5.1. Politika bezpečnosti dodavatelského řetězce

a)

postupy kybernetické bezpečnosti dodavatelů a poskytovatelů služeb, včetně jejich postupů k zajištění bezpečného vývoje;

b)

schopnost dodavatelů a poskytovatelů služeb splňovat specifikace v oblasti kybernetické bezpečnosti stanovené příslušnými subjekty;

c)

celkovou kvalitu a odolnost produktů a služeb IKT a v nich obsažených opatření pro řízení kybernetických bezpečnostních rizik, včetně rizik a úrovně klasifikace produktů IKT a služeb IKT;

d)

schopnost příslušných subjektů diverzifikovat zdroje dodávek a v příslušných případech omezit závislost na dodavateli.

a)

požadavky na kybernetickou bezpečnost pro dodavatele nebo poskytovatele služeb, včetně požadavků na bezpečnost při pořizování služeb IKT nebo produktů IKT uvedených v bodě 6.1;

b)

požadavky na informovanost, dovednosti a školení a v případě potřeby osvědčení, která se vyžadují od zaměstnanců dodavatelů nebo poskytovatelů služeb;

c)

požadavky na ověřování spolehlivosti zaměstnanců dodavatelů a poskytovatelů služeb;

d)

povinnost dodavatelů a poskytovatelů služeb bez zbytečného odkladu informovat příslušné subjekty o incidentech, které představují riziko pro bezpečnost sítě a informačních systémů těchto subjektů;

e)

právo provést audit nebo právo obdržet auditní zprávy;

f)

povinnost dodavatelů a poskytovatelů služeb řešit zranitelnosti, které představují riziko pro bezpečnost sítí a informačních systémů příslušných subjektů;

g)

požadavky týkající se subdodávek, a pokud příslušné subjekty subdodávky umožňují, požadavky na kybernetickou bezpečnost subdodavatelů v souladu s požadavky na kybernetickou bezpečnost uvedenými v písmenu a);

h)

povinnosti dodavatelů a poskytovatelů služeb při ukončení smlouvy, jako je vyhledání a zničení informací, které dodavatelé a poskytovatelé služeb získali při plnění svých úkolů.

a)

v příslušných případech pravidelně monitorují zprávy o provádění dohod o úrovni služeb;

b)

přezkoumávají incidenty týkající se produktů IKT a služeb ICT od dodavatelů a poskytovatelů služeb;

c)

posuzují potřebu neplánovaných přezkumů a komplexně dokumentují zjištění;

d)

analyzují rizika, která představují změny související s produkty IKT a službami IKT od dodavatelů a poskytovatelů služeb, a v případě potřeby včas přijímají zmírňující opatření.