Riziko tretích strán podľa GDPR, NIS2 a DORA

Ten istý dodávateľ môže vyvolať povinnosti v oblasti ochrany súkromia, kybernetickej bezpečnosti aj prevádzkovej odolnosti. Poskytovateľ mzdových služieb spracúva osobné údaje; poskytovateľ riadených služieb má privilegovaný prístup; cloudová platforma podporuje kritické podnikové aplikácie. Niekedy jeden dodávateľ robí všetky tri veci.

Spoločný záznam o dodávateľovi pomáha tímom koordinovať posúdenie za predpokladu, že každá povinnosť zostane identifikovateľná. Praktickou výzvou pre CTO je prepojiť zmluvné záväzky s technickou realitou: k čomu má dodávateľ prístup, ako sa šíria zlyhania, ktoré opatrenia sú podložené dôkazmi a či sa organizácia dokáže zotaviť alebo odísť.

Pred spájaním posúdení si ujasnite uplatniteľnosť

Tieto predpisy sa prekrývajú, no nevzťahujú sa na každú organizáciu či dodávateľa rovnako.

Článok 28 všeobecného nariadenia o ochrane údajov (GDPR) vyžaduje, aby prevádzkovatelia využívali sprostredkovateľov poskytujúcich dostatočné záruky. Zmluva podľa článku 28 nie je vhodná len preto, že dodávateľ dostáva údaje: najprv určte skutočnú rolu pri spracúvaní.

Články 20 – 23 smernice NIS2 upravujú dohľad zo strany vedenia, opatrenia na riadenie rizík a hlásenie významných incidentov. NIS2 je smernica transponovaná prostredníctvom vnútroštátneho práva, preto si rozsah a postupy vyžadujú overenie podľa konkrétnej jurisdikcie.

Nariadenie DORA sa uplatňuje od 17. januára 2025. Vzťahuje sa predovšetkým na určené finančné subjekty; bežní dodávatelia IKT môžu čeliť zmluvným požiadavkám zákazníkov, zatiaľ čo pre určených kritických poskytovateľov IKT služieb platí samostatný režim dohľadu. Pre dotknuté finančné subjekty funguje DORA v relevantných oblastiach NIS2 ako odvetvovo špecifický právny predpis EÚ. Nezdvojujte automaticky oba súbory opatrení.

Postavte záznam okolo závislosti

Začnite od služby, nie od dotazníka pre dodávateľa. Jeden dodávateľ môže poskytovať viacero služieb s rozdielnymi údajmi, prístupmi a prevádzkovým významom.

Ako praktický základ zaznamenajte:

• Službu, právnickú osobu dodávateľa, biznisového vlastníka, technického vlastníka a posudzovateľov.
• Podporované funkcie, systémy, integrácie a privilegované prístupy.
• Kategórie osobných údajov, účely spracúvania, lokality a ďalších sprostredkovateľov.
• Požiadavky na dostupnosť, ciele obnovy a tolerovateľné narušenie.
• Podkladových poskytovateľov, zmluvné závislosti a reálne alternatívy.
• Uplatniteľné povinnosti, dátumy dôkazov, nevyriešené medzery a rozhodnutia.

Identifikujte, ktoré funkcie by po kompromitácii alebo výpadku zlyhali či sa zhoršili. Dodávateľ, ktorý uchováva málo citlivých údajov, môže aj tak kontrolovať autentifikáciu alebo nasadzovacie pipeliny. Naopak, služba s nízkym rizikom pre dostupnosť môže sprístupňovať vysoko citlivé osobné údaje.

Tieto dimenzie držte oddelene, namiesto toho, aby ste ich zlúčili do jedného nevysvetleného skóre „vysoké riziko“. V prípade finančných subjektov, na ktoré sa vzťahuje DORA, prepojte tento prevádzkový inventár s povinným registrom informácií o zmluvných dojednaniach o IKT službách; všeobecný zoznam dodávateľov nemusí nevyhnutne postačovať.

Opakovane využívajte dôkazy, nie slepo závery

Bezpečnostná správa, mapa dátových tokov alebo test obnovy môžu podporiť viacero posúdení. Skôr než sa na ne spoľahnete, overte ich rozsah služieb, obdobie vykazovania, vylúčenia, výnimky a zodpovednosti zákazníka.

