NIS2 2026 – сертифікат кібербезпеки постачальника, відхилення та перевірка | Word/PDF/Excel

Ваш важливий постачальник систем стверджує, що безпека є хорошою — але не може надати актуального результату тестування облікових записів адміністратора, оновлень безпеки або відновлення. Як ви документуєте відхилення, ставите розумні вимоги, отримуєте реальне повторне тестування та звітуєте про ризик керівництву? Цей спеціальний пакет для NIS2 містить шаблони для ризикоорієнтованого кіберконтролю постачальників — від фактичного самозасвідчення до листа про вимогу щодо вжиття заходів, повторного тестування та прийняття рішень.

Актуально з точки зору права: Шведський закон про кібербезпеку (2025:1506) набув чинності 15 січня 2026 року. У розділі 2, пункті 3, підпункті 4 безпека в ланцюжку постачання зазначена як одна з сфер застосування належних і пропорційних заходів безпеки для операторів, на яких поширюється дія закону. Відповідно до статті 21.2 d та 21.3 Директиви NIS2, необхідно оцінювати ризики, пов’язані з прямими постачальниками та надавачами послуг, зокрема їхні специфічні вразливості та практику кібербезпеки. MCFFS 2026:11 діє з 1 жовтня 2026 року та уточнює заходи безпеки для відповідних операторів. Переглянути закон про кібербезпеку та діюче розпорядження NCSC.

Важливе уточнення: Не всі шведські підприємства або їхні постачальники автоматично підпадають під дію закону про кібербезпеку. Відповідний оператор спочатку повинен оцінити власний обсяг правового регулювання та конкретні ризики, пов’язані з постачальниками. Не існує загального обов’язкового «сертифіката постачальника NIS2», виданого державним органом, а також універсальних 14- або 30-денних строків для звичайних приватних листів із вимогою вжити заходів. Заповнена форма не сертифікує кібербезпеку та не замінює технічного тестування.

Повний цифровий ZIP-архів за 79 крон: п’ять шведських робочих шаблонів, а також шведський та англійський посібники для користувачів — усе в редагуваному форматі Word (DOCX) та в пошуковому форматі A4-PDF для друку. Крім того, робоча книга Excel (XLSX) з дев’ятьма вкладками, 612 адміністративними формулами та 36 схваленими сценаріями тестування. Усього 7 DOCX + 7 PDF + 1 XLSX = 15 клієнтських файлів. П’ять шведських робочих документів, два посібники, сім незалежних документів; копії PDF не є інтерактивними для заповнення.

Для кого підходить контроль постачальників за NIS2?

Для підприємств, які перевірили, що вони підпадають під дію закону про кібербезпеку — наприклад, деяких операторів у сферах енергетики, транспорту, харчових продуктів, цифрової інфраструктури та інших важливих для суспільства галузей — і які наймають ІТ-підтримку, SaaS, хмарні послуги, розробників систем, послуги з безпеки або інших постачальників, які можуть вплинути на мережеві та інформаційні системи. Цільові групи — зокрема CISO, відповідальні за ІТ-безпеку, відділи закупівель, комплаєнсу, ризиків та власники підприємств, внутрішній аудит і відповідальні за закупівлі.

Його також може використовувати постачальник, якому потрібно підготувати конкретну документальну основу для клієнта, що регулюється NIS2, але постачальник не повинен стверджувати, що клієнт або постачальник автоматично сертифіковані. Необхідно перевірити сам договір та можливі галузеві правила.

Точний перелік файлів — 15 клієнтських файлів

Excel — дев’ять вкладок і 36 верифікованих функціональних тестів

Робоча книга містить вкладки «Прочитайте мене», «Огляд», «Постачальники», «Сертифікати», «Контроль», «Відхилення», «Повторне тестування», «Рішення» та «Джерела». Кожна справа пов’язана з унікальним внутрішнім ID та фактичними посиланнями на докази. Реєстр скидається при передачі й не містить клієнтських даних або демонстраційних справ.

