Dobavljač koji obrađuje podatke, održava kritičnu aplikaciju ili ima udaljeni pristup mreži postaje dio sigurnosnog perimetra organizacije. Upravljanje rizicima vanjskih dobavljača zato nije administrativni dodatak nabavi niti jednokratni upitnik prije potpisa ugovora. To je proces kojim uprava mora dokazati da razumije tko sudjeluje u pružanju ključnih usluga, kojim podacima pristupa i što se događa kada taj odnos zakaže.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, lanac dobavljača ima izravnu regulatornu težinu. Napad na pružatelja IT usluga, propust cloud partnera ili nepravodobno prijavljena ranjivost mogu proizvesti poslovni prekid i posljedice koje organizacija ne može prebaciti na treću stranu. Ugovor može raspodijeliti odgovornost, ali ne uklanja odgovornost organizacije za upravljanje vlastitim rizicima.
Zašto dobavljački rizik počinje prije ugovora
Najčešća pogreška nastaje kada se svi dobavljači tretiraju jednako. Dobavljač uredskog materijala i partner koji upravlja identitetima korisnika, obrađuje zdravstvene podatke ili održava proizvodni sustav ne mogu proći istu provjeru. Rizik ne određuje veličina dobavljača ni vrijednost ugovora, već posljedica njegova nedostupnog, nesigurnog ili neusklađenog rada.
Prvi operativni korak zato je potpuni inventar vanjskih strana. On mora obuhvatiti ugovorne dobavljače, podizvođače kada su poznati, pružatelje cloud usluga, vanjske administratore, konzultante s pristupom sustavima i razvojne partnere. Za svaku stranu treba utvrditi uslugu, vlasnika odnosa unutar organizacije, sustave kojima pristupa, vrste podataka koje obrađuje te ovisnost poslovnog procesa o toj usluzi.
Tek tada klasifikacija dobavljača postaje korisna. Organizacija može, primjerice, razlikovati niskorizične, značajne i kritične dobavljače. Kriteriji trebaju uključivati privilegirani pristup, obradu osobnih ili povjerljivih podataka, povezanost s ključnim uslugama, mogućnost prekida poslovanja, geografsku lokaciju obrade te ovisnost o pojedinom podizvođaču. Klasifikacija nije sama sebi svrha – ona određuje dubinu provjere, ugovorne zahtjeve i učestalost nadzora.
Upravljanje rizicima vanjskih dobavljača kao dokaziv proces
Dobro postavljen program povezuje procjenu, odluku, ugovor, nadzor i dokaz. Ako bilo koji dio nedostaje, organizacija teško može pokazati da rizik stvarno kontrolira. Posebno je problematična situacija u kojoj postoji popunjen sigurnosni upitnik, ali nema evidentirane procjene, prihvaćenog preostalog rizika ni plana za utvrđene nedostatke.
1. Procijenite kontekst usluge, a ne samo dobavljača
Certifikat, javno dostupna sigurnosna politika ili odgovor dobavljača na upitnik mogu biti vrijedni dokazi, ali ne odgovaraju automatski na pitanje je li konkretna usluga prihvatljiva za vašu organizaciju. Dobavljač može imati kvalitetne opće kontrole, dok istodobno predloženi model pristupa nije primjeren za sustav koji obrađuje osjetljive podatke.
Procjena treba krenuti od konkretnog scenarija. Tko pristupa čemu, s kojim ovlastima, iz koje lokacije, na koji način se pristup odobrava i ukida te kako se aktivnosti bilježe? Gdje podaci borave, prenose se i sigurnosno kopiraju? Koji je maksimalno prihvatljiv prekid usluge? Odgovori stvaraju osnovu za procjenu povjerljivosti, cjelovitosti, dostupnosti i usklađenosti.
2. Provjerite kontrole koje stvarno smanjuju rizik
Za kritične dobavljače nije dovoljno zatražiti općenitu izjavu o usklađenosti. Potrebno je prikupiti dokaze koji potvrđuju primjenu relevantnih kontrola: upravljanje pristupima i višefaktorsku autentifikaciju, upravljanje ranjivostima i zakrpama, sigurnosne kopije, planove kontinuiteta poslovanja, evidentiranje aktivnosti, odgovor na incidente i zaštitu podataka.
Dubina provjere mora biti razmjerna riziku. Za neke pružatelje standardna dokumentacija i ugovorne obveze bit će dovoljni. Za dobavljača koji pruža ključnu digitalnu uslugu može biti opravdano zatražiti rezultate neovisne revizije, testove oporavka, izvješća o dostupnosti ili dodatne tehničke provjere. Pretjerano opsežan postupak za svakog dobavljača stvara trošak bez sigurnosne koristi, dok površna provjera kritičnog partnera ostavlja ozbiljnu izloženost.
