Rizik povezan s trećim stranama prema GDPR-u, NIS2 i DORA-i

Isti dobavljač može stvoriti obveze u pogledu zaštite privatnosti, kibernetičke sigurnosti i operativne otpornosti. Pružatelj usluga obračuna plaća obrađuje osobne podatke; pružatelj upravljanih usluga ima privilegirani pristup; platforma u oblaku podupire poslovno ključne aplikacije. Ponekad jedan dobavljač čini sve troje.

Zajednički zapis o dobavljaču pomaže timovima koordinirati procjenu, pod uvjetom da svaka obveza ostane prepoznatljiva. Za CTO-a je praktičan izazov povezati ugovorne obveze s tehničkom stvarnošću: čemu dobavljač može pristupiti, kako se kvarovi šire, koje su kontrole dokazane i može li se organizacija oporaviti ili otići.

Utvrdite primjenjivost prije spajanja procjena

Ti se instrumenti preklapaju, ali se ne primjenjuju na svaku organizaciju ili dobavljača na isti način.

Članak 28. GDPR-a zahtijeva od voditelja obrade da koriste izvršitelje obrade koji pružaju dostatna jamstva. Sporazum iz članka 28. nije primjeren samo zato što dobavljač prima podatke: najprije utvrdite stvarnu ulogu u obradi.

Članci 20. do 23. Direktive NIS2 odnose se na nadzor uprave, mjere upravljanja rizicima i izvješćivanje o značajnim incidentima. NIS2 je direktiva koja se provodi kroz nacionalno pravo, pa opseg i postupci zahtijevaju provjere specifične za jurisdikciju.

DORA se primjenjuje od 17. siječnja 2025. Prvenstveno obuhvaća određene financijske subjekte; obični dobavljači IKT usluga mogu se suočiti s ugovornim zahtjevima klijenata, dok imenovani ključni pružatelji IKT usluga podliježu zasebnom režimu nadzora. Za obuhvaćene financijske subjekte DORA djeluje kao sektorski specifično pravo EU-a za relevantna područja Direktive NIS2. Ne udvostručujte automatski oba skupa kontrola.

Izgradite zapis oko ovisnosti

Počnite od usluge, a ne od upitnika za dobavljače. Jedan dobavljač može pružati više usluga s različitim podacima, pristupom i operativnom važnošću.

Kao praktičnu osnovu zabilježite:

• Uslugu, pravni subjekt dobavljača, poslovnog vlasnika, tehničkog vlasnika i osobe koje provjeravaju.
• Podržane funkcije, sustave, integracije i privilegirani pristup.
• Kategorije osobnih podataka, svrhe obrade, lokacije i podizvršitelje obrade.
• Zahtjeve dostupnosti, ciljeve oporavka i prihvatljiv poremećaj.
• Temeljne pružatelje, ugovorne ovisnosti i realne alternative.
• Primjenjive obveze, datume dokaza, neriješene nedostatke i odluke.

Utvrdite koje bi funkcije prestale raditi ili bi se pogoršale nakon kompromitacije ili prekida rada. Dobavljač koji pohranjuje malo osjetljivih podataka i dalje može kontrolirati autentifikaciju ili cjevovode za implementaciju. Obrnuto, usluga s niskim rizikom za dostupnost može izložiti vrlo osjetljive osobne podatke.

Te dimenzije držite odvojeno umjesto da ih sažmete u jednu neobjašnjenu ocjenu „visokog rizika”. Za financijske subjekte obuhvaćene DORA-om povežite taj operativni inventar s propisanim registrom informacija o ugovornim odnosima za IKT usluge; generički popis dobavljača nije nužno dovoljan.

Ponovno iskoristite dokaze, ali ne i zaključke naslijepo

Sigurnosno izvješće, mapa toka podataka ili test oporavka mogu podupirati nekoliko pregleda. Prije oslanjanja na njih provjerite njihov opseg usluge, izvještajno razdoblje, isključenja, iznimke i odgovornosti klijenta.

