NIS2 и доставчиците: съгласуване на договорите, сигурността и отговорностите на управителните органи

Подготвено от адвокатска кантора De Amicis & Petrova · Актуализирано на 6 ноември 2026 г. · Обща информация

Щит свързва сгради и документи — илюстрация на киберсигурността по веригата на доставки. — Оригинална илюстрация, създадена с изкуствен интелект.

Първо се определя статутът на предприятието

Уредбата NIS2 изисква съгласуване на киберсигурността, организацията и договорните отношения. В Италия основният акт е Законодателен декрет № 138/2024, който транспонира Директива № 2022/2555. Преди промяна на договорите трябва да се установи положението на предприятието: сектор, размер, действителни дейности, евентуални специални критерии и съобщения, получени от Националната агенция за киберсигурност.

Да бъдеш доставчик на субект по NIS не означава автоматично да си обвързан от всички негови публичноправни задължения. Клиентът обаче може да изисква мерки и информация за управлението на риска по собствената си верига на доставки. Затова трябва да се разграничат пряко приложимите към предприятието задължения от договорно поетите ангажименти, като за всеки се проверят съдържанието, адресатът и началният момент на действие.

Сигурността засяга и управлението

Член 23 от декрета възлага конкретни задачи на административните и ръководните органи на съществените и важните субекти: одобряване на начина за прилагане на мерките, надзор, обучение и информираност за инцидентите. Възлагането на инфраструктурата или техническата поддръжка на външни лица не изчерпва тази роля.

Полезната организация определя кой предлага мерките, кой взема решенията, кой следи напредъка и каква информация достига до управителните органи. Протоколите, плановете за действие и отчетите следва да описват действителни решения и проверки. Самото събиране на сертификати или декларации от доставчика може да не обяснява как се управляват рисковете, относими към услугите на предприятието.

Оценка на доставчика и конкретната услуга

Член 24 включва сигурността на веригата на доставки сред мерките за управление на риска. Той изисква да се отчитат, наред с други обстоятелства, специфичните уязвимости на преките доставчици и качеството на продуктите и практиките за сигурност. Оценката трябва да е пропорционална на изложеността на риск и възможните последици.

При подготовката на договора е полезно да се опише кои системи и данни са засегнати, какъв достъп се предоставя и доколко прекъсването би повлияло на дейността. Услуга за съхранение, поддръжка с отдалечен достъп и оперативен софтуер невинаги носят еднакъв риск. От този анализ следват изискванията, проверките и приоритетите, които трябва да бъдат съгласувани между техническото звено, снабдяването, ръководството и правните консултанти.

Превръщане на изискванията в проверими ангажименти

Клауза, която общо изисква спазване на NIS2, може да остави оперативните въпроси нерешени. За предпочитане е да се уточнят ролите, нивата на услугата, актуализациите за сигурност, управлението на достъпа, запазването на доказателства и начинът, по който клиентът проверява изпълнението. Изискванията трябва да съответстват на закупената услуга и действително възложените отговорности.

Договорът следва да урежда и подизпълнението, непрекъсваемостта на дейността, възстановяването и прекратяването на отношенията. Трябва да е ясно кой връща данните и документите, в какви формати, в какви срокове и как се отменя достъпът. Добрите практики на ENISA подчертават значението на управлението на доставчиците през цялото времетраене на отношенията: контролът не приключва с първоначалния въпросник.

Инциденти: координиране на съобщенията и решенията

При инцидент клиентът трябва да получава своевременна и използваема информация. Договорът може да определя лице за контакт, алтернативни канали, минималното съдържание на първото уведомление и последващите актуализации. Уговорените с доставчика срокове трябва да позволяват на задължения субект да изпълни собствените си задължения: не е достатъчно да се препише законов срок, без да се отчита времето за събиране и оценка на данните.

Член 25 урежда уведомяването на CSIRT Italia за значителни инциденти. Приложимостта и началните моменти трябва да се проверят спрямо статута на субекта и относимите актове по прилагането. Евентуалните задължения при нарушение на сигурността на личните данни трябва да бъдат оценени отделно: адресатите, предпоставките и съдържанието невинаги съвпадат с тези по NIS. Полезно е да се създаде общ процес за събиране на информация и отделни решения за всяко задължение.

Отговорност, проверки и актуализация

Ограниченията на отговорността, гаранциите, застраховките и договорните средства за защита трябва да съответстват на услугите и предвидимите вреди. Клауза за обезщетяване не замества приемането на мерките и не премахва задълженията към органа. Дори правото на одит изисква практически правила за предизвестие, поверителност, достъп и отстраняване на установените проблеми.

За започване на прегледа са полезни действащите договори, описът на услугите, анализите на риска, техническите документи и съобщенията от ACN. Кантората може да подпомага отговорните лица в предприятието при определяне на отговорностите и клаузите, като се координира със специалистите по сигурност. Сроковете трябва да се установят за конкретния случай: графикът на едно предприятие не следва автоматично да се пренася към друго, особено когато годината на включване в обхвата е различна.