5.1. Tiekimo grandinės saugumo politika

a)

tiekėjų ir paslaugų teikėjų kibernetinio saugumo praktiką, įskaitant jų saugumo plėtojimo procedūras;

b)

tiekėjų ir paslaugų teikėjų gebėjimą laikytis atitinkamų subjektų nustatytų kibernetinio saugumo specifikacijų;

c)

bendrą IRT produktų ir IRT paslaugų kokybę bei atsparumą ir į juos įtrauktas kibernetinio saugumo rizikos valdymo priemones, įskaitant IRT produktų ir IRT paslaugų riziką ir klasifikavimo lygmenį;

d)

atitinkamų subjektų gebėjimą įvairinti tiekimo šaltinius ir, kai taikytina, apriboti susaistymą su pardavėju.

a)

tiekėjams ar paslaugų teikėjams taikomi kibernetinio saugumo reikalavimai, įskaitant 6.1 punkte nustatytus reikalavimus dėl IRT paslaugų ar IRT produktų įsigijimo saugumo;

b)

reikalavimai, susiję su informuotumu, įgūdžiais, mokymu ir, kai tinkama, kvalifikacijos pažymėjimais, kurių reikalaujama iš tiekėjų ar paslaugų teikėjų darbuotojų;

c)

reikalavimai, susiję su tiekėjų ir paslaugų teikėjų darbuotojų asmens patikrinimu;

d)

tiekėjų ir paslaugų teikėjų pareiga nepagrįstai nedelsiant pranešti atitinkamiems subjektams apie incidentus, keliančius riziką tų subjektų tinklų ir informacinių sistemų saugumui;

e)

teisė į auditą arba teisė gauti audito ataskaitas;

f)

tiekėjų ir paslaugų teikėjų pareiga šalinti pažeidžiamumą, keliantį pavojų atitinkamų subjektų tinklų ir informacinių sistemų saugumui;

g)

reikalavimai, susiję su subranga, ir, kai atitinkami subjektai leidžia sudaryti subrangos sutartis, kibernetinio saugumo reikalavimai subrangovams, nustatyti remiantis a punkte nurodytais kibernetinio saugumo reikalavimais;

h)

tiekėjų ir paslaugų teikėjų pareigos nutraukiant sutartį, pavyzdžiui, dėl informacijos, kurią tiekėjai ir paslaugų teikėjai gauna vykdydami savo užduotis, atgaminimo ir disponavimo ja.

a)

kai taikytina, periodiškai apžvelgia susitarimų dėl paslaugų lygio įgyvendinimo ataskaitas;

b)

peržiūri incidentus, susijusius su iš tiekėjų ir paslaugų teikėjų gautais IRT produktais ir paslaugomis;

c)

įvertina neplaninių peržiūrų poreikį ir išsamiai dokumentuoja nustatytus faktus;

d)

analizuoja riziką, kylančią dėl pokyčių, susijusių su iš tiekėjų ir paslaugų teikėjų gautais IRT produktais ir paslaugomis, ir prireikus laiku imasi rizikos mažinimo priemonių.