5.1. Política de seguridad de las cadenas de suministros

a)

las prácticas de ciberseguridad de sus proveedores y prestadores de servicios, incluidos sus procedimientos de desarrollo seguro;

b)

la capacidad de los proveedores y prestadores de servicios para cumplir las especificaciones de ciberseguridad establecidas por las entidades pertinentes;

c)

la calidad general y la resiliencia de los productos y servicios TIC y las medidas para la gestión de riesgos de ciberseguridad integradas en ellos, incluidos los riesgos y el nivel de clasificación de los productos y servicios TIC;

d)

la capacidad de las entidades pertinentes de diversificar las fuentes de suministro y limitar la dependencia de un proveedor, cuando proceda.

a)

los requisitos de ciberseguridad correspondientes a los proveedores y prestadores de servicios, incluidos los requisitos relativos a la seguridad en la adquisición de productos y servicios TIC establecidos en el punto 6.1;

b)

los requisitos relativos a la sensibilización, las capacidades y la formación y, cuando proceda, los certificados requeridos de los empleados de los proveedores o prestadores de servicios;

c)

los requisitos relativos a los controles de los antecedentes personales de los empleados de los proveedores y prestadores de servicios;

d)

la obligación de los proveedores y prestadores de servicios de informar, sin demora indebida, a las entidades pertinentes de aquellos incidentes que presenten un riesgo para la seguridad de los sistemas de redes y de información de dichas entidades;

e)

el derecho de auditoría o el derecho a recibir informes de auditoría;

f)

la obligación de los proveedores y prestadores de servicios de hacerse cargo de las vulnerabilidades que presenten un riesgo para la seguridad de los sistemas de redes y de información de las entidades pertinentes;

g)

los requisitos relativos a la subcontratación y, cuando las entidades pertinentes permitan esta última, los requisitos de ciberseguridad de los subcontratistas de conformidad con los requisitos de seguridad contemplados en la letra a);

h)

las obligaciones de los proveedores y prestadores de servicios al finalizar el contrato, tales como la recuperación y eliminación de información que hayan obtenido en el ejercicio de sus funciones.

a)

supervisarán periódicamente los informes relativos a la aplicación de los acuerdos de nivel de servicio, cuando proceda;

b)

revisarán los incidentes relacionados con los productos y servicios TIC de los proveedores y prestadores de servicios;

c)

evaluarán la necesidad de revisiones no programadas y recopilarán las conclusiones de manera comprensible;

d)

analizarán los riesgos que planteen los cambios relativos a los productos y servicios TIC de los proveedores y prestadores de servicios y, cuando proceda, adoptarán medidas de mitigación a su debido tiempo.