KIBERNETIČKA SIGURNOST · LANAC OPSKRBE

Upravljanje rizicima dobavljača.

Obveznici Zakona o kibernetičkoj sigurnosti, financijski subjekti pod Uredbom DORA i svaki voditelj obrade osobnih podataka odgovaraju za svoje dobavljače. Postavljamo registar dobavljača, procjenjujemo rizike, pišemo sigurnosne zahtjeve i ugovore o obradi te pratimo ključne dobavljače. Dobavljačima pomažemo ispuniti zahtjeve kupaca.

Zatražite besplatnu konzultaciju
Savjetnik s klijentima pregledava dokumentaciju
300+ PROJEKATA U REGULIRANIM SEKTORIMA
  • PBZ
  • Fortenova
  • Roche
  • Inditex
  • Končar
  • Plodine
  • Cromaris
ZKS · DORA · GDPR

Što propisi traže za dobavljače

Tri propisa traže isto: znati tko su vam dobavljači, procijeniti rizik prije ugovaranja, upisati sigurnosne obveze u ugovor i redovito provjeravati ključne dobavljače. Razlikuju se u tome koga obvezuju i koliko detaljno.

ZAKON O KIBERNETIČKOJ SIGURNOSTI

Mjera 8 Uredbe za ključne i važne subjekte

Pravila za dobavljače, registar izravnih dobavljača, sigurnosni zahtjevi u ugovorima i ponovna provjera ključnih dobavljača najmanje svake dvije godine.

UREDBA DORA

Registar informacija za financijske subjekte

Svi ugovori o IKT uslugama u registru, procjena prije ugovaranja, obvezne odredbe iz članka 30. i izlazni planovi.

GDPR · ČLANAK 28.

Ugovor sa svakim izvršiteljem obrade

Izvršitelj mora dati dovoljna jamstva. Ugovor u pisanom obliku propisuje upute, povjerljivost, mjere sigurnosti, podizvršitelje i pravo na reviziju.

OBVEZE PREMA PROPISIMA
Pravila za dobavljačePrilog II., 8.1.Minimalni sigurnosni zahtjevi po vrsti dobavljača i postupak provjere dobavljača IKT usluga, sustava i proizvoda.
Registar izravnih dobavljačaPrilog II., 8.2.Kontaktne točke i popis usluga, sustava ili proizvoda koje nabavljate od svakog dobavljača, uz procjenu rizika.
Sigurnosni zahtjevi u ugovorimaPrilog II., 8.3.Povjerljivost, obavještavanje o incidentima, upravljanje ranjivostima, pravo na reviziju, podugovaratelji i postupanje s podacima nakon raskida.
Ponovna provjeraPrilog II., 8.4.Pri svakom novom ugovoru, najmanje svake dvije godine i nakon incidenta ili značajnih promjena.
Registar informacijačl. 28. DORASvi ugovori o IKT uslugama na razini subjekta i grupe, s oznakom ključnih ili važnih funkcija.
Ugovorne odredbečl. 30. DORALokacije podataka, razine usluga, pravo pristupa i revizije, izlazna strategija.
Ugovor o obradičl. 28. GDPRPredmet, trajanje, svrha i vrsta podataka, upute, povjerljivost, mjere iz članka 32., podizvršitelji i revizije.
ROKOVI
Procjena dobavljačaprije ugovoraPri svakom novom ugovaranju prema Uredbi o kibernetičkoj sigurnosti i prije sklapanja ugovora o IKT usluzi prema DORA-i.
Ponovna provjera2 godineNajkasnije svake dvije godine za ključne lance opskrbe IKT-a, i ranije nakon incidenta ili značajnih promjena.
Izvješće o novim ugovorimajednom godišnjeFinancijski subjekti nadležnom tijelu prema DORA-i (članak 28. stavak 3.).
Incident kod dobavljačaodmahDobavljač obavještava subjekt čim sazna za incident koji ga može pogoditi (ugovorna odredba iz 8.3.).
Novi podizvršiteljunaprijedIzvršitelj obavještava voditelja obrade o dodavanju ili zamjeni podizvršitelja, uz mogućnost prigovora (GDPR, članak 28. stavak 2.).
SURADNJA

Načini suradnje

CJELOVITO

Uspostava programa za dobavljače

Za subjekte koji nemaju pravila i registar dobavljača ili ih moraju uskladiti s propisima.

  • Pravila sigurnosti lanca opskrbe
  • Registar dobavljača s procjenom kritičnosti
  • Upitnici i postupak provjere
  • Predlošci sigurnosnih odredbi i ugovora o obradi
  • DORA registar informacija za financijske subjekte
Zatražite ponudu →
PRIJE UGOVORA

Procjena ključnih dobavljača

Za subjekte koji ugovaraju novog ključnog dobavljača ili moraju ponovno provjeriti postojeće.