Primjerice, izvješće koje obuhvaća dobavljačevu infrastrukturu ne obuhvaća nužno pristup njegova osoblja podrške zapisima klijenata. Dokumentirana politika sigurnosnog kopiranja ne pokazuje da vraćanje ispunjava zahtjeve oporavka vaše aplikacije.

Vodite matricu koja povezuje dokaze s pitanjima:

Certifikat ISO ili izvješće SOC 2 podupiru jamstvo unutar svojeg opsega; nijedno ne dokazuje usklađenost s GDPR-om ili NIS2. Sačuvajte obrazloženje osobe koja provjerava, a ne samo učitani dokument. Ocjena sigurnosnog jamstva trebala bi biti ponovljiv tehnički pregled, a ne provjera značke.

Pretvorite zahtjeve u ugovore i kontrole

Prema članku 28. GDPR-a, uvjeti za izvršitelja obrade moraju obuhvatiti predmet, trajanje, prirodu i svrhu obrade, vrste podataka i kategorije ispitanika. Obuhvaćaju i zabilježene upute, povjerljivost, sigurnost, uvjete za podizvršitelje obrade, pomoć, brisanje ili vraćanje te obveze pružanja informacija i revizije. Međunarodni prijenosi zahtijevaju zasebnu procjenu prema poglavlju V.; sam smještaj u EU-u ne rješava pitanja pristupa ili daljnjeg prijenosa.

Članak 21. Direktive NIS2 uključuje sigurnost lanca opskrbe i razmatranje ranjivosti i kibersigurnosnih praksi izravnih dobavljača. Praktična ugovorna očekivanja mogu uključivati ograničenja pristupa, postupanje s ranjivostima, suradnju pri incidentima i pružanje dokaza. Prilagodite ih usluzi i nacionalnim zahtjevima umjesto da jedan univerzalni paket klauzula smatrate pravno dostatnim.

Članak 30. DORA-e propisuje ugovorne odredbe za IKT usluge, uz dodatne zahtjeve za usluge koje podupiru ključne ili važne funkcije. Pregledajte opise usluga, lokacije, zaštitu i povrat podataka, pomoć, raskid i relevantna prava nadzora. Te ključne ili važne funkcije zahtijevaju posebnu pozornost u pogledu razina usluge, izvješćivanja, mjera za izvanredne situacije, suradnje pri testiranju, prava na reviziju i rješenja za prijelaz.

Zatim provjerite provedbu. Ako ugovor obećava ograničen administrativni pristup, pribavite dokaze o razdvajanju uloga, autentifikaciji, odobravanju i bilježenju. Ako obećava brisanje, utvrdite što se događa sa sigurnosnim kopijama i zadržanim zapisima. Pravne i tehničke nedostatke dodijelite odgovarajućim osobama koje provjeravaju.

Osmislite predaje pri incidentima prije incidenta

Dobavljačeva politika odgovora na incidente može podupirati sigurnosnu procjenu, a da obveze obavješćivanja ostanu neriješene. Odredite kanale za kontakt, obuhvat eskalacije, početne informacije, očekivanja u pogledu ažuriranja i odgovornost za očuvanje dokaza.

Prema člancima 33. i 34. GDPR-a, izvršitelj obrade obavještava voditelja obrade bez nepotrebnog odgađanja. Voditelj obrade procjenjuje izvješćivanje nadzornog tijela bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca. Visok rizik može zahtijevati obavješćivanje pojedinaca, podložno iznimkama. Zabilježite obrazloženje kada izvješćivanje nije potrebno.

Faze izvješćivanja o značajnim incidentima prema Direktivi NIS2 na razini EU-a uključuju rano upozorenje u roku od 24 sata, obavijest u roku od 72 sata i u pravilu završno izvješće u roku od mjesec dana od obavijesti; provjerite nacionalna i sektorska pravila. DORA ima vlastiti okvir izvješćivanja o velikim incidentima povezanima s IKT-om. Ne zamjenjujte te procjene jednom oznakom „povreda” kod dobavljača.

