Presoja dobaviteljev in pregled varnostnih zahtev
Pregled, ali dobavitelj izpolnjuje dogovorjene varnostne zahteve. Obseg in merila se dogovorijo posamično.
Presoja dobavitelja je preverjanje, ali dobavitelj izpolnjuje dogovorjene zahteve, na primer varnostne zahteve iz pogodbe ali izbranega standarda. Merila, obseg in način preverjanja se določijo vnaprej, rezultat pa je poročilo z ugotovitvami.
Katero težavo rešujemo
Organizacija se zanaša na dobavitelje, ki obdelujejo njene podatke ali zagotavljajo kritične storitve, vendar varnostne zahteve v pogodbi niso jasne ali pa se njihovo izpolnjevanje nikoli ne preveri.
Zakaj je to pomembno
Standard ISO/IEC 27001 in predpisi o kibernetski varnosti od organizacije pričakujejo obvladovanje tveganj pri dobaviteljih. Presoja ali pregled pogodbenih zahtev pokaže, ali je zaupanje utemeljeno.
Za koga je
- Organizacije z ISO/IEC 27001, ki morajo nadzorovati dobavitelje.
- Zavezanci po ZInfV-1 / NIS2, ki morajo obvladovati tveganja dobavne verige.
- Podjetja z dobavitelji, ki dostopajo do občutljivih podatkov.
Kaj obsega delo
- Pregled varnostnih zahtev v pogodbi in dodatkih.
- Presoja po dogovorjenih merilih: izbrani standard, vprašalnik ali pogodbene zahteve.
- Pregled dokazil dobavitelja: politike, certifikati, poročila.
- Ugotovitve in priporočila za pogodbo ali nadzor.
Potek dela
Dogovor o obsegu, merilih in dostopu do dobavitelja.
Pregled dokumentacije in pogodbenih zahtev.
Preverjanje po dogovorjenem načinu: vprašalnik, intervju ali presoja na kraju samem.
Poročilo z ugotovitvami in priporočili.
Kaj potrebujemo od vas
- Pogodba z dobaviteljem in dodatki o varnosti ali obdelavi podatkov.
- Vrsta podatkov in storitev, ki jih dobavitelj zagotavlja.
- Soglasje dobavitelja za presojo, če je potrebno.
Kaj prejmete
- Poročilo z ugotovitvami in dokazi.
- Priporočila za dopolnitev pogodbe ali nadzora.
Kaj ni vključeno in kje so meje
- Certificiranje dobavitelja.
- Pravno mnenje o pogodbi.
- Tehnično testiranje sistemov dobavitelja.
Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne. Ni certificiranje dobavitelja in ne nadomešča njegove certifikacije.
Pogosta vprašanja
Ali lahko presodimo katerega koli dobavitelja?
Presoja je odvisna od pogodbenih pravic in soglasja dobavitelja. Če presoje na kraju samem ni mogoče izvesti, se izvede pregled dokazil ali vprašalnik.
Je ta storitev stalni del ponudbe?
Ni standardizirana storitev. Obseg in način izvedbe se dogovorita individualno, zato storitev opisujemo kot izvedbo po dogovoru.
Viri
- ISO: ISO/IEC 27001 – informacijska varnost, kibernetska varnost in varstvo zasebnosti (odpre se v novem zavihku)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Povezane strani
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.