וואָס פּאַסירט ווען אַ נישט-אי.יו. סאַפּלייער אָפּוואַרפט NIS 2? דער ריזיקע גייט איבער צו אײַך.
ווען אייער אויסלענדישע סאַפּלייער וויל נישט נאָכקומען מיט NIS 2, צייכנט זיך דער גאַנצער ריזיקאָ פּערימעטער אַרום אייער אָרגאַניזאַציע - נישט קוקנדיק אויף די קליינע אותיות אין קאָנטראַקט אָדער די קאָרפּאָראַטיווע אַדרעס פון דעם סאַפּלייער. אונטער דער דירעקטיווע, ליגט די פֿאַראַנטוואָרטלעכקייט פֿאַר וויכטיקע און וויכטיקע באַדינונגען וואָס ווערן געגעבן אין דער אי.יו. פעסט אויף אייער טיש, נישט אין אַ סאַפּלייער'ס דאַטן צענטער אַריבער דעם אַטלאַנטיק. פֿאַר CISOs וואָס קאָנצענטרירן זיך אויף ווידערשטאַנד, פּריוואַטקייט און לעגאַלע אָפיצירן וואָס פֿאַרדייַען די עוואָלוציאָנערע רעגולאַציעס, און IT פּראַקטיצירער וואָס איבערגעבן טעגלעכע אָפּעראַציאָנעלע פאָדערונגען, איז דער נייער פּרינציפּ קלאָר: נישט-אַדרעסירטער ריזיקאָ פון סאַפּלייער איז נישט אַבסטראַקט - עס איז אייער פֿאַראַנטוואָרטלעכקייט, איצט.
ווען אַ סאַפּלייער ציט די ליניע, נעמט אייער ריזיקאָ רעגיסטער דעם קלאַפּ - אוידיטאָרן זאָרגן זיך נישט וועגן געאָגראַפֿיע.
רעגולאַטאָרן און אוידיטאָרן שטעלן דעם טראָפּ אויף אָפּעראַציאָנעלן אייגנטומערשאַפט. אויב אַ קריטישער דריט-לאַנד SaaS אָפּזאָגט זיך פון אַן אוידיט קלאָז , אָדער אַ צאָלונג פּראַסעסער זאָגט ניין צו בריטש אָנזאָגן אין 24 אָדער 72 שעה, זענען עס אייערע אי.יו.-פייסינג קאָנטראָלן וואָס שטייען פאר אויפזיכט. "ענטיטיז זאָלן ערוואַרטן צו זיין פאַראַנטוואָרטלעך פֿאַר דער ווידערשטאַנדסקראַפט פון אַלע עסענציעלע און וויכטיקע דיגיטאַלע צושטעל קייטן , נישט קוקנדיק אויף די וואוינונגען פון זייערע סאַפּלייערז." (ENISA 2023). אין דעם רעזשים, באַשיצן אייך נישט "בעסטע מי" קאָנטראַקט שפּראַך, ווייכע קאָנפאָרמאַנס צוזאָג, אָדער "גענוג נאָענט" אַשוראַנסן. יעדער אָפּזאָג פון אַ סאַפּלייער מוז זיין קאַרטירט, דאָקומענטירט, און געפּאָרט מיט קאָמפּענסירנדיקע קאָנטראָלן אָדער גלויבווערדיגע אַלטערנאַטיוון - אָדער עס ווערט אַ לעבעדיקע אוידיט גאַפּ.
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס A רעפערענץ |
|---|---|---|
| אוידיט צוטריט | פאַר-קאָנטראַקט טעסטינג און אָנגייענדיקע ריוואַלידאַציע | A.15 באַציִונגען מיט סאַפּלייער |
| בריטש מעלדונג | שטרענגער SLA, אינצידענט סימולאציע, יערליכע איבערשאצונג | A.6 ינסידענט ענטפער |
| נישט-קאָנפאָרמאַנס אַקציע | עקספּליציט פאַרבייַט פּלאַן, יערלעך לעבן-סוויטש דרילז | A.17 ביזנעס קאנטינעואיטעט |
יעדער "ניין" וואָס איר נעמט אָן פֿון אַ נישט-אי.יו. סאַפּלייער, אויב עס ווערט נישט רעגיסטרירט אָדער נישט געפֿירט, איז אַ ריזיקאָ סיגנאַל - איינער וואָס אייער דירעקטאָרן-ראַט, קאַסטאַמערז און רעגולאַטאָר וועלן פֿון נאָענט באַטראַכטן.
פארוואס א סאַפּלייער'ס "ניין" באַהאַלט מער ווי ייבערפלאַך שפּאַנונג
א פארקויפער'ס אפזאג איז כמעט קיינמאל נישט קיין סימן פון פשוט רעגולאטורישן אומאינטערעס. אנשטאט, באהאלט עס אלעס פון א מיספארשטענדעניש פון אי.יו. געזעץ ביז אפעראציאנעלע אומרייפקייט, לעגאלע זארג, אדער קאסטן אויסמיידונג. אסאך נישט-אי.יו. פראוויידערס נעמען אן אז לאקאלע סערטיפיקאציעס ווי SOC 2 אדער ISO 27001 זענען "גענוג נאנט," און באהאנדלען נייע פארפליכטונגען ווי ביוראקראטישע גערויש. אנדערע גיימלען אז פארשווארצטע דאטן פראצעסינג אפמאכן אדער לאנגע מעלדונג צייט-ליניעס (למשל, "מיר מעלדן אין 30 טעג, נישט 24 שעה") קענען דורכגליטשן, ספעציעל אויב פראקורמענט טימס זענען פאקוסירט אויף ליפערונג שנעלקייט.
אונטער יעדן וואָס מיר קענען נישט נאָכקומען לעבט אַ געמיש פון מיספאַרשטענדענישן, דיפענסיווקייט און אָפּעראַציאָנעלע גאַפּס.