Napríklad správa pokrývajúca infraštruktúru dodávateľa nemusí nevyhnutne pokrývať prístup jeho podporného personálu k záznamom zákazníkov. Zdokumentovaná politika zálohovania nepreukazuje, že obnova spĺňa požiadavky na obnovu vašej aplikácie.

Udržiavajte maticu dôkazov a otázok:

Certifikát ISO alebo správa SOC 2 podporujú uistenie v rámci svojho rozsahu; ani jedno nepreukazuje súlad s GDPR či NIS2. Uchovajte zdôvodnenie posudzovateľa, nie len nahraný dokument. Hodnotenie bezpečnostného uistenia by malo byť opakovateľným technickým posúdením, nie kontrolou odznakov.

Pretavte požiadavky do zmlúv a opatrení

Podľa článku 28 GDPR musia podmienky sprostredkovateľa upravovať predmet spracúvania, trvanie, povahu a účel, typy údajov a kategórie dotknutých osôb. Pokrývajú aj zdokumentované pokyny, dôvernosť, bezpečnosť, podmienky pre ďalších sprostredkovateľov, súčinnosť, vymazanie alebo vrátenie a informačné a auditné povinnosti. Medzinárodné prenosy si vyžadujú samostatné posúdenie podľa kapitoly V; samotný hosting v EÚ nerieši otázky prístupu ani následných prenosov.

Článok 21 NIS2 zahŕňa bezpečnosť dodávateľského reťazca a zohľadnenie zraniteľností a postupov kybernetickej bezpečnosti priamych dodávateľov. Praktické zmluvné očakávania môžu zahŕňať obmedzenia prístupu, riešenie zraniteľností, spoluprácu pri incidentoch a poskytovanie dôkazov. Prispôsobte ich službe a vnútroštátnym požiadavkám, namiesto toho, aby ste jeden univerzálny balík klauzúl považovali za právne dostatočný.

Článok 30 DORA stanovuje zmluvné ustanovenia pre IKT služby s dodatočnými požiadavkami na služby podporujúce kritické alebo dôležité funkcie. Preskúmajte opisy služieb, lokality, ochranu a obnovu údajov, súčinnosť, ukončenie a relevantné práva dohľadu. Takéto kritické alebo dôležité funkcie si vyžadujú osobitnú pozornosť k úrovniam služieb, vykazovaniu, núdzovým opatreniam, spolupráci pri testovaní, auditným právam a prechodným dojednaniam.

Potom overte implementáciu. Ak zmluva sľubuje obmedzený administrátorský prístup, získajte dôkazy o oddelení rolí, autentifikácii, schvaľovaní a logovaní. Ak sľubuje vymazanie, zistite, čo sa deje so zálohami a uchovávanými záznamami. Právne a technické medzery priraďte príslušným posudzovateľom.

Navrhnite odovzdávky pri incidentoch ešte pred incidentom

Politika reakcie na incidenty dodávateľa môže podporiť bezpečnostné posúdenie, a pritom ponechať oznamovacie povinnosti nevyriešené. Určte kontaktné kanály, pokrytie eskalácií, úvodné informácie, očakávania ohľadom aktualizácií a zodpovednosť za zachovanie dôkazov.

Podľa článkov 33 – 34 GDPR sprostredkovateľ oznamuje porušenie prevádzkovateľovi bez zbytočného odkladu. Prevádzkovateľ posudzuje oznámenie dozornému orgánu bez zbytočného odkladu, a ak je to možné, do 72 hodín od zistenia, pokiaľ nie je nepravdepodobné, že porušenie povedie k riziku pre práva a slobody fyzických osôb. Vysoké riziko si môže vyžadovať oznámenie dotknutým osobám, s výhradou výnimiek. Ak oznámenie nie je potrebné, zaznamenajte zdôvodnenie.

Fázy hlásenia významných incidentov podľa NIS2 na úrovni EÚ zahŕňajú včasné varovanie do 24 hodín, oznámenie do 72 hodín a spravidla záverečnú správu do jedného mesiaca od oznámenia; overte si vnútroštátne a odvetvové pravidlá. DORA má vlastný rámec hlásenia závažných incidentov súvisiacich s IKT. Tieto posúdenia nenahrádzajte jedným príznakom „porušenie“ pri dodávateľovi.

