Tveganja tretjih oseb po GDPR, NIS2 in DORA

Isti dobavitelj lahko ustvari obveznosti glede zasebnosti, kibernetske varnosti in operativne odpornosti. Ponudnik obračuna plač obdeluje osebne podatke; ponudnik upravljanih storitev ima privilegirani dostop; platforma v oblaku podpira poslovno ključne aplikacije. Včasih en dobavitelj počne vse troje.

Skupen zapis o dobavitelju ekipam pomaga uskladiti oceno, če ostane vsaka obveznost prepoznavna. Za tehničnega direktorja (CTO) je praktični izziv povezati pogodbene zaveze s tehnično resničnostjo: do česa lahko dobavitelj dostopa, kako se odpovedi širijo, katere kontrole so podprte z dokazi in ali se lahko organizacija obnovi ali izstopi.

Pred združevanjem ocen ugotovite uporabo

Ti instrumenti se prekrivajo, vendar ne veljajo za vsako organizacijo ali dobavitelja na enak način.

28. člen Splošne uredbe o varstvu podatkov (GDPR) od upravljavcev zahteva, da uporabljajo obdelovalce, ki zagotavljajo zadostna jamstva. Pogodba po 28. členu ni primerna zgolj zato, ker dobavitelj prejema podatke: najprej ugotovite dejansko vlogo pri obdelavi.

Členi 20–23 Direktive NIS 2 obravnavajo nadzor vodstva, ukrepe za obvladovanje tveganj in poročanje o pomembnih incidentih. NIS2 je direktiva, ki se izvaja prek nacionalnega prava, zato obseg in postopki zahtevajo preverjanje za posamezno jurisdikcijo.

Uredba DORA se uporablja od 17. januarja 2025. Primarno zajema določene finančne subjekte; za običajne dobavitelje IKT lahko veljajo pogodbene zahteve strank, za imenovane ključne ponudnike IKT pa velja ločen režim nadzora. Za zajete finančne subjekte DORA na zadevnih področjih NIS2 deluje kot sektorsko specifično pravo EU. Obeh naborov kontrol ne podvajajte samodejno.

Zapis zgradite okoli odvisnosti

Začnite s storitvijo, ne z vprašalnikom za dobavitelja. En dobavitelj lahko zagotavlja več storitev z različnimi podatki, dostopi in operativno pomembnostjo.

Kot praktično izhodišče zabeležite:

• Storitev, pravno osebo dobavitelja, poslovnega lastnika, tehničnega lastnika in pregledovalce.
• Podprte funkcije, sisteme, integracije in privilegirani dostop.
• Kategorije osebnih podatkov, namene obdelave, lokacije in podobdelovalce.
• Zahteve glede razpoložljivosti, cilje obnovitve in sprejemljive motnje.
• Osnovne ponudnike, pogodbene odvisnosti in realne alternative.
• Veljavne obveznosti, datume dokazov, nerazrešene vrzeli in odločitve.

Ugotovite, katere funkcije bi po kompromitiranju ali izpadu odpovedale ali delovale slabše. Dobavitelj, ki shranjuje malo občutljivih podatkov, lahko še vedno nadzoruje avtentikacijo ali cevovode za namestitev. Nasprotno lahko storitev z nizkim tveganjem za razpoložljivost razkriva zelo občutljive osebne podatke.

Te dimenzije ohranite ločene, namesto da jih strnete v eno nepojasnjeno oceno »visoko tveganje«. Za finančne subjekte, zajete v DORA, ta operativni popis povežite z zahtevanim registrom informacij o pogodbenih ureditvah na področju IKT; splošen seznam ponudnikov ne zadošča nujno.

Dokaze uporabite večkrat, sklepov pa ne prevzemajte slepo

Varnostno poročilo, zemljevid podatkovnih tokov ali test obnovitve lahko podpira več pregledov. Preden se nanje zanesete, preverite obseg storitve, obdobje poročanja, izključitve, izjeme in odgovornosti stranke.