רוטינע אָפּשטויסן - "מיר וועלן דערהייַנטיקן די DPA, אָבער קיין אָדיטס" אָדער "אונדזער בריטש באַריכט טיימינג איז סטאַנדאַרט, נישט אַקסעלערייטיד" - קען באַרויקן פאַר-פאַרקויף אָדער פּראָקורעמענט פֿראַגעס אָבער צעפאַלן אין אַן עכטן אינצידענט אָדער אָדיט. פֿאַר פּריוואַטקייט און לעגאַל טימז, דאָס איז אַ רויט אַלערט: "נאָענט גענוג" קאָנטראַקטן שטיצן הויך-פּראָפיל רעגולאַטאָרי בריטשעס. דאַטן שוץ אָפיצירן, אין באַזונדער, מוזן מייַכל דריט-לאַנד וואַלנעראַביליטיז ווי פּרייאָריטעטן; ENISA ס סאַפּליי קייט גיידאַנס וואָרנז ענטיטיז צו "אַקטיוולי מאָניטאָר און אָפּשאַצן אַלע סאַפּלייער אויסנעמען, ראַגאַרדלאַס פון יוריסדיקשאַן" (ENISA, 2023).
עפעקטיווע אָרגאַניזאַציעס אָפּעראַציאָנאַליזירן די טשאַלאַנדזשיז דורך טריאַגירן יעדן סאַפּלייער אָפּזאָג:
- לאָגירט דעם "ניין" ווי אַ לעבעדיקע ריזיקע געשעעניש.
- גלייך אויפהייבן צו ריזיקירן רעגיסטרירןס און לעגאַלע איבערבליק.
- בינדט יעדע אויסנאַם צו אַן אייגנטימער און עקספּיראַציע דאַטע - לאָזט קיינמאָל נישט "צייטווייליקע" אַקסעפּטאַנס פאַרוועלקן אין אַ שטענדיקער ריזיקע.
- צוגרייטן א פלאן פאר אן אויסטויש אדער פארמינדערונג, אריינגערעכנט א געטעסטן ביזנעס קאנטינעויטעט וועג.
נאכפאלגן יעדן אינסטאַנץ טראַנספאָרמירט אומבאַקאַנטע זאַכן (דעם סאַפּלייער'ס באַהאַלטענע "ניין") אין זעבארע, פאַרוואַלטעטע ריזיקעס. עס פֿאַרשיבט די אוידיט דערציילונג פֿון "מיר האָבן אָנגענומען" צו "מיר האָבן זיך צוגעגרייט".
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
די עכטע קאסטן: צושפליטערונג פון די צושטעל-קייט און פארגרעסערונג פון ריזיקע
לאָזן פארקויפער אָביעקציעס אָדער אָפּזאָגונגען נישט אַדרעסירט שאַפט אַ פאַרמערנדיקע סעריע פון אָפּעראַציאָנעלע און לעגאַלע קאָפּווייטיק. ווען פּראָקורמענט פּרוּווט צו "מאַכן עס," גליטשן פּראָיעקט צייטליניעס, צושטעלן ריזיקעס זאַמלען זיך, און אַנדאָקומענטירטע קאָנטראָלס פאַרפּעסטן זיך אין סיסטעם. SaaS פּלאַטפאָרמעס קענען אַרייננעמען פירמע אָדער קונה דאַטן אַרויס פון די זיכערהייט גרענעצן, וואָרקאַראַונדס ווערן כראָניש, און אויסנעמען ליידן פון "טאַסק פויל," וואָס בלייַבט לאַנג נאָך פּערסאָנעל ענדערונגען.
די עכטע קאָסטן פון סאַפּלייער אָפּזאָג ווערט נאָר קלאָר ווען אַן אינצידענט אַנטפּלעקט די טונקעלע ווינקלען אין דיין סאַפּלייער קייט.
נישט-קאנטראלירטע רייבונגען צווישן פארקויפער פארגרעסערן זיך שנעל. אינצידענטן ווי שאָטן-אי-טי באַניץ אדער אַפּסטרים דאַטן פּראַסעסאָרן וואָס אָפּזאָגן זיך פון דערהייַנטיקטע אַקסעס קאָנטראָלן קומען אָפט אין די כעדליינז נאָך יאָרן פון נישט-מאָניטאָרירטע עקספּאָוזשער. "נישט-פאַרוואַלטעטע דריט-לאַנד סאַפּלייערז פירן צו שטילע, פאַרגרעסערנדיקע וואַלנעראַביליטיז לאַנג איידער קיין הויפּט אינצידענט פּאַסירט," וואָרנט ENISA.
כדי דאס קעגן צו קעמפן, באהאנדלען עפעקטיווע ארגאניזאציעס יעדן סופלייער שטילשטאנד ווי א לעבעדיגע ריזיקע - איינע וואס מוז ווערן רעקארדירט אין די ISMS און קענטיק אין ריזיקע היץ-מאפס אדער ברעט דעשבאָרדז. אינצידענט און אויסנאם רעגיסטערס זאלן ווייזן צייט-געשטעמפלטע איינטראגעס, פאראנטווארטלעכע אייגענטימער, און געפלאנטע באריכטן. ביזנעס קאנטינעויטעט עקסערסייזעס מוזן ארייננעמען סצענארן פאר נישט-קאמפליענט אדער צוריקגעצויגענע סופלייערס. ברעטער ערווארטן די דרילס און זייערע רעזולטאטן אלס טייל פון געווענליכע גאַווערנאַנס - נישט נאר אלס אינצידענט רעאקציע נאכגעטראכטן (GT געזעץ 2025).
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס A רעפערענץ |
|---|---|---|
| סערטיפיקאַטן און גרייטקייט | לעבעדיגע מאָניטאָרינג, עקספּיירי טראַקינג, עסאַקאַלאַציע צו ריזיקירן אָונערז | A.15 באַציִונגען מיט סאַפּלייער |
| באַדזש אָפענגיקייט | מאַפּירן קאָנטראָלן גלייך, פֿאַרמייַדן פֿאַרלאָז אויף סערטיפֿיקאַטן אַליין | A.18 קאָנפאָרמאַטי |
| ויסנעם פאַרוואַלטונג | אַלע אויסנעמען רעקאָרדירט, באָרד-איבערגעקוקט, עקספּיירי דורכגעפירט | A.6.5 אויסנאַם אַקסעפּטאַנס |
דערלויבן נישט-אדרעסירטע אויסנעמען צו אנהאלטן איז שוין נישט קיין טעכנישער חוב - אונטער NIS 2 איז עס א קענטיקער, רעגולירטער ריזיקע מיט פערזענלעכע קאנסעקווענצן פאר די וואס האלטן די אחריות.
