערלעגונג דאקומענטאציע: פֿאַר מולטינאַציאָנאַלע פֿוסשטאַפּן - ווי סעקטאָר פריימווערקס (DORA, CRA), גאָלדפּלייטינג, אָדער עקסטרע דזשוריסדיקשאַנאַל אָוווערלייז ווערן געווענדט און מאַפּט אין קאָנטראַקט שפּראַך.
פּלאַטפאָרמעס ווי ISMS.online מאַכן דעם זאַמלונג פון באַווייזן אַ רוטין. אַרבעט אין פּראָגרעס, ענדערונג לאָגס, און פארהאנדלונג געשיכטעס ווערן אַלע באַטראַכט ווי גילטיקע באַווייזן - אַזוי לאַנג ווי אייער פּראָצעס איז סיסטעמאַטיש, אַקטיוו, און טראַנספּאַרענט.
ווי אזוי טראנספארמירט ISMS.online קאנטראקט מענעדזשמענט פאר NIS 2 קאמפלייענס, באארד זעבארקייט, און אוידיט שנעלקייט?
ISMS.online צענטראליזירט און אויטאמאטיזירט דעם גאנצן קאנטראקט לעבנסציקל:
- גרינדן א דיגיטאַל, שטאַפּל-רעגיסטער מאַפּינג קאָנטראַקטן צו NIS 2, ISO 27001, און לאָקאַלע אָוווערלייז, און באַשטימען געהיימע אייגנטימער.
- פֿאָלגן אַלע קאָמוניקאַציעס, ענדערונגען, פֿאַרהאַנדלונגען און סטאַטוס ענדערונגען - שאַפֿנדיק אַ לעבעדיקן אוידיט רעקאָרד.
- אויטאמאטיזירט דערמאָנונגען פֿאַר באריכטן, קלאָזול דערהייַנטיקונגען, און באַווייַז זאַמלונג, אַזוי אַז דעדליינז ווערן נישט פאַרפעלט און אָונערשיפּ איז קיינמאָל נישט אַמביגיואַס.
- געבן אַלע אינטערעסירטע פּאַרטייען – פּראָקורמענט, קאָנפאָרמאַנס, זיכערהייט, גאַווערנאַנס – די מעגלעכקייט צו קאָלאַבאָרירן אויף קאָנטראַקט אויפזיכט, מיט טראַנספּעראַנטע וואָרקפלאָוז און איין-מקור רעפּאָרטינג.
- שנעל עקספּאָרטירן קאָנטראָלירן-גרייט זאָגן פּאַקעטן פּערסאָנאַליזירט צו רעגולאַטאָרישע, אוידיטאָר, אָדער באָרד ריקוועסץ.
דער רעזולטאַט: קאָנטראַקטן זענען מער נישט קיין אומבאַקאַנטע ריזיקע - זיי ווערן געראטן אַסעץ, וואָס פארשטארקט דאָס צוטרוי מיט קאַסטאַמערז, דירעקטאָרן און רעגולאַטאָרן.
באָרד-גרייט און אָדיט-גרייט מיינט אז באווייזן ווערן נישט נאר געהיט - זיי ווערן באזיצט, מאַפּט, און שטענדיק איין שריט פאָרויס פון דער ווייַטער NIS 2 ענדערונג.
