5.1. Az ellátási lánc védelmére vonatkozó szabályzat

a)

a beszállítók és szolgáltatók kiberbiztonsági gyakorlatai, ideértve biztonságos fejlesztési eljárásaikat is;

b)

a beszállítók és szolgáltatók azon képessége, hogy megfeleljenek az érintett szervezetek által meghatározott kiberbiztonsági előírásoknak;

c)

az IKT-termékek és IKT-szolgáltatások általános minősége és rezilienciája, valamint az azok részét képező kiberbiztonsági kockázatkezelési intézkedések, beleértve az IKT-termékek és IKT-szolgáltatások kockázatait és minősítési szintjét;

d)

az érintett szervezetek azon képessége, hogy diverzifikálják a beszerzési forrásokat, és ha releváns, korlátozzák a beszállítóktól való függőséget.

a)

a beszállítókra vagy szolgáltatókra vonatkozó kiberbiztonsági követelmények, beleértve az IKT-szolgáltatások vagy IKT-termékek beszerzésének biztonságára vonatkozó, a 6.1. pontban meghatározott követelményeket is;

b)

a beszállítók vagy szolgáltatók alkalmazottaival szemben támasztott követelmények azok ismereteit, készségeit és képzését, és ha indokolt, bizonyítványait illetően;

c)

a beszállítók és szolgáltatók alkalmazottainak háttérellenőrzésére vonatkozó követelmények;

d)

a beszállítók és szolgáltatók azon kötelezettsége, hogy indokolatlan késedelem nélkül értesítsék az érintett szervezeteket minden olyan biztonsági eseménnyel kapcsolatban, amelyek kockázatot jelentenek az említett szervezetek hálózati és információs rendszereinek biztonságára nézve;

e)

az ellenőrzés végzésére vagy ellenőrzési jelentés megismerésére való jog;

f)

a beszállítók és szolgáltatók azon kötelezettsége, hogy kezeljék az érintett szervezetek hálózati és információs rendszereinek biztonságát veszélyeztető sebezhetőségeket;

g)

az alvállalkozásba adásra vonatkozó követelmények, valamint – amennyiben az érintett szervezetek lehetővé teszik alvállalkozói szerződések megkötését – az alvállalkozókkal szemben támasztott kiberbiztonsági követelmények az a) pontban említett kiberbiztonsági követelményekkel összhangban;

h)

a beszállítók és szolgáltatók kötelezettségei a szerződés megszűnésekor, például a beszállítók és szolgáltatók által feladataik ellátása során megszerzett információk visszakeresésével és megsemmisítésével kapcsolatban.

a)

ha releváns, rendszeresen nyomon követik a szolgáltatási szintre vonatkozó megállapodások végrehajtásáról szóló jelentéseket;

b)

felülvizsgálják a beszállítók és szolgáltatók által biztosított IKT-termékekkel és IKT-szolgáltatásokkal kapcsolatos biztonsági eseményeket;

c)

felmérik a nem tervezett felülvizsgálatok szükségességét, és átfogó módon dokumentálják a megállapításokat;

d)

elemzik a beszállítók és szolgáltatók által biztosított IKT-termékekkel és IKT-szolgáltatásokkal kapcsolatos változásokból eredő kockázatokat, és ha indokolt, időben meghozzák a kockázatcsökkentő intézkedéseket.