איגנאָרירן אויף אייער אייגענעם ריזיקע: דער בומעראַנג עפֿעקט פֿון נישט-אַדרעסירטער אָפּזאָג
גלייבן א קאנטראקט, אדער דעם פארקויפער'ס צוזאג, איז גענוג צו איבערגעבן די אחריות איז א לעגאלע און אפעראציאנעלע פאסטקע. אונטער NIS 2, טראגט אייער פירמע - אויב זי איז געגרינדעט אדער אקטיוויזירט אין דער אי.יו. - די פליכט פון באווייזן. דאס מיינט נישט נאר פאפירענע קאנפארמיטעט נאר לעבעדיגע, סיסטעמאטישע אויפזיכט פון די ריזיקעס פון די סופלייער.
אַבזאָרבירן אַ סאַפּלייער'ס אָפּזאָג פאַרוואַלטעט נישט ריזיקע - עס ברענגט אַרויס עקספּאָוזשער פֿאַר ביידע אָדאַץ און באָרד אָפּשאַצונגען.
ENISA איז אפן: "ענטיטיס זענען פארלאנגט צו ווייזן אלע גלייכבארע אנשטרענגונגען צו מאניטארירן און פארמינערן סופליי טשיין ריזיקעס, אומאפהענגיק פון דריט-לאנד סופליי סטאטוס" (2023). די אימפליקאציע איז דירעקט - אויב איר אקצעפטירט א אפזאג, מוז אייער ריזיקע רעגיסטער און אקציע לאג ווייזן:
- פארוואס די אפזאג איז אנגענומען געווארן (אדער פאר ווי לאנג),
- וואָס מען האָט פּרובירט (פֿאַרהאַנדלונגען, פֿאַרמינדערונג, אַלטערנאַטיווע סאָרסינג),
- ווער האט אונטערגעשריבן (אריינגערעכנט דעם דירעקטאָרן-ראַט אדער ריזיקאָ-קאמיטעט), און
- ווען (און ווי) דער ריזיקע וועט ווערן פארמאכט.
פאַל שטודיעס פאַרמערן זיך. ווען אַ גלאבאלער SaaS פאַרקויפער האָט אָפּגעזאָגט אַקסעס צו אַן אויডিץ פֿאַר אַן עסענציעלער אי.יו. פּלאַטפאָרמע, האָבן רעגולאַטאָרן געפֿאָדערט פֿולע ענד-צו-ענד פֿאַראַנטוואָרטלעכקייט - ניט נאָר פֿאַר יענער אַפּ, נאָר פֿאַר אַלע אָפּהענגיקייטן וואָס זי האָט געשטיצט (אַרייַנגערעכנט HR און קאָנפֿידענציעלע קליענט דאַטן). נאָר אָרגאַניזאַציעס מיט שטאַרקע רעקאָרדס - דאָקומענטירטע ריזיקאָ עסאַלאַציעס, פֿאַרהאַנדלונג לאָגס, און באַשטעטיקטע אויסנעמען מיט געפּלאַנטע אַרויסגאַנג סטראַטעגיעס - האָבן אַנטלאָפן קנסות און שאָדן צו דער רעפּוטאַציע. פֿאַר פּריוואַטקייט אָפיצירן, מאַנגל אין דאָקומענטירטע דאַטן קאָנטראָלן אָדער קלעריטי פֿון פּראָצעסן וועגן צוטריט צו סוביעקטן (SAR) טריגערט דירעקטע רעגולאַטאָרישע פֿלאַמען. אין דערוואַקסענע רעזשים, איז יעדער אומגעלייזטער "ניין" פֿון דער פאַרקויפער אַ צייט-געשטעמפּלטע אויסנאַם, וואָס ווערט געמאָלדן צום באָרד אָדער סטירינג קאָמיטעט.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
די איינציקע קאנטראקטן וואָס טוישן דיין לעווערידזש: פּרוביר, באַזיצט און לעב זיי
צושטעל קייט קאנטראל ווערט נישט אויפגעשטעלט דורך לעגאלע שפראך - עס ווערט אויפגעהאלטן דורך אפעראציאנעלע אייגנטומערשאפט. כדי צו פארשיבן די עכטע ווירקונג, מוז קאנטראקט שפראך זיין:
- עקספּליציט: אריינגערעכנט אויডিץ רעכטן, בריטש נאָוטאַפאַקיישאַנז (24/72 שעה) און סאַפּלייער פאַרבייַט קלאָזולעס.
- טעסטעד: דריל די קלאָזולעס דורך טיש סצענאַריאָס, איבעראשנדיקע אויספאָרשונגען, און אינצידענט סימולאַציע.
- באזיצט: באַשטימט אַ פאַראַנטוואָרטלעכע פּאַרטיי פֿאַר יעדער קאָנטראָל - קיינמאָל "יעדערמס אַרבעט".
- געטראַקט: יעדע אויסנאַם און קלאָז געניטונג איז רעגיסטרירט, צייט-געשטעמפּלט, און פארבונדן צו די סטעיטמענט פון אַפּליקאַביליטי (SoA) אָדער לעבעדיק אַסעט רעגיסטרי.
