NIS2 i bezpieczeństwo łańcucha dostaw: jak oceniać dostawców IT, integratorów i podwykonawców

Bezpieczeństwo łańcucha dostaw nie zaczyna się od wysłania wszystkim kontrahentom jednakowej ankiety. Najpierw trzeba ustalić, od których dostawców zależą procesy organizacji, jaki dostęp otrzymują oraz jakie skutki wywoła ich niedostępność, incydent lub opóźniona reakcja. Dopiero na tej podstawie można dobrać zakres oceny, wymagane dowody, warunki umowne i sposób nadzoru. W przeciwnym razie organizacja kontroluje formalną kompletność dokumentów, a nie rzeczywiste ryzyko związane z usługami IT, integratorami i podwykonawcami.

Dostawca jako część odporności organizacji

Ryzyko związane z dostawcą nie wynika wyłącznie z podatności jego systemów ani poziomu zabezpieczeń technicznych. Powstaje przede wszystkim tam, gdzie zewnętrzna usługa, personel, oprogramowanie lub infrastruktura warunkują ciągłość procesu organizacji. O zakresie nadzoru nie powinny zatem decydować wartość kontraktu, wielkość kontrahenta ani sam rodzaj zakupionej usługi, lecz skutki jej niedostępności, naruszenia poufności, utraty integralności danych lub opóźnionej reakcji na incydent.

Proces należy rozpocząć od przypisania odpowiedzialności. Właściciel procesu biznesowego identyfikuje zależność i określa jej znaczenie operacyjne. Funkcja bezpieczeństwa informacji ocenia ekspozycję, zakupy uwzględniają wymagania w kryteriach wyboru i umowie, a informatyka weryfikuje zakres dostępu oraz rozwiązania techniczne. Trzeba również wskazać, kto kwalifikuje ryzyko, zatwierdza odstępstwo od wymagań, nadzoruje wykonanie umowy i koordynuje współpracę podczas incydentu. Bez tego ankieta dostawcy pozostaje dokumentem bez właściciela, a ryzyko rozmywa się między komórkami organizacyjnymi.

Niewielki integrator utrzymujący zdalny, uprzywilejowany dostęp do środowiska produkcyjnego może tworzyć większą ekspozycję niż duży dostawca usług biurowych, mimo znacznie niższej wartości kontraktu. Awaria, przejęcie konta technicznego lub niedostępność personelu integratora mogą bezpośrednio zatrzymać produkcję albo utrudnić jej odtworzenie. Pogłębioną oceną należy więc obejmować przede wszystkim kontrahentów powiązanych z procesami krytycznymi, posiadających dostęp zdalny lub uprzywilejowany, przetwarzających istotne informacje bądź uczestniczących w reagowaniu na incydenty i odtwarzaniu działalności.

Dopiero po rozpoznaniu tych zależności można właściwie odnieść proces do wymagań NIS2 dotyczących zarządzania ryzykiem, bezpieczeństwa łańcucha dostaw oraz odpowiedzialności kierownictwa, z uwzględnieniem zakresu wynikającego z właściwych przepisów krajowych. Zarząd nie powinien zastępować oceny technicznej. Powinien natomiast zatwierdzić zasady kwalifikacji dostawców, przypisanie właścicieli ryzyka i tryb akceptowania odstępstw. Użytecznymi miarami są liczba procesów krytycznych zależnych od usług zewnętrznych oraz liczba dostawców z dostępem uprzywilejowanym lub zdalnym. Szerszy kontekst tych decyzji przedstawia NIS2 w praktyce zarządczej: jak przełożyć wymagania na decyzje, odpowiedzialność i realną odporność organizacji.