Poročilo, ki zajema infrastrukturo dobavitelja, na primer ne zajema nujno dostopa njegovega podpornega osebja do zapisov strank. Dokumentirana politika varnostnega kopiranja ne kaže, da obnovitev izpolnjuje zahteve vaše aplikacije glede obnovitve.

Vzdržujte matriko dokazov in vprašanj:

Certifikat ISO ali poročilo SOC 2 podpira zagotovila v svojem obsegu; nobeno ne dokazuje skladnosti z GDPR ali NIS2. Ohranite utemeljitev pregledovalca, ne le naloženega dokumenta. Vrednotenje varnostnih zagotovil naj bo ponovljiv tehnični pregled, ne preverjanje značk.

Zahteve prevedite v pogodbe in kontrole

Po 28. členu GDPR morajo pogoji za obdelovalca obravnavati predmet, trajanje, naravo in namen obdelave, vrste podatkov in kategorije posameznikov. Zajemajo tudi dokumentirana navodila, zaupnost, varnost, pogoje za podobdelovalce, pomoč, izbris ali vrnitev ter obveznosti glede informacij in revizij. Mednarodni prenosi zahtevajo ločeno oceno po poglavju V; samo gostovanje v EU ne razreši vprašanj dostopa ali nadaljnjih prenosov.

21. člen NIS2 vključuje varnost dobavne verige in upoštevanje ranljivosti in praks kibernetske varnosti neposrednih dobaviteljev. Praktična pogodbena pričakovanja lahko vključujejo omejitve dostopa, obravnavo ranljivosti, sodelovanje ob incidentih in zagotavljanje dokazov. Prilagodite jih storitvi in nacionalnim zahtevam, namesto da en splošen paket določil obravnavate kot pravno zadosten.

30. člen DORA določa pogodbene določbe za IKT, z dodatnimi zahtevami za storitve, ki podpirajo ključne ali pomembne funkcije. Preglejte opise storitev, lokacije, varstvo in obnovitev podatkov, pomoč, prenehanje in ustrezne pravice nadzora. Te ključne ali pomembne funkcije zahtevajo posebno pozornost glede ravni storitev, poročanja, ukrepov za izredne razmere, sodelovanja pri testiranju, pravic do revizije in ureditev za prehod.

Nato preverite izvedbo. Če pogodba obljublja omejen administrativni dostop, pridobite dokaze o ločevanju vlog, avtentikaciji, odobritvi in beleženju. Če obljublja izbris, ugotovite, kaj se zgodi z varnostnimi kopijami in hranjenimi zapisi. Pravne in tehnične vrzeli dodelite ustreznim pregledovalcem.

Predaje ob incidentih zasnujte pred incidentom

Politika dobavitelja za odzivanje na incidente lahko podpre varnostno oceno, obveznosti obveščanja pa pusti nerazrešene. Opredelite kanale za stik, pokritost eskalacije, začetne informacije, pričakovanja glede posodobitev in odgovornost za ohranjanje dokazov.

Po členih 33–34 GDPR obdelovalec upravljavca obvesti brez nepotrebnega odlašanja. Upravljavec oceni uradno obvestilo nadzornemu organu brez nepotrebnega odlašanja in, kadar je izvedljivo, v 72 urah po seznanitvi, razen če ni verjetno, da bi kršitev ogrozila pravice in svoboščine posameznikov. Veliko tveganje lahko zahteva sporočilo posameznikom, ob upoštevanju izjem. Kadar obvestilo ni potrebno, zabeležite utemeljitev.

Faze poročanja EU o pomembnih incidentih po NIS2 vključujejo zgodnje opozorilo v 24 urah, obvestilo v 72 urah in praviloma končno poročilo v enem mesecu po obvestilu; preverite nacionalna in sektorska pravila. DORA ima lasten okvir poročanja o večjih incidentih, povezanih z IKT. Teh ocen ne nadomestite z eno samo oznako »kršitev« pri dobavitelju.