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס A רעפערענץ |
|---|---|---|
| אויডিץ רעכטן | פאַר-קאָנטראַקט, אויסגענוצט ביי דער באַנייַונג, אָפּגעקוקט פֿאַר M&A | A.15 באַציִונגען מיט סאַפּלייער |
| 24/72 שעה נאָטיפיקאַציע | SLA מיט לעבעדיגע דרילס, בריטש לאָגס, איבערגעקוקט יערליך | A.6 אינצידענט רעאַקציע |
| פאַרבייַט וועג | פאַר-באַשטעטיקטע באַקאַפּס, סצענאַר לויפט, יערלעך איבערבליק | A.17 ביזנעס קאנטינעואיטעט |
פארנאכלעסיגטע קאנטראקט קלאוזלען זענען נישט קיין פארמעגן - זיי זענען שטילע ריזיקעס וואס פארגרעסערן זיך אין דער פינצטערניש. באארדס און אוידיטארן זוכן באווייזן: נישט "מיר האבן פלאנירט," נאר "מיר האבן געטעסט, און דא איז דער רעזולטאט."
באָרדס וואָס אַקטיוו לאָגירן און טעסטן ווענדאָר קאָנטראָלס גייען אַרײַן אין אוידיטס מיט באַווײַזן, נישט נאָר האָפענונג.
טוט אייער אינדוסטריע סעקטאָר טוישן די ריזיקע מאטעמאטיק? נוצט זיכער קיינמאָל נישט קיין אלגעמיינעם פּלייבוק
NIS 2'ס קאמפלייענס סטאַנדאַרט גילט פאר אלע, אבער קריטישע אינדוסטריעס (בענק, יוטיליטיס, געזונט, רעגירונג) שטייען נישט נאר פאר שטרענגערע רעגולאציעס, נאר אויך פארבעסערטע אינצידענט באריכטן און אויפזיכט ערווארטונגען. דער חילוק איז אפעראציאנעל, נישט קאסמעטיש. וואס איז גענוג פאר א SaaS פלאטפארמע איז, פאר געזונטהייט אדער פינאנץ, א ריזיקע אויף דירעקטאריום, וואס קען ווערן מעלדט דורך די סעאָ.
וואָס גייט דורך פֿאַר E- האַנדל אָדער SaaS איז אַ באָרד פּראָבלעם אין געזונטהייט, באַנקינג און אַנדערע הויך-השפּעה סעקטאָרן.
קריטישע סעקטאָר אָרגאַניזאַציעס מוזן:
- קאַטאַלאָגירן אַלע סאַפּלייערז לויט יוריסדיקציע, סעקטאָר ויסשטעל, און פאָטער-קינד ריזיקירן (למשל, וואָלקן פּראַוויידער ס סובקאָנטראַקטאָרס).
- שנעל טריאַזירן יעדע אָפּזאָג פון העסקעם - קיין פאַרהאַלטן, קיין "ווייכע אַקסעפּטאַנסן" באַגראָבן אין מינוטן.
- מאַפּירן יעדן קאָנטראַקט צו סעקטאָר-ספּעציפֿישע געזעצלעכע אָדער ENISA קאָנפאָרמאַטי גיידליינז, נישט נאָר די באַזע דירעקטיווע.
- זיכער מאַכן אַז לעגאַלע, פּריוואַטקייט, און ריזיקאָ אייגנטימער באַשטעטיקן יעדער אויסנאַם. *קיין נישט-אויפגעפּאַסטע ריזיקאָס אויף דירעקטאָרן-ראַטן איבערלעבן נישט דעם קוואַרטאַלן איבערבליק.*
- דורכפירן איבערבליק און פארמאכונג קאדענץ - אויסנעמען מוזן אויסגיין סיידן זיי ווערן באנייט און ווידער באשטעטיגט.
אייער ISMS זאָל פֿאַרבינדן פּאָליטיק פּאַקס, שטאַב דערקענטענישן, אויסנאַם לאָגס, און פאַרקויפֿער באַציִונג מאַפּס אין איין לעבעדיקע סטרוקטור. פּריוואַטקייט לאָגס, דאַטן מאַפּינג, און SARs ווערן ינטעגראַל צו באַווייַזן סעקטאָר-ספּעציפֿיש דיו דילידזשאַנס און גרייטקייט אין יעדער איבערבליק.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
פֿון באָרדרום טריאַזש ביז לעבעדיק ריזיקאָ קאָנטראָל: מאַכן דאָקומענטאַציע דינאַמיש
די געפערלעכסטע אומאקציע איז צו באצייכענען א לעבעדיגע סופלייער ריזיקע אלס "אויפהענגיק" - פיל טייערער ווי א דעטעקטירטע בריטש. ווען א אפזאג ווערט רעגיסטרירט - דורך איינקויף אדער קאמפלייענס - מוז עס ווערן באזיצט, נאכגעפאלגט, און פארמאכט.
סופּליי טשיין ריזיליאַנס קומט פון אַ קאָדאַפייד וואָרקפלאָו וואָס ספּאַנדיז:
1. אויפנעמען און רעקארדירן
- לאָגירן אַלע אָפּזאָגונגען: פּראָאַקטיווע אַרייַנטרעטן אין ISMS, ריזיקאָ רעגיסטער, און זיצונג פּראָטאָקאָל.
2. איבערבליק און לעגאַלע רעדליין
- קאָנטראַקט מאַרקאַפּס, לעגאַלע מיינונגען, און אַלטערנאַטיווע שפּראַך אַנאָטירט און געהיט.
3. עסקאַלאַציע און ריזיקאָ פאַרוואַלטונג
- עסקאלירן דעם אומגעלייזטן "ניין" צום ריזיקע אייגנטימער און דירעקטאָרן-ראט; פארבינדן ריזיקע מיטן ביזנעס פראצעס און פארמעגן-מאפע.
4. באָרד/די-פי-אוי נאָטיפיקאַציע
- דאָקומענטירט אין באָרד פּאַקעטן, סטירינג קאָמיטעט פּראָטאָקאָלן, אָדער פּריוואַטקייט אָפיציר מעמאָס.
5. אויסנאַם און פֿאַרמאַכן
- צייט-געבונדענע אויסנעמען מיט קלארע איבערבליק און עקספּיראַציע. רוטינמעסיג אָדיטירט.
