5.1. Politik for forsyningskædesikkerhed

(a)

leverandørernes og tjenesteudbydernes cybersikkerhedspraksis, herunder deres procedurer for sikker udvikling

(b)

leverandørernes og tjenesteudbydernes evne til at opfylde de cybersikkerhedsspecifikationer, der er fastsat af de relevante enheder

(c)

IKT-produkternes og IKT-tjenesternes generelle kvalitet og modstandsdygtighed samt de indbyggede foranstaltninger til styring af cybersikkerhedsrisici, herunder IKT-produkternes og IKT-tjenesternes risici og klassifikationsgrad

(d)

de relevante enheders evne til at diversificere forsyningskilderne og begrænse leverandørfastlåsning, hvor det er relevant.

(a)

cybersikkerhedskrav til leverandører eller tjenesteudbydere, herunder krav vedrørende sikkerhed i forbindelse med erhvervelse af IKT-tjenester eller -produkter, jf. punkt 6.1

(b)

krav til oplysning, færdigheder og uddannelse samt, hvor det er relevant, påkrævede certificeringer af leverandørernes eller tjenesteudbydernes ansatte

(c)

krav til baggrundskontrol af leverandørers og tjenesteudbyderes ansatte

(d)

en forpligtelse for leverandører og tjenesteudbydere til uden unødig forsinkelse at underrette de relevante enheder om hændelser, der udgør en risiko for sikkerheden i disse enheders net- og informationssystemer

(e)

retten til audit eller retten til at modtage auditrapporter

(f)

en forpligtelse for leverandører og tjenesteudbydere til at håndtere sårbarheder, der udgør en risiko for sikkerheden i de relevante enheders net- og informationssystemer

(g)

krav vedrørende underentreprise og, såfremt de relevante enheder tillader underentreprise, cybersikkerhedskrav til underleverandører i overensstemmelse med de cybersikkerhedskrav, der er omhandlet i litra a)

(h)

leverandørernes og tjenesteudbydernes forpligtelser ved kontraktens ophør, såsom indhentning og sletning af oplysninger, som leverandørerne og tjenesteyderne har erhvervet i forbindelse med udførelsen af deres opgaver.

(a)

regelmæssigt overvåge rapporter om gennemførelsen af serviceleveranceaftalerne, hvor det er relevant

(b)

gennemgå hændelser i forbindelse med IKT-produkter og IKT-tjenester fra leverandører og tjenesteudbydere

(c)

vurdere behovet for spontane gennemgange og dokumentere resultaterne på en forståelig måde

(d)

analysere de risici, der følger af ændringer i forbindelse med IKT-produkter og IKT-tjenester fra leverandører og tjenesteudbydere, og, hvis det er relevant, træffe afbødende foranstaltninger rettidigt.