Riadenie dodávateľských vzťahov – vzor smernice

Riadenie dodávateľských vzťahov

(smernica)

Táto interná smernica je spracovaná na základe dobrej praxe a reflektuje pravidlá a postupy v kontexte požiadaviek medzinárodnej normy ISO/IEC 27001 (najmä príloha A.9.2.6, A.13.2, A.15) v oblasti riadenia dodávateľských vzťahov, riadenia prístupových práv pre tretie strany, resp. prenosu informácií pri ich výmene. Smernica vychádza tiež z požiadaviek ďalších noriem a legislatívy v oblasti informačnej a kybernetickej bezpečnosti (najmä § 19, § 20, § 22, § 27a zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v kontexte príslušných vyhlášok, ako aj § 15 a § 20 zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v kontexte príslušnej vyhlášky).

1. Kľúčové súvisiace predpisy a normy

1. súbor medzinárodných noriem radu ISO/IEC 27000
2. zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
3. vyhláška č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení
4. zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe
5. vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

2. Úvod

Organizácia pre účely riadenia vzťahov s dodávateľmi (ďalej sú „dodávatelia“ alebo „externí dodávatelia“ uvádzaní tiež ako „tretie strany“) vydala túto smernicu, ktorej cieľom je určiť pravidlá pre riadenie vzťahov s dodávateľmi vrátane akvizícií, údržby a vývoja zo strany dodávateľov pre prostredie organizácie.

Pravidlá uvedené v tejto smernici sú všeobecne záväzné pre pracovníkov organizácie a pracovníkov tretích strán.

Organizácia sa  touto smernicou zaväzuje v rámci spolupráce s tretími stranami (externými dodávateľmi) poskytovať služby pre svojich klientov bezpečným spôsobom.

3. Základné princípy v oblasti riadenia vzťahov s dodávateľmi

Organizácia ako Prevádzkovateľ základnej služby berie na vedomie nižšie uvedené povinnosti, ktoré musí v kontexte požiadaviek zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej „zákon“) a relevantných vyhlášok k zákonu dodržiavať a plniť.

Ako je uvedené v § 19 ods. 2 zákona, je prevádzkovateľ základnej služby povinný pri uzatvorení zmluvy s dodávateľom na výkon činností, ktoré priamo súvisia s prevádzkou sietí a informačných systémov pre prevádzkovateľa základnej služby, uzatvoriť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností podľa tohto zákona počas celej doby platnosti zmluvy.

Povinnosti podľa § 20 ods. 3 písm. a) až m) zákona organizácia implementovala v kontexte vyhlášky č. 362/2018 Z. z., pričom tieto zahŕňajú aj povinnosť riadenia dodávateľských služieb, akvizície, vývoja a údržby informačných systémov.

Za stanovenie požadovanej úrovne kybernetickej bezpečnosti v kontexte spolupráce s tretími stranami zodpovedajú vlastníci relevantných procesov a aktív organizácie. Zabezpečenie dodržiavania v organizácii určených bezpečnostných zásad, pravidiel a postupov v oblasti kybernetickej bezpečnosti zo strany externého dodávateľa je vždy zodpovednosťou konkrétnych osôb zaradených do bezpečnostných rolí ...