6. רעגולאַטאָר/באַווייַז צוגרייטונג
- קארעספאנדענץ לאגס, לעגאלע מעמאָס, און עסאַקאַלאַציע טריט גרייט.
| טרעטן | יידעס - זאָגן | אַכרייַעס |
|---|---|---|
| ינטייק | אימעיל, זיצונג נאטיץ, ריזיקע רעגיסטער | איינקויף, זיכערהייט |
| אָפּמאַך אָפּשאַצונג | אַנאָטירטער קאָנטראַקט, לעגאַלע באַמערקונגען | לעגאַל, DPO, אינפֿאָרמאַציע טעכנאָלאָגיע |
| Escalation | ריזיקע דערהייַנטיקונג, אַקציע לאָג, פּראָטאָקאָלן פֿון באָרד | ריזיקע/עטיק קאמיטעט, באָרד |
| אויסנאַם אונטערשרייבונג | אויסנאַם רעגיסטער, איבערבליק מיט עקספּיירי דאַטע | CISO, קאמפלייענס, באָרד, DPO |
| רעגולאַטאָר צוגרייטונג | מעמאָס, קאָמוניקאַציעס, באַווייַז פון עסאַקאַלאַציע | לעגאַל, קאָנפאָרמאַנס, פּריוואַטקייט אָפיס |
א געפּראָבטער, דאָקומענטירטער שפּיל-בוך איז די איינציקע עכטע פֿאַרטיידיקונג פֿונעם באָרד ווען עס קומט צו קאָנטראָל.
אייער סיסטעם מוז פארוואנדלען דעם פראצעס אין אוידיט-גרייטע באווייזן , יעדן שריט צייט-געשטעמפלט און צוגעשריבן. ספּרעדשיטס און סטאטישע קאנטראקטן דורכפאלן דעם טעסט.
אוידיט-גרייט דורך דיפאָלט: לעבעדיקע דאָקומענטאַציע, נישט סטאַטישע באַווייַזן
קאָנפאָרמאַנס באַווייזן קענען נישט זיין "פייל און פארגעסן." יעדע קאָנטראַקט ענדערונג, ריזיקע נומער, אָדער אויסנאַם מוז עקזיסטירן אין סיסטעמען וואָס באַווייַזן באַשלוס-מאכן כראָנאָלאָגיע, אייגנטימער, און שליסונג. דאָס איז וווּ פילע אָרגאַניזאַציעס פאַרלאָזן אַדאַץ.
- באַווייַז פֿון פֿאַרקויפֿער: פארבונדן מיט ריזיקעס, נישט נאר קאנטראקט טעקעס.
- ריזיקע רעגיסטערס: צייט-געשטעמפּלט, SoA-פֿאַרבונדן, ווײַזנדיק אויסנאַם לעבנס-שטאַפּלען.
- דירעקטאָריום/סיניער באריכטן: אַקציעס, עסאַקאַלאַציעס און רעזאָלוציעס רעגיסטרירט אין ISMS און באמערקט אין פאַרוואַלטונג באריכטן.
- פּריוואַטקייט און לעגאַלע לאָגס: SARs, DPIAs, דאַטן טראַנספערס שטענדיק צוזאַמענגעפּאַסט מיט איצטיקע ריזיקאָ/קאָנטראָל מאַפּינגס.
| טריגער/געשעעניש | יידעס - זאָגן | סיסטעם/לאקאציע | באַזיצער |
|---|---|---|---|
| סאַפּלייער אָפּזאָג | ריזיקע לאג, אויפנאמע נאטיץ | פארקויפער און ריזיקע רעגיסטער | פּראָצעס/סעק. |
| קאָנטראַקט עסאַקאַלאַציע | רעדליין, לעגאַלע מעמאָ | קאָנטראַקט רעפּאָ, ISMS, RM | לעגאַל |
| באָרד אַנטפּלעקונג | פּראָטאָקאָלן, ריזיקע באַריכט | באָרד אַרכיוו, מעמאָס | די-פי-אוי/באָרד |
| אויסנאַם עקספּיראַציע | אויסנאַם רעגיסטרי | ISMS, SoA/BCP באווייזן | העסקעם |
| רעגולאַטאָר באַטייליקונג | מעמאָ, לאָג, קאָמוניקאַציע | לעגאַל/ISMS | די-פי-אוי/לעגאל |
א דערוואקסענער ISMS, ווי ISMS.online , מאכט יעדן שריט נישט נאר מעגלעך נאר אויך אפעראציאנעל: דעשבאָרדז הויכפּונקטן אפענע אויסנעמען, פֿאַראַנטוואָרטלעכקייטן ווערן צוגעטיילט, און באַווייַזן זענען שטענדיק נאָענט צו דער נעץ.
אוידיט גרייטקייט איז א טעגלעכער ריטעם, נישט קיין לעצטע-מינוט קאמף.
אפעראציאנאליזירן א לעבעדיגע צושטעל-קייט סיסטעם: פון פארקויפער-רייבונג ביז דערוואקסענע צוטרוי
באַהאַנדלען קאָנפאָרמאַנס ווי אַ יערלעכע געשעעניש אָדער נאָכטראַכט ברענגט צו אַ שוואַכקייט אין דער צושטעל-קייט. אַ לעבעדיקער ISMS ווי ISMS.online פֿאַרוואַנדלט יעדן קאָנטראַקט, אויסנאַם און ריזיקע אין אַ טעגלעכן, קעסיידער דערהייַנטיקטן רעקאָרד, צוטריטלעך פֿאַר אָדיטאָרס, קאַסטאַמערז און רעגולאַטאָרן אויף פאָדערונג.
- טעמפּלאַטן און דאַשבאָרדז האַלטן שריט מיט קאָנטראַקט, אינצידענט אָדער אָפּזאָג ענדערונגען.
- פּאָליטיק פּאַקס, ריזיקאָ רעגיסטערס, און אויסנאַם לאָגס זענען שטענדיק אין סינק.
- באַטייליקונג פליסט פון יעדער אָפּטיילונג: פּראָקורעמענט, IT, לעגאַל, פּריוואַטקייט, און עלטערע עקסעקוטיוון.
