5.1. Strategi för säkerhet i leveranskedjan

(a)

Leverantörernas och tjänsteleverantörernas cybersäkerhetsrutiner, inklusive deras säkra utvecklingsförfaranden.

(b)

Leverantörernas och tjänsteleverantörernas förmåga att uppfylla de berörda entiteternas cybersäkerhetsspecifikationer.

(c)

IKT-produkternas och IKT-tjänsternas allmänna kvalitet och resiliens samt de riskhanteringsåtgärder för cybersäkerhet som ingår i dem, inklusive IKT-produkternas och IKT-tjänsternas risknivå och klassificeringsnivå.

(d)

De berörda entiteternas förmåga att diversifiera leveranskällor och förhindra inlåsningar till enskilda leverantörer, om tillämpligt.

(a)

Cybersäkerhetskrav för leverantörerna eller tjänsteleverantörerna, inklusive krav som rör säkerheten vid förvärv av IKT-tjänster eller IKT-produkter enligt punkt 6.1.

(b)

Krav som rör medvetenhet, kompetens och utbildning och, när så är lämpligt, certifiering, för leverantörens eller tjänsteleverantörens anställda.

(c)

Krav som rör kontroll av bakgrunden för leverantörers och tjänsteleverantörers anställda.

(d)

En skyldighet för leverantörer och tjänsteleverantörer att utan onödigt dröjsmål underrätta de berörda entiteterna om incidenter som utgör en risk för säkerheten i dessa entiteters nätverks- och informationssystem.

(e)

Rätt att göra revisioner eller erhålla revisionsrapporter.

(f)

En skyldighet för leverantörer och tjänsteleverantörer att hantera sårbarheter som utgör en risk för säkerheten i de berörda entiteternas nätverks- och informationssystem.

(g)

Krav som rör underentreprenader och, om de berörda entiteterna tillåter underentreprenader, cybersäkerhetskrav för underleverantörer i enlighet med de cybersäkerhetskrav som avses i led a.

(h)

Skyldigheter för leverantörer och tjänsteleverantörer vid uppsägning av avtalet, såsom insamling och bortskaffande av de uppgifter som leverantörerna och tjänsteleverantörerna erhållit i utövandet av sina uppgifter.

(a)

regelbundet övervaka rapporteringen om genomförandet av servicenivåavtalen, i tillämpliga fall,

(b)

granska incidenter som rör IKT-produkter och IKT-tjänster från leverantörer och tjänsteleverantörer,

(c)

bedöma behovet av oplanerade granskningar och dokumentera resultaten på ett begripligt sätt,

(d)

analysera riskerna förbundna med ändringar av IKT-produkter och IKT-tjänster från leverantörer och tjänsteleverantörer och, när så är lämpligt, snabbt vidta begränsningsåtgärder.