Ce evaluezi: compania sau serviciul furnizat?
Identifică entitatea contractată, serviciul exact, procesul susținut, datele și sistemele accesibile. Notează cine cunoaște relația comercială, cine poate analiza aspectele tehnice și cine poate lua decizia. Același furnizor poate presta servicii cu riscuri foarte diferite.
Exemplu: găzduirea aplicației de salarizare implică alte întrebări decât livrarea de echipamente fără acces la sistemele firmei. Pentru găzduire, clarifică accesul administrativ, recuperarea datelor, subcontractarea și ieșirea din serviciu. Pentru echipamente, analiza poate privi specificațiile, suportul și actualizările. Nu trimite automat același formular ambilor furnizori.
Cum diferă cerințele GDPR, NIS2 și DORA?
În GDPR, dacă furnizorul prelucrează date în numele firmei, verifici garanțiile oferite și condițiile contractuale pentru persoana împuternicită. Analiza privește inclusiv instrucțiunile, alte persoane împuternicite, asistența și încetarea prelucrării. Rolul rezultă din activitatea reală; nu orice furnizor este persoană împuternicită. GDPR, art. 28.
Pentru entitățile cărora li se aplică aceste dispoziții ale OUG nr. 155/2024, securitatea lanțului de aprovizionare include relațiile cu furnizorii direcți și prestatorii de servicii. Contează vulnerabilitățile specifice și practicile de securitate ale acestora. Încadrarea se verifică separat, inclusiv regulile sectoriale. OUG nr. 155/2024, art. 2 alin. (3), art. 11 alin. (8) și art. 13 lit. d).
În DORA, entitățile financiare evaluează riscul serviciilor TIC înaintea contractării și pe parcursul relației. Cerințele contractuale suplimentare pentru servicii care sprijină funcții critice sau importante se disting de cerințele generale. Un furnizor care lucrează cu o bancă nu devine automat furnizor terț desemnat esențial în sensul art. 31, supus supravegherii europene specifice. DORA, art. 28–31. Modelul de aici nu înlocuiește registrul de informații DORA sau analiza contractului; vezi explicațiile despre DORA.
Ce întrebări și dovezi sunt utile?
Cere informații care pot schimba decizia: ce acces există, cine mai contribuie la serviciu, cum sunt semnalate incidentele și cum se poate recupera sau încheia serviciul. Pentru fiecare întrebare, notează motivul și materialul care ar permite verificarea. Modelul de mai jos pornește de la aceste legături.
Dacă furnizorul declară că face copii de siguranță, clarifică ce acoperă, cine răspunde de restaurare și ce rezultat recent de test poate comunica legitim. Un raport rezumat sau o demonstrație convenită pot fi mai potrivite decât un dosar tehnic integral. Nu cere parole, chei de acces sau date ale altor clienți.
Cum verifici un certificat sau un raport?
Verifică emitentul, entitatea vizată, perioada de valabilitate, serviciile și locațiile incluse, precum și eventualele excluderi. Compară domeniul documentului cu serviciul pe care îl cumperi. Un certificat care privește altă entitate din grup sau alt serviciu nu răspunde automat întrebării tale.
În GDPR, aderarea la un mecanism de certificare aprobat poate constitui un element pentru demonstrarea garanțiilor. Aceasta nu înlocuiește restul condițiilor din art. 28. Nu trata orice certificat de securitate drept certificare GDPR. GDPR, art. 28 alin. (1), (3) și (5). Pentru dosarul intern, explică ce susține fiecare probă și ce rămâne neverificat.
Ce faci cu lipsurile și cine decide?
Separă răspunsul furnizorului de observația evaluatorului și de decizia persoanei autorizate. O informație necunoscută rămâne de clarificat. Notează întrebarea, responsabilul, termenul și consecința pentru contractare sau continuarea serviciului. Nu transforma lipsa răspunsului într-un răspuns favorabil.
Exemplu: furnizorul confirmă că există un plan de recuperare, dar materialul nu arată dacă serviciul cumpărat a fost testat. Echipa cere clarificarea domeniului și a rezultatului testului, apoi reevaluează. Acceptarea unui risc intern nu înlătură o obligație legală. Vezi cum contribuie achizițiile, IT și juridicul la evaluare.
Când revizuiești evaluarea furnizorului?
Stabilește revizuirea după risc și după cerințele aplicabile. Reia analiza când se schimbă serviciul, accesul, subcontractanții, locurile de prelucrare, condițiile contractuale sau informațiile despre un incident. Nu presupune că o verificare anuală este suficientă în orice situație.
Pregătește și încetarea relației: recuperarea datelor, retragerea accesului, tranziția și obligațiile de păstrare ori ștergere aplicabile. Consemnează ce ai verificat efectiv. Pentru organizarea răspunsurilor și a clarificărilor, explorează gestionarea relației cu furnizorii în Cremene.