Безпека організації настільки ж міцна, як і найслабша ланка в її ланцюжку поставок. Поправка до Закону KSC (що імплементує директиву NIS2) покладає на ключові та важливі організації обов'язок управляти ризиками у відносинах з постачальниками продуктів та послуг ІКТ. Це означає, що юридична та операційна відповідальність за порушення ІТ-забезпечення не обмежується межами власної інфраструктури компанії, а поширюється на зовнішніх постачальників програмного забезпечення, хмарних технологій, інфраструктури та керованих послуг.
Чому ланцюг поставок опинився під пильною увагою регулятора?
Атаки на ланцюги поставок стали одним із основних векторів порушення безпеки цифрової інфраструктури. Згідно з новими правилами, організації, що підпадають під режим KSC, повинні враховувати конкретні вразливості кожного прямого постачальника та загальну якість своїх продуктів і практик кібербезпеки. Неперевірка постачальника розглядається наглядовим органом як невпровадження власних заходів безпеки.
Що потрібно змінити в контрактах B2B з постачальниками ІКТ?
Існуючі стандартні контракти B2B часто обмежують відповідальність постачальників ІТ-постачальників номінальними сумами та містять лише поверхневі декларації безпеки. Новий режим KSC вимагає запровадження сильних, юридично зобов'язаних договірних положень, зокрема:
- Право на аудит:Гарантія права замовника (та наглядових органів) проводити аудити безпеки в приміщеннях постачальника або перевіряти його ІТ-середовище.
- Суворі зобов'язання щодо звітності про інциденти: постачальник зобов'язаний негайно повідомляти про інциденти зі свого боку, які можуть вплинути на безперервність або безпеку наданих послуг (з урахуванням часових проміжків, що дозволяють замовнику виконати власне зобов'язання щодо звітності протягом 24 годин).
- Мінімальні технічні та організаційні стандарти: точне визначення вимог до шифрування даних, управління дозволами, багатофакторної автентифікації та проведення періодичних тестів на проникнення.
- Каскадні зобов'язання (субпідрядники): Наказ про встановлення аналогічних вимог щодо кібербезпеки для субпостачальників та субпідрядників, яких використовує головний підрядник.
Як ефективно проводити аудит ІКТ-підрядників?
Перевірка постачальників не може обмежуватися одноразовим збором декларацій. Згідно з рекомендаціями KSC, цей процес має мати форму циклічної оцінки ризиків, що складається з:
- Категоризація постачальників: Поділ підрядників на групи залежно від їхнього рівня доступу до критично важливих систем і даних організації.
- Перевірка сертифікатів та стандартів: перевірка наявності у постачальника визнаних ринкових сертифікатів (наприклад, ISO/IEC 27001, SOC 2) та забезпечення проведення детальних самооцінювальних опитувань.
- Операційні огляди: Регулярно переглядайте показники SLA та запитуйте результати незалежних тестів безпеки.
- Планування безперервності бізнесу: Проаналізуйте BCP вашого постачальника у разі катастрофи, атаки програм-вимагачів або раптового припинення обслуговування.
Впровадження нових правил нагляду за постачальниками ІКТ вимагає тісної співпраці між юридичним, закупівельним та ІТ-відділами. Час, що залишився до квітня 2027 року, кінцевого терміну повного впровадження системи управління ризиками кібербезпеки, слід використати для комплексного огляду портфеля контрактів B2B та впровадження аудиторських процедур, перш ніж ці проблеми будуть перевірені під час першої перевірки регулятора.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Закон чинний станом на 10 вересня 2026 року.
