Безопасность организации зависит от самого слабого звена в ее цепочке поставок. Поправка к Закону о KSC (реализующая директиву NIS2) возлагает на ключевые и важные организации обязанность управлять рисками во взаимоотношениях с поставщиками ИКТ-продуктов и услуг. Это означает, что юридическая и операционная ответственность за нарушения в сфере ИТ не ограничивается собственной инфраструктурой компании, а распространяется на внешних поставщиков программного обеспечения, облачных услуг, инфраструктуры и управляемых сервисов.
Почему цепочка поставок оказалась под пристальным вниманием регулирующих органов?
Атаки на цепочки поставок стали одним из основных способов нарушения безопасности цифровой инфраструктуры. В соответствии с новыми правилами, организации, подпадающие под действие режима KSC, должны учитывать специфические уязвимости каждого прямого поставщика, а также общее качество их продуктов и методов обеспечения кибербезопасности. Неспособность проверить поставщика рассматривается надзорным органом как равносильная неспособности внедрить собственные меры безопасности.
Что необходимо изменить в B2B-контрактах с поставщиками ИКТ?
Существующие стандартные B2B-контракты часто ограничивают ответственность поставщиков ИТ-услуг номинальными суммами и содержат лишь поверхностные заявления о безопасности. Новый режим KSC требует введения надежных, подлежащих исполнению договорных положений, включая, в частности:
- Право на аудит:Гарантия права заказчика (и надзорных органов) проводить аудиты безопасности на территории поставщика или проверять его ИТ-среду.
- Строгие обязательства по отчетности об инцидентах: Поставщик обязан незамедлительно уведомлять о инцидентах на своей стороне, которые могут повлиять на непрерывность или безопасность предоставляемой услуги (с учетом временных рамок, позволяющих заказчику выполнить свои собственные обязательства по отчетности в течение 24 часов).
- Минимальные технические и организационные стандарты: Точное определение требований к шифрованию данных, управлению правами доступа, многофакторной аутентификации и проведению периодических тестов на проникновение.
- Каскадные обязательства (суб-субподрядчики): распоряжение о введении аналогичных требований кибербезопасности в отношении субпоставщиков и субподрядчиков, используемых генеральным подрядчиком.
Как эффективно проводить аудит ИТ-подрядчиков?
Проверка поставщиков не может ограничиваться однократным сбором деклараций. Согласно рекомендациям KSC, этот процесс должен принимать форму циклической оценки рисков, включающей в себя:
- Категоризация поставщиков: разделение подрядчиков на группы в зависимости от уровня их доступа к критически важным системам и данным организации.
- Проверка сертификатов и стандартов: проверка наличия у поставщика признанных рыночных сертификатов (например, ISO/IEC 27001, SOC 2) и проведение подробных самооценков.
- Оперативные проверки: Регулярно анализируйте показатели SLA и запрашивайте результаты независимых тестов безопасности.
- Планирование обеспечения непрерывности бизнеса: Проанализируйте планы обеспечения непрерывности бизнеса вашего провайдера на случай катастрофы, атаки программ-вымогателей или внезапного прекращения предоставления услуг.
Внедрение новых правил надзора за поставщиками ИКТ требует тесного сотрудничества между юридическим, закупочным и ИТ-отделами. Оставшееся до апреля 2027 года время, крайнего срока для полного внедрения системы управления рисками кибербезопасности, следует использовать для всестороннего анализа портфеля контрактов B2B и внедрения аудиторских процедур до того, как эти вопросы будут выявлены в ходе первой проверки регулирующего органа.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Закон действует по состоянию на 10 сентября 2026 года.
