5.1. Piegādes ķēdes drošības rīcībpolitika

a)

piegādātāju un pakalpojumu sniedzēju kiberdrošības prakse, ieskaitot to drošas izstrādes procedūras;

b)

piegādātāju un pakalpojumu sniedzēju spēja ievērot attiecīgo vienību noteiktās kiberdrošības specifikācijas;

c)

IKT produktu un IKT pakalpojumu vispārējā kvalitāte un noturība un tajos iegultie kiberdrošības risku pārvaldības pasākumi, arī IKT produktu un IKT pakalpojumu riski un klasifikācijas līmenis;

d)

attiecīgo vienību spēja attiecīgā gadījumā dažādot piegādes avotus un ierobežot atkarību no viena pārdevēja.

a)

kiberdrošības prasības piegādātājiem vai pakalpojumu sniedzējiem, to skaitā 6.1. punktā izklāstītās prasības attiecībā uz drošību IKT pakalpojumu vai IKT produktu ieguvē;

b)

prasības attiecībā uz piegādātāju vai pakalpojumu sniedzēju darbinieku izpratni, prasmēm un apmācību un atbilstošā gadījumā sertifikāciju;

c)

prasības attiecībā uz piegādātāju un pakalpojumu sniedzēju darbinieku iepriekšējās darbības pārbaudēm;

d)

piegādātāju un pakalpojumu sniedzēju pienākums bez nepamatotas kavēšanās informēt attiecīgās vienības par incidentiem, kas apdraud minēto vienību tīklu un informācijas sistēmu drošību;

e)

tiesības veikt revīziju vai tiesības saņemt revīzijas ziņojumus;

f)

piegādātāju un pakalpojumu sniedzēju pienākums novērst vājās vietas, kas apdraud attiecīgo vienību tīklu un informācijas sistēmu drošību;

g)

prasības attiecībā uz apakšuzņēmuma līgumu slēgšanu un, ja attiecīgās vienības atļauj slēgt apakšuzņēmumu līgumus, kiberdrošības prasības apakšuzņēmējiem saskaņā ar a) apakšpunktā noteiktajām kiberdrošības prasībām;

h)

piegādātāju un pakalpojumu sniedzēju pienākumi līguma izbeigšanas brīdī, piemēram, attiecībā uz tādas informācijas izgūšanu un likvidēšanu, ko piegādātāji un pakalpojumu sniedzēji ieguvuši, veicot savus uzdevumus.

a)

attiecīgā gadījumā regulāri uzrauga ziņojumus par pakalpojumu līmeņa līgumu īstenošanu;

b)

pārskata incidentus, kas saistīti ar piegādātāju piegādātiem IKT produktiem un pakalpojumu sniedzēju sniegtiem IKT pakalpojumiem;

c)

novērtē nepieciešamību veikt neplānotu pārskatīšanu un saprotami dokumentē konstatējumus;

d)

analizē riskus, ko rada ar piegādātāju piegādātiem IKT produktiem un pakalpojumu sniedzēju sniegtiem IKT pakalpojumiem saistītas izmaiņas, un atbilstošā gadījumā savlaicīgi veic mitigācijas pasākumus.