612 формули можуть видавати адміністративні сигнали, такі як «ПЕРЕВІРИТИ ЛАНЦЮЖОК ПОСТАЧАННЯ», «ПЕРЕВІРИТИ ЗАСТОСОВНІСТЬ», «ПЕРЕВІРИТИ ДОВІДНИК ДОВІДІВ», «ПЕРЕВІРКА ВІДСУТНЯ», «НЕДОЛІК БЕЗПЕКИ», «УТОЧНИТИ ДОГОВІР», «ВИЗНАЧИТИ ТЕРМІН РУЧНО», «ДОКУМЕНТУВАТИ ВІДПРАВКУ», «НЕЗНИКЛИЙ ПОМИЛКА» та «ЕСКАЛЮВАТИ ВИСОКИЙ РИЗИК». При повному заповненні замість цього відображається основа для ручного перегляду, ніколи — «схвалено за NIS2».

36 із 36 технічних сценаріїв тестування пройшли успішно після виправлення помилки в обробці кількості в огляді. Тест зокрема перевіряє, що високий ризик не може бути позначений як автоматично завершений, навіть коли всі поля рішень і підтверджень заповнені й користувач хоче закрити справу. 12 значень огляду клієнта до реєстрації першого реального постачальника дорівнюють 0.

Практичний робочий процес для постачальника з недоліком безпеки

1. Оцініть обсяг. Чи підпадає ваша діяльність під дію закону про кібербезпеку як суттєва або важлива? Задокументуйте рішення, галузь і джерело у формі 01.
2. Визначте відповідну послугу. Ідентифікуйте пряму сторону договору, до яких систем постачальник має доступ, залучені дані та наслідки кіберпереривання.
3. Запитуйте пропорційні докази безпеки. Запитуйте про фактичну версію та докази використання MFA, привілейованого доступу, процедур усунення вразливостей, резервного копіювання або процедур реагування на інциденти залежно від ідентифікованого ризику.
4. Оцініть можливий сертифікат. Підписана відповідь «так», твердження про ISO або політика постачальника не є тим самим, що верифіковане тестування відповідної системи.
5. Надішліть конкретну вимогу щодо заходів. Вкажіть, на якому договорі та результаті фактичного контролю ґрунтується вимога. Визначте реалістичний термін відповідно до договору; не вигадуйте універсальний встановлений законом термін відповіді.
6. Проведіть повторне тестування та збережіть ланцюжок доказів. Перевірте фактичні конфігурації, виконані заходи, дати та незниклі ризики. Не діліться секретними ключами або паролями у відкритих електронних таблицях.
7. Прийміть окреме рішення. Уповноважений власник ризику приймає рішення щодо продовження роботи, компенсувальних захисних заходів, ескалації, зміни договору або виходу — без автоматично позитивного рішення в Excel.

Правова основа — що насправді означають правила

Закон про кібербезпеку (2025:1506), розділ 2, пункт 3: технічні, організаційні та операційні заходи безпеки мають бути належними, пропорційними та ризикоорієнтованими. Пункт 4 стосується безпеки в ланцюжку постачання, а пункт 6 — оцінки ефективності заходів безпеки. Переглянути повний текст у Риксдазі.

Стаття 21.2 d та 21.3 Директиви NIS2: необхідно враховувати специфічні для постачальників вразливості та якість роботи з безпеки прямих постачальників, зокрема безпечну розробку. Це основа для ризикоорієнтованого контролю — не універсальна законодавча форма для всіх постачальників. Офіційна директива ЄС.

MCFFS 2026:11: розпорядження та загальні поради щодо заходів безпеки та навчання керівництва для суттєвих і важливих операторів діють з 1 жовтня 2026 року. Перевірте також відповідні галузеві правила. Офіційне джерело NCSC.

