5.1. P olitica de securitate a lanțului de aprovizionare

(a)

practicile în materie de securitate cibernetică ale furnizorilor și ale prestatorilor de servicii, inclusiv procedurile lor securizate de dezvoltare;

(b)

capacitatea furnizorilor și a prestatorilor de servicii de a respecta specificațiile în materie de securitate cibernetică stabilite de entitățile relevante;

(c)

calitatea și reziliența generală a produselor TIC și a serviciilor TIC și măsurile de gestionare a riscurilor în materie de securitate cibernetică încorporate în acestea, inclusiv riscurile și nivelul de clasificare a produselor TIC și a serviciilor TIC;

(d)

capacitatea entităților relevante de a diversifica sursele de aprovizionare și de a limita dependența de furnizor, dacă acest lucru este aplicabil.

(a)

cerințele în materie de securitate cibernetică pentru furnizori sau prestatorii de servicii, inclusiv cerințele în ceea ce privește securitatea achiziționării de servicii TIC sau de produse TIC prevăzute la punctul 6.1;

(b)

cerințele privind sensibilizarea, competențele și formarea și, dacă este adecvat, certificările impuse angajaților furnizorilor sau ai prestatorilor de servicii;

(c)

cerințele privind verificarea antecedentelor angajaților furnizorilor și ai prestatorilor de servicii;

(d)

obligația furnizorilor și a prestatorilor de servicii de a notifica, fără întârzieri nejustificate, entităților relevante incidentele care prezintă un risc pentru securitatea rețelelor și a sistemelor informatice ale entităților respective;

(e)

dreptul de a efectua audituri sau dreptul de a primi rapoarte de audit;

(f)

obligația furnizorilor și a prestatorilor de servicii de a gestiona vulnerabilitățile care prezintă un risc pentru securitatea rețelelor și a sistemelor informatice ale entităților respective;

(g)

cerințe privind subcontractarea și, în cazul în care entitățile relevante permit subcontractarea, cerințe în materie de securitate cibernetică pentru subcontractanți în conformitate cu cerințele în materie de securitate cibernetică menționate la litera (a);

(h)

obligațiile furnizorilor și ale prestatorilor de servicii la rezilierea contractului, cum ar fi extragerea și distrugerea informațiilor obținute de către furnizori și prestatorii de servicii în exercitarea sarcinilor lor.

(a)

monitorizează periodic rapoartele privind punerea în aplicare a acordurilor privind nivelul serviciilor, dacă acest lucru este aplicabil;

(b)

examinează incidentele legate de produsele TIC și de serviciile TIC de la furnizori și prestatori de servicii;

(c)

evaluează necesitatea unor examinări neprogramate și documentează constatările într-un mod inteligibil;

(d)

analizează riscurile prezentate de modificările legate de produsele TIC și de serviciile TIC de la furnizori și prestatori de servicii și, dacă este adecvat, iau măsuri de atenuare în timp util.