ISMS.online טראנספארמירט די שווערע צייט פון קאמפלייענס אין א קאארדינירטע ווידערשטאנדסקראפט אפעראציע, געבענדיג לעגאלע און ריזיקע טימס פארטיידיגבארע רעקארדס און צוזאמענשטעלנדיג אפעראציאנעלע אקציע מיט ענטערפרייז צוטרוי.
דער וועג פֿון אַ ניין־פֿאַרקויפֿער צו אַ קאָנטראָל־זיכערער צושטעל־קייט הייבט זיך אָן מיטן אָפּעראַציאָנאַליזירן אייגנטומערשאַפֿט, דאָקומענטירן באַשלוסן, און איינפֿירן ריזיקאָ־פֿאַרמאַכונג אין טעגלעכן געשעפֿט. אויב איר זענט גרייט צו גיין פֿון האָפֿענונג צו זיכערקייט, אָפּעראַציאָנאַליזירט אייער צושטעל־קייט מיט ISMS.online און באַווײַזט עס יעדן טאָג.
אָפֿט געשטעלטע פֿראגן
מיט וואָסערע באַלדיקע ריזיקעס שטייט אייער אָרגאַניזאַציע ווען אַ נישט-אי.יו. סאַפּלייער וויל נישט קאָנפאָרמירן NIS 2?
ווען אַ נישט-אי.יו. סאַפּלייער וויל זיך נישט צופּאַסן צו NIS 2, טראָגט אייער אָרגאַניזאַציע די פולע וואָג פון רעגולאַטאָרישע, אָפּעראַציאָנעלע און רעפּוטאַציע קאָנסעקווענצן. די NIS 2 דירעקטיווע מאַכט אי.יו.-באַזירטע אָרגאַניזאַציעס פאַראַנטוואָרטלעך פֿאַר זייער ענד-צו-ענד דיגיטאַלע סאַפּליי קייט - אפילו ווען סאַפּלייערז אַרבעטן אַרויס פון דער אי.יו.'ס יוריסדיקציע. רעגולאַטאָרן וועלן נישט אָננעמען "דריט-לאַנד סטאַטוס" ווי אַ פאַרטיידיקונג בעת אויספאָרשונגען אָדער אָדאַץ. קנסות פון ביז €10 מיליאָן אָדער 2% פון גלאָבאַלן פאַרקויף זענען דורכפירלעך, נישט קוקנדיק אויף וווּ אייערע סאַפּלייערז זענען באַזירט. פּראַקטיש, דאָס שטעלט אייך אויס צו קאָנטינויִטעט ריזיקעס אויב דער סאַפּלייער איז קריטיש, אָפּעראַציאָנעלע פלאַשעס אויב אַ פּלוצעמדיקע סובסטיטוציע איז פארלאנגט, און טיפערע קאָנטראָל דורך סעקטאָר רעגולאַטאָרן אויב ריזיקעס ווערן שלעכט נאכגעפאָלגט. באָרד און קונה צוטרוי קען פאַלן אויב אויסנעמען ווערן נישט פאָרמאַל געראטן.
יעדע אומקאנטראלירטע אפזאג פון א קריטישן סאַפּלייער באוועגט דעם רעגולאַטאָרישן פאָקוס פון דעם פארקויפער צו אייער אייגענעם באָרדרום.
דירעקטע קאנסעקווענצן שליסן איין:
- רעגולאַטאָרישע שטראָפֿן געצילט אויף אייער אָרגאַניזאַציע, נישט אויף דעם סאַפּלייער.
- אפעראציאנעלע אויספאלן אדער פארשפעטיקונגען אויב רעקאמענדירטע פארקויפער זענען נישט פאראן.
- אוידיט דורכפעלער צוליב פעלנדיקע לאגס, שלעכטע אויסנאם טראַקינג, אדער צעבראכענע דאקומענטאציע טריילס.
- פארשטארקטע סאנקציעס פאר וויכטיגע סעקטארן (למשל געזונט, פינאנץ).
- פארלוסט פון צוטרוי צווישן קאסטומערס, באָרד, און רעגולאַטאָרן אויב די אויסנעמען בלייבן אומגעבונדן.
ווי אזוי קען מען דורכפירן NIS 2 פליכטן אין קאנטראקטן מיט נישט-אי.יו. סופלייערס?
דורכפירן NIS 2 הייבט זיך אן דורך אריינלייגן גענויע, מעסטבארע קלאָזולעס אין סאַפּלייער קאָנטראַקטן - וואָס פארלאנגען אויডিץ רעכטן, בריטש מעלדונגען אין 24/72 שעה, און דירעקטע רעפֿערענץ צו ISO/IEC 27001:2022 קאָנטראָלן. דער קאָנטראַקט זאָל ספּעציפֿיצירן דורכפֿירבארע שטראָפֿן פֿאַר נישט-קאָנפֿאָרמאַנס (אַזאַ ווי צאָלונג האַלטונגען אָדער שנעלער אַרויסגאַנג), פארלאַנגען צייט-פֿריימטע אויסנאַם באריכטן, און פֿאַרפֿליכטן דעם סאַפּלייער צו שטיצן סצענאַר טעסץ אָדער ביזנעס קאָנטינויִטעטי דרילס. באַטראַכטן צו נאָמען פאַרטרעטער סאַפּלייער אָדער צושטעלן פֿאַר אויטאָמאַטישע טערמינאַציע אויב פּערסיסטענט אָפּזאָג פּאַסירט. יעדער אונטערהאַנדלונג, אָפּזאָג אָדער עסאַקאַלאַציע אינסטאַנץ מוז זיין לאָגד און ווערסיעד אין דיין ISMS, מיט השגחה דורך קאָנפֿאָרמאַנס און די באָרד - וואָס זיכער מאַכן אַז דיין מיטיגאַציע השתדלות זענען שטענדיק אויডিץ-גרייט.