Praktično priporočilo: vadite incident pri dobavitelju z nepopolnimi informacijami. Preizkusite, ali lahko ekipe ugotovijo prizadete storitve, izpostavljenost, operativni vpliv in odločitve o poročanju, ne da bi čakale na končno poročilo o temeljnem vzroku.

Praktični primer: ena storitev, tri poti pregleda

Ponazoritveno predpostavimo, da zajeti finančni subjekt uporablja gostovano platformo za podporo strankam, ki obdeluje osebne podatke in podpira funkcijo, ki jo je po DORA razvrstil kot ključno ali pomembno.

Dobavitelj predloži poročilo o zagotovilih, politiko za incidente in povzetek testa obnovitve. Varnost ugotovi, da so kontrole administrativnega dostopa podprte z dokazi, test obnovitve pa ne zajema integracije stranke.

Zasebnost ločeno ugotovi nejasen postopek spreminjanja podobdelovalcev in nerazrešene ureditve prenosov pri oddaljenem dostopu. Pregled po DORA ugotovi, da pomoč pri prehodu in ustrezne revizijske določbe zahtevajo pozornost.

Nastali akcijski načrt je konkreten:

• Tehnični lastnik preizkusi obnovitev integracije in dokumentira rezultat.
• Pregledovalec za zasebnost razreši vprašanja podobdelovalcev in prenosov.
• Pravna služba in nabava obravnavata pogodbene vrzeli.
• Odgovorni lastnik odloči, ali je začasna uporaba sprejemljiva, s pogoji in datumom pregleda.

Dokazi se uporabijo večkrat, vendar noben od treh sklepov ni izpeljan iz drugega. Uspešen varnostni pregled ne zapre vrzeli glede zasebnosti ali odpornosti.

Spremljajte spremembe, koncentracijo in izvedljiv izstop

Pogostost pregledov določite glede na odvisnost in tveganje. Dodaten pregled sprožite po incidentih, večjih spremembah storitve, novih podobdelovalcih, spremembah lokacije podatkov, spremembah lastništva ali podaljšanju pogodbe.

Poglejte pod imena dobaviteljev: več storitev je lahko odvisnih od iste regije v oblaku, ponudnika identitet ali podizvajalca. Ocenite povezane motnje in ali ima predlagana alternativa isto odvisnost. 29. člen DORA izrecno obravnava oceno tveganja koncentracije na področju IKT.

Vzdržujte sorazmeren načrt izstopa, ki zajema izvoz podatkov, migracijo, neprekinjenost, preklic dostopa in dokaze o izbrisu. Preizkusite uporabnost izvoza in ugotovite, kdo lahko upravlja nadomestno rešitev. Pravica do odpovedi je koristnejša, kadar jo organizacija lahko uresniči.

Tudi posledice se razlikujejo. GDPR ima ravni kazni glede na vrsto kršitve; NIS2 zahteva nacionalne ureditve kazni z različnimi zgornjimi mejami za bistvene in pomembne subjekte. Sankcije DORA za finančne subjekte so odvisne od veljavnih ureditev, kazni v okviru nadzora ključnih ponudnikov pa so ločene. Izpostavljenosti ne modelirajte z eno domnevno splošno globo.

Začnite z eno pomembno odvisnostjo

Izberite enega dobavitelja, ki podpira pomembno funkcijo. Uskladite njegov popis storitev, pogodbe, dokaze, odprta tveganja in predpostavke o izstopu. Končajte z imenovanimi lastniki in ločenimi, datiranimi sklepi za vsako veljavno obveznost.

V Secani lahko ekipe modelirajo storitev in zunanjega ponudnika, zahteve in kontrole povežejo z dokazi ter vrzeli spremljajo kot naloge z lastniki. Odločitve s človeškim pregledom, povezave do virov, komentarji in časovni žigi ohranjajo utemeljitev. To podpira skupen kontekst o dobaviteljih, ne da bi skrilo ločene presoje glede zasebnosti, varnosti in odpornosti.