Segmentacja według skutku i dostępu

Jednolity kwestionariusz dla wszystkich kontrahentów nie zapewnia oceny proporcjonalnej do ryzyka. Segmentacja powinna łączyć skutek niedostępności usługi, rodzaj przetwarzanych informacji, zakres uprawnień, możliwość przeniesienia incydentu do własnego środowiska oraz zastępowalność dostawcy. Podstawą kwalifikacji jest ustalony w analizie wpływu na działalność czas, przez jaki proces może działać bez danej usługi, a także liczba zależnych procesów i lokalizacji. Wartość umowy i wielkość kontrahenta mają znaczenie pomocnicze, ponieważ nie opisują zależności technicznych, dopuszczalnego czasu przestoju ani kosztu bezpiecznego zastąpienia usługi.

Progi oceny podstawowej, rozszerzonej i audytu należy powiązać z mierzalnymi przesłankami. Audytu może wymagać dostawca, którego awaria spowoduje przekroczenie dopuszczalnego czasu przerwy, który posiada dostęp uprzywilejowany lub którego nie można zastąpić bez istotnej zmiany technicznej. Ocena rozszerzona jest właściwa przy dostępie ograniczonym, przetwarzaniu informacji wymagających ochrony albo występowaniu zależności dalszego rzędu. Pozostali kontrahenci mogą podlegać ocenie podstawowej, o ile nie tworzą kumulacji ryzyka.

Dostawca systemu kadrowego wymaga nacisku na klasyfikację informacji, uprawnienia i odtworzenie danych. Integratora automatyki należy oceniać przede wszystkim pod kątem zdalnego dostępu, zmian w konfiguracji oraz zdolności do wsparcia po incydencie. Podwykonawca serwisujący urządzenia może nie mieć dostępu do systemów, lecz jego niedostępność może zatrzymać proces z powodu braku części, kompetencji lub dokumentacji. Zależności między systemami informatycznymi, technologią operacyjną i ciągłością produkcji szerzej omawia NIS2 dla firm produkcyjnych: kogo obejmuje, jakie obowiązki wprowadza i jak przygotować organizację bez sprowadzania tematu wyłącznie do IT.

Klasyfikacja nie może obowiązywać bez zmian przez cały okres współpracy. Należy ją ponawiać po zmianie zakresu usługi, dostępu, architektury, podwykonawców, przetwarzanych informacji lub znaczenia procesu, a także okresowo potwierdzać, nawet gdy warunki kontraktowe pozostały niezmienione. Pozwala to dobrać poziom należytej staranności do rzeczywistej ekspozycji i wykazać, że nadzór nad łańcuchem dostaw wynika z oceny skutków, a nie z formalnego podziału kontrahentów.

Dowody zamiast deklaracji

Ocena dostawcy powinna dotyczyć sposobu wykonywania kontroli, a nie samego istnienia polityk i procedur. Pytania należy kierować na zarządzanie dostępem, podatnościami i zmianami, tworzenie kopii zapasowych, monitorowanie zdarzeń, reagowanie na incydenty, ciągłość działania, bezpieczeństwo personelu oraz nadzór nad podwykonawcami. Odpowiedź „mamy wdrożoną procedurę” jest niewystarczająca, jeżeli nie wskazuje właściciela działania, częstotliwości kontroli, sposobu dokumentowania wyników i postępowania z odstępstwami. Sygnałem ostrzegawczym są także ogólne materiały, które nie odnoszą się do zamawianej usługi, jej lokalizacji ani środowiska świadczenia.

Minimalny katalog dowodów trzeba określić dla każdej klasy dostawcy przed rozpoczęciem oceny. Przy niższym ryzyku mogą wystarczyć odpowiedzi właściciela procesu poparte aktualnymi dokumentami i przykładowymi zapisami. Wraz ze wzrostem krytyczności należy oczekiwać wyników testów, rejestrów operacyjnych, mierników realizacji kontroli oraz niezależnych ocen. W przypadku usług krytycznych zasadne może być przeprowadzenie rozmowy technicznej, oceny zdalnej albo audytu na miejscu. Wybór metody powinien zależeć między innymi od możliwości zweryfikowania zabezpieczeń bez dostępu do infrastruktury oraz od skutków błędnej deklaracji. Warto rejestrować datę i wynik ostatniego testu odtworzenia istotnej usługi, a także czas usuwania podatności według poziomów krytyczności przyjętych przez dostawcę.