3. Ugovorite mjerljive obveze i pravo na reakciju
Ugovor treba pretvoriti procijenjene rizike u provedive obveze. Opće odredbe o čuvanju tajne nisu dovoljne kada dobavljač upravlja pristupom poslovno kritičnim sustavima. Potrebno je jasno urediti minimalne sigurnosne zahtjeve, obvezu prijave sigurnosnog incidenta u definiranom roku, uvjete angažiranja podizvođača, lokaciju i prijenos podataka, čuvanje revizijskih zapisa, pravo na provjeru te obveze pri prestanku usluge.
Jednako je važno definirati izlaznu strategiju. Organizacija mora znati kako će preuzeti podatke, ukinuti pristupe, dokazati sigurno brisanje kopija i održati poslovanje ako dobavljač prekine uslugu ili više ne ispunjava sigurnosne uvjete. To je osobito važno kod cloud i SaaS rješenja, gdje ovisnost često postane vidljiva tek pri promjeni pružatelja.
4. Nadzirite promjene tijekom cijelog odnosa
Rizik se ne zaključava potpisom ugovora. Dobavljač može promijeniti infrastrukturu, vlasničku strukturu, model podizvođača, lokaciju obrade podataka ili ključne sigurnosne kontrole. Organizacija također može promijeniti opseg korištenja usluge i tako povećati vlastitu izloženost.
Za kritične odnose potreban je unaprijed definiran ciklus preispitivanja. On može uključivati periodičnu obnovu procjene, pregled relevantnih dokaza, praćenje sigurnosnih incidenata, kontrolu otvorenih korektivnih aktivnosti i provjeru promjena u usluzi. Ako se utvrdi nedostatak, potrebno je evidentirati vlasnika aktivnosti, rok, prioritet i odluku o prihvaćanju preostalog rizika. Bez toga se poznati problem lako pretvara u trajnu neusklađenost.
Kako izbjeći tri česta operativna propusta
Prvi propust je oslanjanje na proračunsku ili nabavnu evidenciju kao jedini popis dobavljača. Takvi popisi često ne pokazuju tko ima tehnički pristup, koji se podizvođači koriste ni koje usluge stvarno podržavaju ključne procese. Vlasnici poslovnih i IT procesa trebaju potvrditi inventar.
Drugi je prikupljanje dokaza bez centralnog mjesta za njihovo upravljanje. Dokumenti završe u e-pošti, zajedničkim mapama i lokalnim diskovima, a tijekom nadzora nitko ne može brzo utvrditi koja je verzija važeća, što dokazuje i uz koju je kontrolu povezana. Dokaz mora imati vlasnika, datum, status valjanosti i jasnu vezu s procjenom rizika ili zahtjevom usklađenosti.
Treći propust je nejasna odgovornost. Nabava može voditi ugovorni odnos, IT provjerava tehničke zahtjeve, pravna služba ugovorne odredbe, a poslovni vlasnik procjenjuje utjecaj prekida. Međutim, netko mora imati cjelovitu odgovornost za zaključak: je li rizik prihvatljiv, koje mjere nedostaju i tko je odobrio iznimku. Za rizike iznad definiranog praga odluka treba biti eskalirana upravi ili ovlaštenom tijelu upravljanja rizicima.
Od tablice dobavljača do kontinuirane regulatorne spremnosti
Tablica može biti dobar početak, ali brzo postaje ograničenje kada organizacija mora povezati desetke dobavljača, dokaze, ugovore, procjene, korektivne aktivnosti i izvješća za upravu. Tada ključna vrijednost nije samo u pohrani podataka, nego u mogućnosti da se odmah vidi stvarno stanje: koji su dobavljači kritični, gdje nedostaju dokazi, koji rizici čekaju odluku i koje aktivnosti kasne.
Platforma poput ITrevizija.hr može strukturirati taj rad kroz AI vođenu procjenu usklađenosti, upravljanje dokazima i praćenje neusklađenosti. Time se smanjuje ručno pretraživanje dokumentacije, a odgovorne osobe dobivaju jasniju vezu između regulatornih obveza, dobavljačkog rizika i plana postupanja. Posebno je važno da se osjetljiva dokumentacija obrađuje uz primjerene kontrole pristupa, enkripciju i jasno upravljanje podacima.
Najkorisnije pitanje za početak nije imate li obrazac za provjeru dobavljača, nego možete li danas dokazati tko ima pristup vašim kritičnim resursima, koji je njegov preostali rizik i tko je odgovoran za njegovo smanjenje. Kada je odgovor vidljiv i potkrijepljen dokazima, upravljanje dobavljačima prestaje biti godišnja administrativna obveza i postaje stvarna zaštita kontinuiteta poslovanja.