Kao praktičnu preporuku, uvježbajte incident kod dobavljača s nepotpunim informacijama. Testirajte mogu li timovi utvrditi pogođene usluge, izloženost, operativni učinak i odluke o izvješćivanju, a da ne čekaju završno izvješće o temeljnom uzroku.

Primjer iz prakse: jedna usluga, tri puta pregleda

Pretpostavimo, radi ilustracije, da obuhvaćeni financijski subjekt koristi hostiranu platformu za korisničku podršku koja obrađuje osobne podatke i podupire funkciju koju je prema DORA-i klasificirao kao ključnu ili važnu.

Dobavljač dostavlja izvješće o jamstvu, politiku za incidente i sažetak testa oporavka. Sigurnost utvrđuje da su kontrole administrativnog pristupa dokazane, ali da test oporavka isključuje integraciju klijenta.

Zaštita privatnosti zasebno utvrđuje nejasan postupak promjene podizvršitelja obrade i neriješena rješenja za prijenos pri udaljenom pristupu. Pregled prema DORA-i utvrđuje da pomoć pri prijelazu i relevantne odredbe o reviziji zahtijevaju pozornost.

Plan radnji koji iz toga proizlazi je konkretan:

• Tehnički vlasnik testira oporavak integracije i dokumentira rezultat.
• Osoba koja provjerava zaštitu privatnosti rješava pitanja podizvršitelja obrade i prijenosa.
• Pravna služba i nabava rješavaju ugovorne nedostatke.
• Odgovorni vlasnik odlučuje je li privremena uporaba prihvatljiva, uz uvjete i datum preispitivanja.

Dokazi se ponovno koriste, ali nijedan od tri zaključka ne izvodi se iz drugog. Uspješan sigurnosni pregled ne zatvara nedostatke u pogledu zaštite privatnosti ili otpornosti.

Pratite promjene, koncentraciju i izlazak koji se može provesti

Učestalost pregleda odredite prema ovisnosti i riziku. Dodatni pregled pokrenite nakon incidenata, velikih promjena usluge, novih podizvršitelja obrade, promjena lokacije podataka, promjena vlasništva ili obnove ugovora.

Pogledajte iza naziva dobavljača: nekoliko usluga može ovisiti o istoj regiji u oblaku, pružatelju identiteta ili podizvođaču. Procijenite povezane poremećaje i dijeli li predložena alternativa tu ovisnost. Članak 29. DORA-e izričito se odnosi na procjenu rizika koncentracije IKT-a.

Vodite razmjeran plan izlaska koji obuhvaća izvoz podataka, migraciju, kontinuitet, opoziv pristupa i dokaze o brisanju. Testirajte upotrebljivost izvoza i utvrdite tko može upravljati zamjenskim rješenjem. Pravo na raskid korisnije je kada ga organizacija može provesti.

Posljedice se također razlikuju. GDPR ima razrede sankcija ovisno o vrsti povrede; NIS2 zahtijeva nacionalna rješenja o sankcijama s različitim gornjim granicama za ključne i važne subjekte. Sankcije prema DORA-i za financijske subjekte ovise o primjenjivim rješenjima, dok su sankcije u okviru nadzora ključnih pružatelja zasebne. Ne modelirajte izloženost pomoću jedne navodno univerzalne novčane kazne.

Počnite s jednom ovisnošću koja ima posljedice

Odaberite jednog dobavljača koji podupire važnu funkciju. Uskladite njegov inventar usluga, ugovore, dokaze, otvorene rizike i pretpostavke o izlasku. Završite s imenovanim vlasnicima i zasebnim, datiranim zaključcima za svaku primjenjivu obvezu.

U Secaniju timovi mogu modelirati uslugu i vanjskog pružatelja, povezati zahtjeve i kontrole s dokazima te pratiti nedostatke kao zadatke s vlasnicima. Odluke koje je pregledao čovjek, poveznice na izvore, komentari i vremenske oznake čuvaju obrazloženje. To podupire zajednički kontekst o dobavljačima, a da se pritom ne skrivaju zasebne prosudbe o zaštiti privatnosti, sigurnosti i otpornosti.