Deklaracja wykonywania kopii zapasowych dobrze pokazuje różnicę między zapewnieniem a dowodem. Nie wyjaśnia, czy kopie są odseparowane od środowiska produkcyjnego, kto może je usunąć, jak często prowadzi się próby odtworzeniowe ani jaki był wynik ostatniego testu. Nie przesądza również, kto odpowiada za przywrócenie całej usługi: dostawca infrastruktury, producent aplikacji, integrator czy klient. Adekwatnym dowodem będzie zatem nie tylko opis zasad, lecz także zapis z ostatniej próby, zakres odtworzonych danych i funkcji, stwierdzone niezgodności oraz potwierdzenie usunięcia przyczyn niepowodzeń. Odpowiedź wymijającą można rozpoznać po braku dat, zakresu, odpowiedzialności lub możliwości przypisania dowodu do konkretnej usługi.

Certyfikat systemu zarządzania jest wartościowym dowodem pomocniczym, ale nie zwalnia z należytej staranności. Trzeba sprawdzić jego zakres, okres ważności, objęte lokalizacje i usługi oraz zgodność tych elementów z przedmiotem zamówienia. Certyfikacja centrali nie musi obejmować ośrodka przetwarzania, zespołu utrzymaniowego ani podwykonawcy wykonującego kluczową część usługi. Certyfikat może stanowić składnik oceny podstawowej. Przy krytycznej zależności powinien jednak zostać uzupełniony dowodami operacyjnymi, a w razie istotnych luk także audytem. Takie powiązanie zabezpieczeń z odpowiedzialnością procesową przedstawia również TISAX dla pełnomocnika i inżyniera jakości – jak połączyć bezpieczeństwo informacji z procesami firmy; bezpieczeństwo nie powinno pozostawać wyłącznie częścią dokumentacji informatycznej.

Umowa jako mechanizm sterowania

Umowa z dostawcą krytycznym powinna przekładać wynik oceny ryzyka na obowiązki możliwe do wykonania i zweryfikowania. Sama klauzula poufności nie wystarcza. Postanowienia powinny obejmować zgłaszanie zdarzeń, dostęp do informacji potrzebnych do oceny ich skutków, udział dostawcy w analizie i odtwarzaniu działalności, utrzymywanie uzgodnionych zabezpieczeń, zarządzanie zmianami oraz zasady korzystania z dalszych podwykonawców. Dla konkretnej usługi należy również uzgodnić parametry dostępności, odtworzenia i retencji, spójne z wymaganiami procesu biznesowego, a nie wyłącznie ze standardowym opisem usługi dostawcy.

Kluczowe jest wyznaczenie właściciela negocjacji wymagań bezpieczeństwa oraz ustalenie progów akceptacji odstępstw umownych. Zakupy mogą prowadzić proces kontraktowy, lecz nie powinny samodzielnie rozstrzygać, czy ograniczenie odpowiedzialności, brak zgody na audyt albo swobodne powierzanie usług podwykonawcom są dopuszczalne. Takie odstępstwa wymagają oceny właściciela procesu, bezpieczeństwa informacji, ciągłości działania i obsługi prawnej, stosownie do rodzaju ryzyka. Gdy dominujący dostawca nie akceptuje zapisów klienta, decyzja nie powinna sprowadzać się do bezwarunkowego przyjęcia jego wzorca. Można ocenić zabezpieczenia zastępcze, ograniczyć zakres usługi, wzmocnić monitorowanie albo formalnie zaakceptować ryzyko wraz z uzasadnieniem i wskazaniem właściciela.

Klauzula o powiadomieniu „bez zbędnej zwłoki” ma niewielką wartość operacyjną, jeżeli nie określa kanału zgłoszenia, minimalnego zakresu informacji, punktów kontaktu i osób uprawnionych do podejmowania decyzji. Uzgodniony czas powiadomienia musi pozostawić organizacji realną możliwość oceny zdarzenia i wykonania własnych obowiązków. Dostawca powinien przekazać co najmniej opis zdarzenia, wskazanie dotkniętych usług i danych, znany lub przewidywany wpływ, zastosowane działania ograniczające oraz termin kolejnej aktualizacji. Umowa powinna również regulować dostęp do zapisów technicznych i udział właściwych specjalistów w analizie przyczyn oraz odtworzeniu usługi.