  • Pregled dokumentacije i dokaza dobavljača
  • Upitnik i razgovor sa sigurnosnim timom dobavljača
  • Procjena rizika i preporuka
  • Plan otklanjanja nedostataka
Zatražite ponudu →
ZA DOBAVLJAČE

Podrška dobavljačima

Za tvrtke čiji kupci traže dokaze o sigurnosti, ugovorne odredbe ili popunjene upitnike.

  • Odgovori na sigurnosne upitnike kupaca
  • Pregled sigurnosnih odredbi u ugovorima
  • Politike i dokazi koje kupci traže
  • Priprema za reviziju kupca
Zatražite ponudu →
OPSEG RADA

Što radimo za dobavljače i njihove kupce

01 / 04

Registar i kritičnost

02 / 04

Ugovori

  • Sigurnosne odredbe prema Uredbi
  • Ugovori o obradi podataka
  • Odredbe iz članka 30. DORA-e
  • Izlazni planovi
03 / 04

Praćenje

  • Ponovna provjera ključnih dobavljača
  • Incidenti kod dobavljača
  • Podizvršitelji i promjene
  • Planovi odgovora na incidente s ključnim dobavljačima
PITANJA

Česta pitanja o upravljanju rizicima dobavljača

Što Uredba o kibernetičkoj sigurnosti traži za dobavljače?

Mjera 8 iz Priloga II. traži pravila sigurnosti za dobavljače, registar izravnih dobavljača, sigurnosne zahtjeve u ugovorima i redovitu ponovnu provjeru. Podskupovi 8.1. do 8.4. obvezni su na svim razinama mjera, a kriteriji za odabir dobavljača i planovi odgovora na incidente s ključnim dobavljačima na srednjoj i naprednoj razini.

Moraju li i dobavljači biti usklađeni sa Zakonom?

Samo ako su i sami kategorizirani kao ključni ili važni subjekti. Ostali dobavljači obveze dobivaju kroz ugovor, jer kupac koji je obveznik mora od njih tražiti sigurnosne zahtjeve iz Uredbe.

Koga smijemo angažirati za upravljane sigurnosne usluge?

Uredba nalaže da obveznici ugovore o upravljanim uslugama i upravljanim sigurnosnim uslugama sklapaju isključivo s pružateljima koji su kategorizirani kao ključni ili važni subjekti. Status pružatelja provjerava se preko središnjeg državnog tijela za kibernetičku sigurnost.

Što mora sadržavati ugovor s izvršiteljem obrade?

Predmet, trajanje, prirodu i svrhu obrade, vrstu osobnih podataka i kategorije ispitanika. Izvršitelj obrađuje podatke samo prema uputama, osigurava povjerljivost i mjere iz članka 32., angažira podizvršitelje samo uz odobrenje, briše ili vraća podatke na kraju i omogućuje revizije (članak 28. GDPR-a).

Koliko često treba provjeravati dobavljače?

Prema Uredbi pri svakom novom ugovaranju, najmanje svake dvije godine za ključne lance opskrbe IKT-a te nakon incidenta ili značajnih promjena. Financijski subjekti registar informacija drže ažurnim i jednom godišnje izvješćuju o novim ugovorima.

Trebamo li DORA registar informacija ako nismo banka?

Trebate ako ste financijski subjekt iz članka 2. Uredbe DORA, primjerice osiguratelj, investicijsko društvo, institucija za platni promet ili društvo za upravljanje fondovima. Leasing i faktoring društva nisu na tom popisu.

Što ako dobavljač odbije sigurnosne odredbe?

Uredba traži da sigurnosne zahtjeve definirate u ugovoru. Ako ključni dobavljač odredbe ne prihvaća, uprava procjenjuje taj rizik: tražite zamjenske dokaze, ograničite mu pristup ili odaberite drugog dobavljača. Odluku dokumentirate uz registar.

Pomažete li dobavljačima koji odgovaraju na upitnike kupaca?

Da. Pripremamo politike i dokaze, odgovaramo na sigurnosne upitnike i pregledavamo sigurnosne odredbe prije potpisa.

Koje su kazne?

Ključnim subjektima prema Zakonu o kibernetičkoj sigurnosti do 10.000.000 € ili 2 % prometa, a važnima do 7.000.000 € ili 1,4 %. Financijskim subjektima prema DORA-i do 3 % prihoda. Za kršenje članka 28. GDPR-a do 10.000.000 € ili 2 % prometa.

POVEZANO

Vodiči i povezane usluge

KONTAKT

Zatražite besplatnu konzultaciju

Pošaljite nam broj dobavljača i propise koji vas obvezuju. Javit ćemo se s prijedlogom za registar i procjenu ključnih dobavljača.

  • ODGOVOR U 1 RADNOM DANU
  • UGOVOR O POVJERLJIVOSTI NA ZAHTJEV
  • BEZ OBVEZE
Zatražite besplatnu konzultaciju