5.1. Politika sigurnosti lanca opskrbe

(a)

kibernetičkosigurnosne prakse dobavljača i pružatelja usluga, uključujući sigurne postupke njihova razvoja;

(b)

sposobnost dobavljača i pružatelja usluga da ispune kibernetičkosigurnosne specifikacije koje utvrde relevantni subjekti;

(c)

opću kvalitetu i otpornost IKT proizvoda i usluga te mjere upravljanja kibernetičkosigurnosnim rizicima koje su u njih ugrađene, uključujući rizike i klasifikacijsku razinu IKT proizvoda i usluga;

(d)

sposobnost relevantnih subjekata da diversificiraju izvore opskrbe i ograniče ovisnost o jednom dobavljaču, ako je to primjenjivo.

(a)

kibernetičkosigurnosne zahtjeve za dobavljače ili pružatelje usluga, uključujući sigurnosne zahtjeve za nabavu IKT usluga ili proizvoda iz točke 6.1.;

(b)

zahtjeve u pogledu informiranosti, vještina i osposobljavanja te, prema potrebi, certifikata koje moraju imati zaposlenici dobavljača ili pružatelja usluga;

(c)

zahtjeve u pogledu provjera zaposlenika dobavljača i pružatelja usluga;

(d)

obvezu dobavljača i pružatelja usluga da bez nepotrebne odgode obavijeste relevantne subjekte o incidentima koji predstavljaju rizik za sigurnost mrežnih i informacijskih sustava tih subjekata;

(e)

pravo na reviziju ili pravo na primanje revizorskih izvješća;

(f)

obvezu dobavljača i pružatelja usluga da otklanjaju ranjivosti koje predstavljaju rizik za sigurnost mrežnih i informacijskih sustava relevantnih subjekata;

(g)

zahtjeve u pogledu podugovaranja i, ako relevantni subjekti dopuštaju podugovaranje, kibernetičkosigurnosne zahtjeve za podugovaratelje u skladu s kibernetičkosigurnosnim zahtjevima iz točke (a);

(h)

obveze dobavljača i pružatelja usluga kod prestanka ugovora, kao što su dohvaćanje i uklanjanje informacija koje su dobavljači i pružatelji usluga dobili tijekom izvršavanja svojih zadaća.

(a)

ako je to primjenjivo, redovito prate izvješća o provedbi sporazuma o razini usluga;

(b)

provjeravaju incidente povezane s IKT proizvodima i uslugama dobavljača i pružatelja usluga;

(c)

procjenjuju potrebu za neplaniranim provjerama i dokumentiraju nalaze na razumljiv način;

(d)

analiziraju rizike od promjena povezanih s IKT proizvodima i uslugama dobavljača i pružatelja usluga te, prema potrebi, pravodobno poduzimaju mjere ublažavanja.