5.1. Zásady bezpečnosti dodávateľského reťazca

a)

postupy dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti vrátane ich bezpečných vývojových postupov;

b)

schopnosť dodávateľov a poskytovateľov služieb dodržiavať špecifikácie kybernetickej bezpečnosti stanovené príslušnými subjektmi;

c)

celkovú kvalitu a odolnosť produktov a služieb IKT a opatrenia na riadenie kybernetických rizík, ktoré zahŕňajú, vrátane rizík a úrovne klasifikácie produktov a služieb IKT;

d)

schopnosť príslušných subjektov diverzifikovať zdroje dodávok a v náležitých prípadoch obmedziť odkázanosť na určitého dodávateľa.

a)

požiadavky na kybernetickú bezpečnosť dodávateľov alebo poskytovateľov služieb vrátane požiadaviek týkajúcich sa bezpečnosti pri nadobúdaní služieb alebo produktov IKT uvedených v bode 6.1;

b)

požiadavky týkajúce sa informovanosti, zručností a odbornej prípravy a v prípade potreby aj certifikácií, ktoré sa vyžadujú od zamestnancov dodávateľov alebo poskytovateľov služieb;

c)

požiadavky týkajúce sa overenia spoľahlivosti zamestnancov dodávateľov a poskytovateľov služieb;

d)

povinnosť dodávateľov a poskytovateľov služieb bezodkladne oznamovať príslušným subjektom incidenty, ktoré predstavujú riziko pre bezpečnosť sietí a informačných systémov týchto subjektov;

e)

právo na audit alebo právo dostávať audítorské správy;

f)

povinnosť dodávateľov a poskytovateľov služieb riešiť zraniteľnosti, ktoré predstavujú riziko pre bezpečnosť sietí a informačných systémov príslušných subjektov;

g)

požiadavky týkajúce sa subdodávateľských vzťahov a v prípade, keď príslušné subjekty povolia využívanie subdodávateľov, požiadavky na kybernetickú bezpečnosť subdodávateľov v súlade s požiadavkami na kybernetickú bezpečnosť uvedenými v písmene a);

h)

povinnosti dodávateľov a poskytovateľov služieb pri ukončení zmluvy, ako sú získanie a likvidácia informácií, ktoré dodávatelia a poskytovatelia služieb získali pri výkone svojich úloh.

a)

pravidelne monitorujú správy o vykonávaní dohôd o úrovni poskytovaných služieb, v náležitých prípadoch;

b)

preskúmavajú incidenty súvisiace s produktmi a službami IKT od dodávateľov a poskytovateľov služieb;

c)

posudzujú potrebu neplánovaných preskúmaní a zistenia zrozumiteľným spôsobom zaznamenajú;

d)

analyzujú riziká, ktoré predstavujú zmeny súvisiace s produktmi a službami IKT od dodávateľov a poskytovateľov služieb, a v prípade potreby včas prijmú zmierňujúce opatrenia.