Podobnie samo prawo do audytu nie zapewnia skutecznej kontroli. Jeżeli umowa nie wskazuje przesłanek uruchomienia audytu, zakresu dostępu do dowodów, zasad ochrony informacji poufnych, kosztów oraz terminów uzgodnienia i wykonania działań korygujących, zapis może okazać się niewykonalny właśnie podczas incydentu. Zakres klauzul powinien zależeć od krytyczności dostawcy i możliwości zastąpienia usługi. Nadmierny katalog wymagań, którego nikt później nie nadzoruje, tworzy pozór kontroli i zwiększa koszt obsługi kontraktu. Warto mierzyć liczbę odstępstw wymagających formalnej akceptacji ryzyka oraz terminowość realizacji zobowiązań.

Koszt zmian umów nie ogranicza się do pracy prawnika. Obejmuje ponowną ocenę dostawców, negocjacje, audyty, monitorowanie uzgodnionych parametrów i wdrożenie dodatkowych zabezpieczeń. Zależności te należy uwzględnić w budżecie opisanym w materiale Ile kosztuje wdrożenie NIS2 i uKSC – jak zbudować budżet audytu, dokumentacji, szkoleń i zabezpieczeń bez kosztownych pomyłek. Umowa spełnia swoją funkcję dopiero wtedy, gdy organizacja wskazała właściciela nadzoru, gromadzi dowody realizacji obowiązków oraz ma ustalony sposób działania na wypadek zmiany lub zakończenia usługi.

Nadzór po podpisaniu umowy

Ocena wstępna szybko traci aktualność, jeżeli podczas współpracy zmieniają się zakres usługi, architektura rozwiązania, właściciel dostawcy, lokalizacja przetwarzania, podwykonawcy albo poziom dostępu do systemów i informacji. Nadzór powinien zatem obejmować przeglądy okresowe, których częstotliwość wynika z krytyczności usługi, oraz oceny uruchamiane przez określone zdarzenia. Dostawcy o wysokim wpływie na ciągłość działania wymagają częstszej kontroli niż kontrahenci świadczący usługi łatwo zastępowalne i pozbawieni dostępu uprzywilejowanego.

Cykl monitorowania powinien mieć właściciela, progi eskalacji i wymagane zapisy. Nie wystarczy sprawdzać parametrów realizacji usługi. Trzeba łączyć je z informacjami o incydentach, wynikami testów ciągłości i odtwarzania, stanem działań korygujących, zmianami podwykonawców oraz sygnałami pogorszenia zdolności operacyjnej dostawcy. Ponowną ocenę poza harmonogramem powinny uruchamiać między innymi:

• istotna zmiana zakresu usługi lub dostępu;
• przeniesienie przetwarzania;
• zmiana podwykonawcy wpływającego na realizację usługi;
• powtarzające się naruszenia parametrów usługi;
• niezamknięcie niezgodności w terminie;
• zdarzenie wskazujące na niewystarczającą zdolność reagowania.

Dostawca oceniony pozytywnie przy zawieraniu umowy może po roku korzystać z nowego centrum danych lub powierzyć część usługi podwykonawcy. Nazwa i deklarowany zakres usługi pozostają bez zmian, lecz zmieniają się zależności techniczne, miejsce przetwarzania, sposób odtworzenia oraz dostępność dowodów. Brak mechanizmu zgłaszania takich zmian powoduje, że organizacja nadzoruje historyczny, a nie rzeczywisty profil ryzyka. Przydatnymi miernikami są liczba zmian zakresu, dostępu lub podwykonawców wymagających ponownej oceny, liczba incydentów i naruszeń parametrów usługi oraz odsetek działań korygujących zamkniętych w uzgodnionym terminie.