בייַשפּיל קאָנטראַקט קאַנפאָרמאַטי ראַם:
| דורכפירונג שריט | שליסל פּראַוויזשאַנז | עווידענסע פארלאנגט |
|---|---|---|
| אויডিץ רעכטן | יערלעכע ISO 27001/SoA איבערבליק | אוידיט באריכט, ISMS אריינגאנג |
| בריטש מעלדונג | 24/72-שעה נאָטיפיקאַציע קלאָז | קאָמוניקאַציע אָדער בילעט לאָגס |
| פּענאַלטיעס | צאָלונג האַלטונגען אָדער עקספּעדיטעד אַרויסגאַנג קלאָז | אונטערגעשריבענער קאנטראקט, ISMS לאג |
| אויסנאַם עקספּיראַציע | איבערבליק/עקספּייער דאַטע, באָרד אויפזיכט | אויסנאַם רעגיסטער, דירעקטאָריום פּראָטאָקאָלן |
| פארקויפער סובסטיטוציע | געהייסן באַקאַפּ, סצענאַר טעסט | רעזולטאַטן פון דריל, האַסקאָמע פון סאַפּלייער |
צי טרעפן עקסטערנע סערטיפיקאציעס ווי ISO 27001 אדער SOC 2 צו NIS 2 פאר נישט-אי.יו. סאַפּלייערס?
נישט דורך דיפאָלט. סערטיפיקאַציעס ווי ISO/IEC 27001:2022, SOC 2 , אדער CSA STAR העלפֿן נאָר אויב איר מאַפּט יעדע פאָדערונג שורה-ביי-שורה צו NIS 2 אָבליגאַציעס ניצנדיק סעקטאָר-אַקסעפּטירטע טשעקליסטן (למשל, פון ENISA). גענערישע סערטיפיקאַטן אדער אַלטמאָדישע סטייטמענטס פון אַפּליקאַביליטי וועלן ווערן אָפּגעוואָרפן דורך אָדיטאָרס. איר מוזט האַלטן אַ שפּור פון באַווייַז פון די סאַפּלייער'ס סערטיפיקאַציע און SoA, ביז אייער אייגענע ריזיקאָ רעגיסטער און ISMS דאָקומענטאַציע - וואָס ווייַזט אַז יעדע NIS 2 אָבליגאַציע איז עקספּליציט אַדרעסירט און אויסנעמען דאָקומענטירט. אָן אָדיטאַבאַל מאַפּינג, זען רעגולאַטאָרן "סערטיפיקאַט-בלויז" פאַרלאָזן זיך ווי אַ העסקעם-ריס, ספּעציעל אין שווער רעגולירטע אינדוסטריעס.
קאָמפּאַראַטיווע מאַפּינג טאַבעלע:
| Certification | מאַפּינג צוגאַנג | עווידענסע פארלאנגט |
|---|---|---|
| ISO / IEC 27001: 2022 | ENISA/סעקטאָר פֿוסגייער איבערגאַנג | לעבעדיקע סערטיפיקאַט, געמאַפּט SoA |
| SOC 2 | אינדוסטריע מאַפּינג/נאטיצן | באַריכט, מאַפּינג דאָקומענט |
| סי-עס-עי שטערן | ENISA וואָלקן אָפֿט געשטעלטע פֿראַגעס | CSA רעגיסטרי, אוידיט רעקארד |
וואָסערע אַקציעס מוז אייער אָרגאַניזאַציע נעמען אויב אַ סטראַטעגישער נישט-אי.יו. סאַפּלייער וועט נישט נאָכקומען?
א שטענדיגע "ניין" פון א סטראטעגישן סאַפּלייער פארלאנגט אומגייענדיקע עסאַקאַלאַציע: רעקאָרדירט דעם אָפּזאָג אין אייער ISMS, דערהייַנטיקט אייער ריזיקאָ רעגיסטער מיט געשעפט-קריטישע אויסווירקונגען, און עסאַקאַלירט דעם ריזיקאָ פֿאַר איבערבליק אויף דער דירעקטאָרן-ראַט-לעוועל. דאָקומענטירט מיטיגאַציע-אָנשטרענגונגען - אַזאַ ווי אַלטערנאַטיווע סאַפּלייער-אָנבאָרדינג, אינטערנע באַקאַפּ-פּלענער, אָדער ווידער-פאַרהאַנדלען. אויסנאַם-באַשטעטיקונגען מוזן זיין קלאָר, מיט עקספּיראַציע-דאַטעס און פּלאַנירטע דירעקטאָרן-ראַט-איבערבליק. פירט דורך סצענאַר-געניטונגען צו פּרובירן אייער אָרגאַניזאַציע'ס פיייקייט צו פאַרבייטן אָדער אפגעזונדערן דעם סאַפּלייער אונטער דרוק. אין רעגולירטע סעקטאָרן, צוגרייטן אַן אוידיט-גרייט באַווייַז-פּאַקעט וואָס ווייזט אייער עסאַקאַלאַציע, באַשלוס-מאכן, און קאָנטינגענסי-אַקשאַנז - רעגולאַטאָרן ערוואַרטן באַווייַז פון אָפּעראַציאָנעלער גרייטקייט, נישט נאָר כוונה.
ריזיקע עסקאַלאַציע וואָרקפלאָו:
| טריגער/געשעעניש | באַזיצער | עווידענסע פארלאנגט | ISMS רעקאָרד אָרט |
|---|---|---|---|
| סאַפּלייער אָפּזאָג | ייַנשאַפונג | לאָג/אימעיל ינטייק | ריזיקירן רעגיסטרירן |
| קאָנטראַקט אַקציע | לעגאַל/קאָנפאָרמאַנס | מאַרקאַפּ, איבערקוקן מינוטן | קאָנטראַקט רעפּאָזיטאָרי |
| באָרד עסאַקאַלאַציע | סעקרעטאַר פֿון דעם באָרד | מינוטן, אונטערשרייבונג | ברעט פּאַק |
| אויסנאַם עקספּיראַציע | CISO/קאָמפּליאַנס | קלאָוזשער נאָטיץ | אויסנאַם רעגיסטער |
ווי אזוי ווירקט די אפזאג פון סאַפּלייערס אויף אי.יו. דיגיטאַלע סואָווערייניטי און סעקטאָר ווידערשטאַנד?
