5.1. Politika varnosti dobavne verige

(a)

prakse dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi postopki varnega razvoja;

(b)

zmožnost dobaviteljev in ponudnikov storitev, da izpolnjujejo specifikacije kibernetske varnosti, ki jih določijo zadevni subjekti;

(c)

splošno kakovost in odpornost proizvodov in storitev IKT ter vanje vgrajenih ukrepov za obvladovanje tveganj za kibernetsko varnost, vključno s tveganji in razvrstitveno ravnjo proizvodov in storitev IKT;

(d)

zmožnost zadevnih subjektov, da diverzificirajo dobavne vire in omejijo vezanost na ponudnika, kadar je relevantno.

(a)

zahteve glede kibernetske varnosti za dobavitelje ali ponudnike storitev, vključno z zahtevami glede varnosti pri nakupu storitev ali proizvodov IKT iz točke 6.1;

(b)

zahteve glede ozaveščenosti, spretnosti in usposabljanja ter, kadar je ustrezno, potrdil, ki se zahtevajo od zaposlenih pri dobaviteljih ali ponudnikih storitev;

(c)

zahteve glede preverjanja preteklosti zaposlenih pri dobaviteljih in ponudnikih storitev;

(d)

obveznost dobaviteljev in ponudnikov storitev, da brez nepotrebnega odlašanja obvestijo zadevne subjekte o incidentih, ki predstavljajo tveganje za varnost omrežnih in informacijskih sistemov teh subjektov;

(e)

pravico do revizije ali pravico do prejema revizijskih poročil;

(f)

obveznost dobaviteljev in ponudnikov storitev, da obravnavajo ranljivosti, ki predstavljajo tveganje za varnost omrežnih in informacijskih sistemov zadevnih subjektov;

(g)

zahteve glede oddaje naročil podizvajalcem in, kadar zadevni subjekti dovolijo oddajo naročil podizvajalcem, zahteve glede kibernetske varnosti za podizvajalce v skladu z zahtevami glede kibernetske varnosti iz točke (a);

(h)

obveznosti dobaviteljev in ponudnikov storitev ob prenehanju pogodbe, kot sta pridobivanje in odstranjevanje informacij, ki jih dobavitelji in ponudniki storitev pridobijo pri opravljanju svojih nalog.

(a)

redno spremljajo poročila o izvajanju sporazumov o ravni storitev, kadar je relevantno;

(b)

pregledajo incidente, povezane s proizvodi in storitvami IKT dobaviteljev in ponudnikov storitev;

(c)

ocenijo potrebo po nenačrtovanih pregledih in na razumljiv način dokumentirajo ugotovitve;

(d)

analizirajo tveganja zaradi sprememb, povezanih s proizvodi in storitvami IKT dobaviteljev in ponudnikov storitev, ter, kadar je ustrezno, pravočasno sprejmejo blažilne ukrepe.