Bezpieczeństwo łańcucha dostaw bez tajemnic

Czym jest bezpieczeństwo łańcucha dostaw?

Bezpieczeństwo łańcucha dostaw (ang. supply chain security) to dyscyplina, która dba o bezpieczeństwo nie tylko we własnej organizacji, ale w całym obszarze, jakim jest łańcuch dostaw . O ile łańcuch dostaw opisuje strukturę zależności, o tyle bezpieczeństwo łańcucha dostaw jest sterowanym programem, który za nią stoi: określa, jak dostawcy, usługodawcy i partnerzy są wybierani, sprawdzani i utrzymywani w bezpiecznym stanie przez cały okres współpracy. W tle stoi prosta logika: atak albo awaria u partnera – choćby u zhakowanego dostawcy oprogramowania – może natychmiast przełożyć się na własną działalność.

Dlaczego NIS2 kładzie nacisk na łańcuch dostaw

Wiele ciężkich ataków ostatnich lat przebiegło przez łańcuch dostaw. Dlatego NIS2 wymienia bezpieczeństwo łańcucha dostaw wprost jako jeden z minimalnych środków zarządzania ryzykiem (art. 21). Objęte podmioty muszą systematycznie oceniać i sterować ryzykami płynącymi z łańcucha dostaw – łącznie z bezpieczeństwem produktów i usług używanych u dostawców. Ponieważ ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje w Polsce od 3 kwietnia 2026 r., a wpis do wykazu podmiotów kluczowych i podmiotów ważnych jest obowiązkowy do 3 października 2026 r., nie jest to już dobrowolny dodatek, lecz sprawdzalny obowiązek.

Jak to wdrożyć?

• Oceń dostawców: zidentyfikuj krytycznych partnerów i sprawdź ich poziom bezpieczeństwa.
• Umowy: zapisz wymogi bezpieczeństwa w umowie – przy przetwarzaniu danych osobowych służy do tego umowa powierzenia.
• Monitoruj: ryzyko stron trzecich obserwuj na bieżąco, zamiast sprawdzać jednorazowo.

Przykład z zakładu budowy maszyn: Kierownik IT dzieli najpierw około 40 dostawców IT na krytycznych, średnich i niekrytycznych. Od pięciu krytycznych – w tym od hostingodawcy systemu ERP i od firmy zdalnego serwisu, która przez zdalny dostęp sięga głęboko w sterowanie produkcją, a której awaria lub przejęcie unieruchomiłyby wytwarzanie w ciągu godzin – wymaga koncepcji bezpieczeństwa, certyfikatu ISO 27001 albo wypełnionego kwestionariusza, zapisuje w umowach obowiązek zgłaszania incydentów i co roku weryfikuje status. Z jednorazowego wyboru robi się w ten sposób stały program. To kosztuje trochę samodyscypliny.

Lista kontrolna: jak ocenić dostawcę pod kątem bezpieczeństwa

Od czego zacząć? Poniższa lista prowadzi krok po kroku przez ocenę dostawcy – od zakwalifikowania krytyczności po bieżący nadzór. Każdy punkt odhaczaj dopiero wtedy, gdy jest udowodniony, a nie tylko deklarowany.

• 1. Określ krytyczność: Jakich danych, systemów lub procesów dotyka dostawca? Czy jego awaria odbiłaby się na kluczowych usługach? Przypisz kategorię: krytyczny, średni albo niekrytyczny.
• 2. Wyjaśnij dostęp i zależność: Czy partner ma zdalny dostęp, uprawnienia administracyjne albo wstęp fizyczny? Czy jest dostawca zastępczy na wypadek jego awarii?
• 3. Zbierz dowody bezpieczeństwa: ISO 27001, IT-Grundschutz (niemiecki standard urzędu BSI), SOC 2 albo wypełniony kwestionariusz bezpieczeństwa. Ważne: sprawdź zakres obowiązywania certyfikatu i datę ważności, a nie tylko sam fakt jego posiadania.
• 4. Zakotwicz klauzule umowne: wymogi bezpieczeństwa, obowiązek zgłaszania incydentów (dopasowany do ścieżki NIS2: 24 godz. / 72 godz. / 1 miesiąc), prawo do audytu, zasady dotyczące podwykonawców, a przy przetwarzaniu danych osobowych dochodzi jeszcze umowa powierzenia.
• 5. Ustal monitoring: Kto i kiedy sprawdza? Coroczna ponowna ocena krytycznych partnerów, śledzenie wygasających certyfikatów i zdefiniowana ścieżka reakcji, gdy dostawca zgłosi lukę bezpieczeństwa.
• 6. Dokumentuj: Zapisz wynik, datę i osobę odpowiedzialną. Bez dowodu ocena nie obroni się podczas kontroli.

Bezpieczeństwo łańcucha dostaw a zarządzanie ryzykiem

Bezpieczeństwo łańcucha dostaw to stały składnik szerszej całości, jaką jest zarządzanie ryzykiem: ryzyka stron trzecich wchodzą do analizy ryzyka, a odpowiedzią na nie są odpowiednie zabezpieczenia . W ten sposób zamyka się krąg między strategią (zarządzanie ryzykiem), programem (bezpieczeństwo łańcucha dostaw) i pojedynczym przypadkiem (konkretne ryzyko określonego usługodawcy).

Kolejne kroki

• Sporządź pełną listę wszystkich dostawców i usługodawców powiązanych z IT lub danymi.
• Podziel ich według krytyczności i zajmij się najpierw partnerami krytycznymi.
• Zastosuj powyższą listę kontrolną do każdego krytycznego dostawcy.
• Zapisz obowiązki zgłoszeniowe i wymogi bezpieczeństwa przy najbliższym przedłużeniu umowy.
• Wyznacz stały termin ponownej oceny – inaczej badanie się zdezaktualizuje.

Źródło uzupełniające: Dyrektywa NIS2 (UE) 2022/2555 – art. 21 (EUR-Lex)