אנהאלטנדיקע אפזאגונגען פון נישט-אי.יו. סופלייערס ווערן באטראכט אלס א סטראטעגישע סכנה פאר אי.יו. דיגיטאלע סואָווערייניטעט, ווייל זיי שוואכן די מעגלעכקייט פון דער יוניאן צו קאנטראלירן איר אינפארמאציע אינפראסטרוקטור. רעגולאטארן קענען אינטערפרעטירן אזעלכע אויסנעמען אלס ריסן אין די אי.יו. ריזיקע קאנטראלן - ספעציעל אויב יענע סופלייערס ווערן רעגירט דורך קאנפליקטירנדע נישט-אי.יו. געזעצן (למשל, דער יו.עס. קלאָוד אקט). אויטאריטעטן זענען בארעכטיגט צו פארלאנגען סובסטיטוציע, אויסשליסן פארקויפער פון עפנטלעכע באקויף, און פארשטארקן אינספעקציעס אין סעקטארן ווי געזונטהייט, פינאנץ, אדער ענערגיע. אייער ארגאניזאציע ווערט ערווארטעט צו דאקומענטירן אקטיווע מאַפּירונג פון סופלייערס קאנטראלן צו NIS 2, אויפהאלטן אפ-טו-דייט ארויסגאנג און קאנטינגענסי פלענער, און דורכפירן סעקטאר-ספעציפישע טעסטינג וואס דעמאנסטרירט נישט נאר פאליסי, נאר אפעראציאנעלע באהערשונג.
ווען אַ סאַפּלייער זאָגט 'ניין', דערוואַרטן אי־יו רעגולאַטאָרן אַז איר זאָלט ווײַזן אָפּעראַציאָנעלע, נישט רהעטאָרישע, קאָנטראָל איבער אײַער דיגיטאַלער צושטעל קייט.
וואָסערע באַווייַז קייט מוז מען אויפהאַלטן פֿאַר אָדיט-גרייטקייט ווען מען שטייט פאר אַן אָפּזאָג פון NIS 2 סאַפּלייער?
אייער ISMS מוז האלטן א צענטראליזירטן, ווערסיע-קאנטראלירטן רעקארד פון יעדן סאַפּלייער אָפּזאָג, פארהאנדלונג פּרוּוו, קאָנטראַקט ענדערונג, ריזיקאָ דערהייַנטיקונג, עסאַקאַלאַציע, און לעצטן באָרד אַקציע. יעדער איינטראַג מוז זיין דאַטום-געשטעמפּלט, אַטריביוטאַד, און מאַפּט צו ביידע NIS 2 און ISO/IEC 27001 קאָנטראָלס. אָדיטאָרס רעגולער ציטירן פראַגמענטירטע דאָקומענטאַציע און פעלנדיקע האַסקאָמע וואָרקפלאָוז ווי וואָרצל סיבות פון קאַנפאָרמאַנס דורכפאַל . פֿאַרבינדן יעדן סאַפּלייער אָפּזאָג ("ניין") דורך ריזיקאָ עסאַקאַלאַציע, באָרד סאַגדזשעסטשאַן, טעסטינג, און לעצטן קלאָוזשער - געשטיצט דורך קראַנט אַרטיפאַקץ (לאָגס, פּראָטאָקאָל, קאָנטראַקטן) אין אייער ISMS. די באַווייַזן קייט איז אייער שילד אין אָדיטס, באָרד באריכטן, און רעגולאַטאָרישע אָנפרעג.
מיני-טיש פון באַווייזן פֿאַר שפּורבאַרקייט
| טריגער (געשעעניש) | אַרטעפאַקט/באַווייַז | באַזיצער | ISMS לאקאציע |
|---|---|---|---|
| סאַפּלייער אָפּזאָג | לאָג / אימעיל | ייַנשאַפונג | ריזיקירן רעגיסטרירן |
| פארהאנדלונגס-לאָג | מינוטן / אַקציע לאָג | לעגאַל / DPO | אויסנאַם רעגיסטער |
| באָרד אונטערשרײַבן | פּראָטאָקאָלן / באַשטעטיקונגען | באָרד/העסקעם | ברעט פּאַק |
| פארמאכונג/עקספייערי | אויסנאַם רעקאָרד | CISO/קאָמפּליאַנס | אויסנאַם רעגיסטער |
ISO 27001 / אַנעקס א בריק טאַבעלע: מאַפּינג פון קאָנטראָלן קעגן סאַפּלייער אָפּזאָג
| ריזיקע / פארלאנג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס A רעפערענץ |
|---|---|---|
| נישט-קאָנפאָרמאַנס פון סאַפּלייער | קאָנטראַקט, ריזיקאָ לאָג, סצענאַר טעסט | A.15, A.17, קל.8.1 |
| אינצידענט מעלדונג | קאָנטראַקט/אינצידענט רעאַקציע, עסאַקאַלאַציע | A.16, קל.6.1, 8.2 |
| פארקויפער סובסטיטוציע | ארויסגאַנג פּלאַן, סצענאַר פּראָבע | A.17 |
| באַווײַזן-פֿאַרפֿאָלגונג | ISMS רעקאָרד, באַשטעטיקונגען, באָרד סאַגדזשעסטשאַן | A.7.5.3, קל.9.2, 9.3 |
אויב אייערע ריזיקע, קאנטראקט, אדער קאמפלייענס רעקארדס זענען נאך אלץ פארשפרייט איבער אימעיל אשכולות אדער אומסטרוקטורירטע טעקעס, צענטראליזירט יעצט. אן אינטעגרירטע ISMS געבויט פאר NIS 2 פארקלענערט נישט נאר שטראָפן - עס ווייזט פראאקטיווע קאנטראל, געווינט רעגולאטאר און דירעקטארן צוטרוי, און באווייזט אז אייער ארגאניזאציע איז גרייט פאר דער נייער תקופה פון דיגיטאלע סופּליי טשיין קאנטראל.
