Ocena cyberbezpieczeństwa dostawców ICT: od rozproszonych ankiet do jednej metody

Dlaczego ocena dostawców ICT trafiła na agendę zarządu

Trzy regulacje, jeden obowiązek. Każda z nich — innym językiem — mówi to samo: za bezpieczeństwo dostawcy odpowiadasz Ty, nie dostawca.

NIS2 (w Polsce: nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa) wymaga ujęcia bezpieczeństwa łańcucha dostaw w środkach zarządzania ryzykiem — wprost wskazuje na to art. 21 ust. 2 lit. d dyrektywy. Bezpieczeństwo dostawcy staje się elementem Twojego obowiązku, a nie jego wewnętrzną sprawą.

DORA (sektor finansowy) w artykułach 28–30 nakłada zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT, obowiązek prowadzenia rejestru informacji o umowach oraz obowiązkowe postanowienia umowne. Ocena dostawcy przestaje być dobrą praktyką — staje się wymogiem popartym rejestrem do okazania nadzorcy.

Ustawa o KSC rozszerza krąg podmiotów objętych obowiązkami i wzmacnia wymagania wobec relacji z dostawcami.

Wspólny efekt jest praktyczny: zarząd musi umieć wykazać, że ocenił dostawców według spójnego, powtarzalnego kryterium — i że tę ocenę potrafi uzasadnić przed audytorem. To poprzeczka, której zwykła ankieta nie przeskakuje.

Dlaczego ankiety nie wystarczają

Najczęstszy stan zastany w organizacjach to arkusz z setką pytań rozsyłany mailem. Problem nie leży w samych pytaniach, lecz w tym, czego taki arkusz nie daje.

Co znaczy ocena oparta na metodzie

Alternatywą dla rozproszonych ankiet jest jedna metodyka i zasada „odpowiedz raz — wykorzystuj wielokrotnie". W praktyce oznacza to cztery rzeczy:

• Spójny zestaw kryteriów powiązany z wymaganiami prawa i uznanymi normami (m.in. ISO/IEC 27001:2022 oraz ISO/IEC 27036 dotyczącą bezpieczeństwa w relacjach z dostawcami).
• Jednolita skala oceny dla każdego kryterium i wagi przypisane domenom bezpieczeństwa — tak, by waga pytania odpowiadała jego znaczeniu dla ryzyka.
• Wynik liczbowy osadzony w progach decyzyjnych (tiering ryzyka), dzięki czemu wynik jednego dostawcy jest porównywalny z wynikiem innego.
• Prezentacja zrozumiała dla zarządu — wynik jako podstawa decyzji, a nie surowy zrzut odpowiedzi dla zespołu technicznego.

Różnica jest taka, jak między stertą paragonów a sprawozdaniem finansowym: te same dane, ale dopiero metoda zamienia je w podstawę decyzji.