Stwierdzona niezgodność nie musi automatycznie oznaczać zakończenia współpracy. Decyzja powinna uwzględniać wpływ niezgodności, czas potrzebny na jej usunięcie, możliwość zastąpienia usługi i ryzyko okresu przejściowego. Organizacja może zobowiązać dostawcę do wykonania działań korygujących, zastosować zabezpieczenia kompensujące, czasowo zaakceptować ryzyko z wyznaczonym terminem ponownego przeglądu, ograniczyć zakres dostępu albo uruchomić plan zastąpienia dostawcy. Każda ścieżka wymaga właściciela decyzji, terminu, kryterium zamknięcia oraz dowodu potwierdzającego skuteczność, a nie tylko wykonanie zadania.

Skuteczność całego mechanizmu należy okresowo sprawdzać na podstawie zapisów, prób reagowania i zdolności organizacji do podjęcia decyzji po zmianie ryzyka. Pomocnym punktem odniesienia przy planowaniu takiego sprawdzenia jest Audyt NIS2 w firmie produkcyjnej – jak sprawdzić, czy organizacja jest gotowa na nowe obowiązki. Audyt powinien potwierdzić nie tylko istnienie harmonogramu przeglądów, lecz także to, czy sygnały ostrzegawcze prowadzą do eskalacji, niezgodności są zamykane według ustalonych kryteriów, a ryzyko dostawcy pozostaje powiązane z ciągłością procesów organizacji.

Program oceny gotowy do audytu

Program nadzoru nad dostawcami jest gotowy do audytu wtedy, gdy stanowi jeden mechanizm decyzyjny, a nie zbiór ankiet, klauzul i rozproszonych rejestrów. Jego minimalny zakres obejmuje rejestr dostawców wraz z zależnościami procesowymi i technicznymi, kryteria segmentacji, role decyzyjne, wymagania dla poszczególnych klas, ocenę dowodów, zasady umowne, monitorowanie, eskalację oraz postępowanie przy zakończeniu współpracy. Program audytów i rejestr ryzyka powinny wykorzystywać te same klasyfikacje, role właścicielskie i kryteria akceptacji.

Przy ograniczonych zasobach grupę pilotażową należy wybrać spośród dostawców obsługujących procesy krytyczne, dysponujących dostępem uprzywilejowanym albo trudnych do zastąpienia. Zakres można następnie rozszerzać zgodnie z poziomem ryzyka i wynikami pierwszych ocen. Próba jednoczesnego objęcia całej bazy kontrahentów zwykle zwiększa koszt administracyjny bez proporcjonalnej wartości. Zarząd powinien zatwierdzić kolejność ocen, plan usuwania luk i budżet, a także rozstrzygać ryzyka przekraczające przyjęte uprawnienia operacyjne.

Podczas audytu bardziej przekonujący od rozbudowanej procedury jest spójny ślad jednej decyzji: klasyfikacja dostawcy, uzasadnienie wymagań, ocenione dowody, odpowiednie warunki umowy, zapisy monitorowania i niezgodności oraz formalna akceptacja ryzyka lub decyzja o działaniach korygujących. Gotowość można mierzyć udziałem dostawców sklasyfikowanych i ocenionych w ramach programu, wykonaniem harmonogramu ocen dostawców krytycznych oraz liczbą ryzyk bez właściciela, terminu reakcji lub zatwierdzonej decyzji.

Odniesienie normatywne i prawne powinno domykać projekt procesu, a nie zastępować jego logikę. Wymagania NIS2 trzeba przełożyć na odpowiedzialności, kryteria, zapisy i możliwe do zweryfikowania dowody, z uwzględnieniem właściwych krajowych przepisów wdrażających oraz zakresu, w jakim obejmują organizację. Branżowym przykładem takiego podejścia jest ISO 19443 — przepustka do łańcucha dostaw polskiego atomu, gdzie kwalifikowanie i nadzorowanie dostawców współtworzy zdolność organizacji do bezpiecznej realizacji wymagań.