Ako praktické odporúčanie si precvičte incident u dodávateľa s neúplnými informáciami. Otestujte, či tímy dokážu určiť dotknuté služby, expozíciu, prevádzkový dopad a rozhodnutia o hlásení bez čakania na záverečnú správu o koreňovej príčine.

Praktický príklad: jedna služba, tri cesty posúdenia

Predpokladajme pre ilustráciu, že dotknutý finančný subjekt využíva hostovanú platformu zákazníckej podpory, ktorá spracúva osobné údaje a podporuje funkciu, ktorú podľa DORA klasifikoval ako kritickú alebo dôležitú.

Dodávateľ poskytne správu o uistení, politiku pre incidenty a zhrnutie testu obnovy. Bezpečnostný tím zistí, že opatrenia pre administrátorský prístup sú podložené dôkazmi, no test obnovy nezahŕňa integráciu zákazníka.

Tím ochrany súkromia samostatne identifikuje nejasný proces zmien ďalších sprostredkovateľov a nevyriešené dojednania o prenosoch pri vzdialenom prístupe. Posúdenie podľa DORA zistí, že pozornosť si vyžaduje súčinnosť pri prechode a relevantné auditné ustanovenia.

Výsledný akčný plán je konkrétny:

• Technický vlastník otestuje obnovu integrácie a zdokumentuje výsledok.
• Posudzovateľ ochrany súkromia vyrieši otázky ďalších sprostredkovateľov a prenosov.
• Právne oddelenie a nákup riešia zmluvné medzery.
• Zodpovedný vlastník rozhodne, či je dočasné používanie prijateľné, s podmienkami a dátumom revízie.

Dôkazy sa využívajú opakovane, no žiadny z troch záverov sa neodvodzuje od iného. Úspešné bezpečnostné posúdenie neuzatvára medzery v ochrane súkromia ani v odolnosti.

Sledujte zmeny, koncentráciu a realizovateľný odchod

Frekvenciu revízií nastavte podľa závislosti a rizika. Dodatočnú revíziu spustite po incidentoch, významných zmenách služby, nových ďalších sprostredkovateľoch, zmenách lokality údajov, zmenách vlastníctva alebo pri obnove zmluvy.

Pozrite sa pod mená dodávateľov: viacero služieb môže závisieť od toho istého cloudového regiónu, poskytovateľa identít alebo subdodávateľa. Posúďte korelované narušenie a to, či navrhovaná alternatíva nezdieľa tú istú závislosť. Článok 29 DORA výslovne upravuje posúdenie koncentračného rizika IKT.

Udržiavajte primeraný plán odchodu, ktorý pokrýva export údajov, migráciu, kontinuitu, odobratie prístupov a dôkazy o vymazaní. Otestujte použiteľnosť exportu a určte, kto dokáže prevádzkovať náhradné riešenie. Právo na ukončenie je užitočnejšie, keď ho organizácia dokáže aj realizovať.

Odlišujú sa aj dôsledky. GDPR má úrovne sankcií podľa konkrétneho porušenia; NIS2 vyžaduje vnútroštátne sankčné režimy s rozdielnymi stropmi pre základné a dôležité subjekty. Sankcie podľa DORA pre finančné subjekty závisia od uplatniteľných dojednaní, zatiaľ čo sankcie v rámci dohľadu nad kritickými poskytovateľmi sú samostatné. Expozíciu nemodelujte pomocou jednej údajne univerzálnej pokuty.

Začnite jednou závažnou závislosťou

Vyberte jedného dodávateľa, ktorý podporuje dôležitú funkciu. Zosúlaďte jeho inventár služieb, zmluvy, dôkazy, otvorené riziká a predpoklady pre odchod. Skončite s menovite určenými vlastníkmi a samostatnými, datovanými závermi pre každú uplatniteľnú povinnosť.

V Secani môžu tímy modelovať službu a externého poskytovateľa, prepájať požiadavky a opatrenia s dôkazmi a sledovať medzery ako úlohy s vlastníkmi. Rozhodnutia preskúmané ľuďmi, odkazy na zdroje, komentáre a časové pečiatky uchovávajú zdôvodnenie. To podporuje spoločný kontext o dodávateľoch bez toho, aby sa zakrývali odlišné úsudky o ochrane súkromia, bezpečnosti a odolnosti.