5.1.4. Sulla base della politica di sicurezza della catena di approvvigionamento e tenendo conto …

a)

i requisiti di cibersicurezza per i fornitori o i fornitori di servizi, compresi i requisiti relativi alla sicurezza nell'acquisizione di servizi TIC o prodotti TIC di cui al punto 6.1;

b)

i requisiti in materia di sensibilizzazione, competenze e formazione e, se opportuno, certificazioni adeguate, imposti ai dipendenti dei fornitori o dei fornitori di servizi;

c)

i requisiti relativi alla verifica dei precedenti personali dei dipendenti dei fornitori e dei fornitori di servizi;

d)

l'obbligo per i fornitori e i fornitori di servizi di notificare senza indebito ritardo ai soggetti pertinenti gli incidenti che presentano un rischio per la sicurezza dei sistemi informativi e di rete di tali soggetti;

e)

il diritto a effettuare audit o il diritto a ricevere relazioni di audit;

f)

l'obbligo per i fornitori e i fornitori di servizi di gestire le vulnerabilità che presentano un rischio per la sicurezza dei sistemi informativi e di rete dei soggetti pertinenti;

g)

i requisiti in materia di subappalto e, se i soggetti pertinenti consentono il subappalto, i requisiti di cibersicurezza per i subappaltatori conformemente ai requisiti di cibersicurezza di cui alla lettera a);

h)

gli obblighi per i fornitori e i fornitori di servizi al momento della risoluzione del contratto, quali il recupero e lo smaltimento delle informazioni ottenute dai fornitori e dai fornitori di servizi nell'esercizio dei loro compiti.