5.1.4. Na základě politiky bezpečnosti dodavatelského řetězce a s přihlédnutím k výsledkům …

a)

požadavky na kybernetickou bezpečnost pro dodavatele nebo poskytovatele služeb, včetně požadavků na bezpečnost při pořizování služeb IKT nebo produktů IKT uvedených v bodě 6.1;

b)

požadavky na informovanost, dovednosti a školení a v případě potřeby osvědčení, která se vyžadují od zaměstnanců dodavatelů nebo poskytovatelů služeb;

c)

požadavky na ověřování spolehlivosti zaměstnanců dodavatelů a poskytovatelů služeb;

d)

povinnost dodavatelů a poskytovatelů služeb bez zbytečného odkladu informovat příslušné subjekty o incidentech, které představují riziko pro bezpečnost sítě a informačních systémů těchto subjektů;

e)

právo provést audit nebo právo obdržet auditní zprávy;

f)

povinnost dodavatelů a poskytovatelů služeb řešit zranitelnosti, které představují riziko pro bezpečnost sítí a informačních systémů příslušných subjektů;

g)

požadavky týkající se subdodávek, a pokud příslušné subjekty subdodávky umožňují, požadavky na kybernetickou bezpečnost subdodavatelů v souladu s požadavky na kybernetickou bezpečnost uvedenými v písmenu a);

h)

povinnosti dodavatelů a poskytovatelů služeb při ukončení smlouvy, jako je vyhledání a zničení informací, které dodavatelé a poskytovatelé služeb získali při plnění svých úkolů.