5.1. Tarneahela turvalisuse põhimõtted

a)

tarnijate ja teenuseosutajate küberturbetavad, kaasa arvatud nende turvalise arenduse protseduurid;

b)

tarnijate ja teenuseosutajate suutlikkus täita asjaomaste üksuste seatud küberturvalisuse spetsifikatsioone;

c)

IKT-toodete ja IKT-teenuste ning neis sisalduvate küberturvalisuse riskijuhtimismeetmete üldine kvaliteet ja kerksus, kaasa arvatud IKT-toodete ja IKT-teenuste riskid ja liigitustasemed;

d)

asjaomaste üksuste suutlikkus mitmekesistada tarneallikaid ja piirata sõltuvust ühest müüjast, kui see on asjakohane.

a)

tarnijate või teenuseosutajate küberturvalisuse nõuded, kaasa arvatud nõuded, mis puudutavad punktis 6.1 sätestatud turvalisust IKT-teenuste või IKT-toodete hankimisel;

b)

nõuded, mis puudutavad teadlikkust, oskusi ja koolitust ning vajaduse korral ka asjakohast sertifitseerimist, mida nõutakse tarnijate või teenuseosutajate töötajatelt;

c)

nõuded, mis puudutavad tarnijate ja teenuseosutajate töötajate tausta kontrollimist;

d)

tarnijate ja teenuseosutajate kohustus teavitada asjaomaseid üksusi viivitamata intsidentidest, mis kujutavad endast riski nende üksuste võrgu- ja infosüsteemide turvalisusele;

e)

auditeerimisõigus või õigus saada auditiaruandeid;

f)

tarnijate ja teenuseosutajate kohustus käsitleda nõrkusi, mis kujutavad endast riski asjaomaste üksuste võrgu- ja infosüsteemide turvalisusele;

g)

nõuded, mis puudutavad alltöövõttu, ja kui asjaomased üksused lubavad alltöövõttu, küberturvalisuse nõuded alltöövõtjatele vastavalt punktis a osutatud küberturvalisuse nõuetele;

h)

tarnijate ja teenuseosutajate kohustused lepingu lõppemise korral, näiteks sellise teabe võtt ja kõrvaldamine, mille tarnijad ja teenuseosutajad said oma ülesannete täitmise käigus.

a)

jälgivad regulaarselt teenusetasemelepete rakendamist käsitlevaid aruandeid, kui see on asjakohane;

b)

vaatavad läbi tarnijatelt ja teenuseosutajatelt pärit IKT-toodete ja IKT-teenustega seotud intsidendid;

c)

hindavad plaanivälise läbivaatamise vajalikkust ja dokumenteerivad oma tähelepanekud arusaadaval viisil;

d)

analüüsivad tarnijatelt ja teenuseosutajatelt pärit IKT-toodete ja IKT-teenustega seotud muutustega kaasnevaid riske ja võtavad vajaduse korral õigeaegselt leevendavaid meetmeid.