Межі відповідальності: те, що постачальник підтверджує певні контролі, не звільняє клієнта від самостійної оцінки того, чи достатньо його власної безпеки. Крім NIS2, GDPR, галузеві розпорядження, договори або специфічні галузеві правила ЄС можуть передбачати інші зобов’язання. Цей пакет не є повідомленням про інцидент, формою державного органу, послугою з тестування на проникнення або рішенням про санкції.

Відмінність від інших продуктів Mallbutiken

NIS2 Mallpaket — Закон про кібербезпеку 2026 — це ширший матеріал для управління кібербезпекою власної організації. Аудит постачальника & Аудит постачальника — це загальний контроль постачальника/якості. Договір з ІТ-постачальником DORA має фінансове застосування DORA. Цей новий продукт зосереджений саме на доказах кібербезпеки за NIS2, письмовій вимозі щодо заходів та верифікованому повторному тестуванні у конкретного постачальника.

Поширені запитання про кіберсертифікат постачальника за NIS2

Чи повинні всі постачальники підписувати сертифікат NIS2?

Ні. Не існує універсального офіційного сертифіката постачальника, який усі постачальники повинні заповнити. Підприємство обирає належні та пропорційні заходи контролю на основі фактичного ризику та застосовних договорів.

Чи є невеликий постачальник SaaS автоматично зобов’язаним за NIS2, якщо клієнт підпадає під дію?

Ні. Власні зобов’язання постачальника слід перевіряти окремо. Клієнт, що регулюється за NIS2, все одно може мати необхідність ставити договірні та ризикоорієнтовані вимоги безпеки.

Чи можна використовувати шаблон як сертифікат ISO 27001?

Ні. Власне самозасвідчення постачальника або заповнена форма запитань не є сертифікацією ISO 27001, незалежним аудитом або офіційною оцінкою державного органу.

Що відбувається, коли постачальник каже, що відхилення усунено?

Задокументуйте твердження постачальника та перевірте фактичні докази й повторне тестування щодо відповідної системи/версії. Незниклі помилки позначаються й потребують окремого рішення.

Чи повинен постачальник відповісти на вимогу щодо заходів протягом 30 днів?

Ні. Загальні вимоги закону про кібербезпеку щодо постачальників не встановлюють такого універсального строку для приватних листів із вимогою вжити заходів. Орієнтуйтеся на договір, фактичний стан безпеки та розумний графік.

Чи може Excel автоматично схвалити безпеку постачальника?

Ні. Формули ідентифікують адміністративну потребу контролю й ніколи не можуть показати «юридично схвалено» або «сертифіковано». Необхідно проводити фактичне технічне та юридичне переглядання.

Чи включається повідомлення про інцидент до державного органу?

Ні. Якщо стався значний кіберінцидент, необхідно окремо оцінити правила закону про інциденти та розпорядження. Цей пакет стосується контролю постачальника, а не офіційного повідомлення про інцидент.

Чи всі шаблони англійською мовою?

Ні. П’ять робочих шаблонів, шведський посібник та Excel — шведською мовою. Додається English User Guide для використання, але він не є повним перекладом п’яти основних шаблонів.

Чи PDF-файли можна заповнювати цифровим способом?

Ні. PDF-файли є пошуковими та придатними для друку версіями формату A4. Редагуйте файли Word, коли заповнюєте власні дані.

Офіційні правові джерела та прозорість

Джерела: Закон про кібербезпеку 2025:1506; Розпорядження про кібербезпеку 2025:1507; Директива NIS2 2022/2555; MCFFS 2026:11; Посібник NCSC щодо заходів безпеки.

Версія 1.0. Перевірка правових джерел за допомогою ШІ та технічний QA файлів 9 листопада 2026 року. Жоден зовнішній юрист, державний орган, сертифікатор або технічний аудитор не схвалював матеріал. Текст PDF та всі 14 сторінок A4 перевірено, Excel містить 612 формул, 36/36 сценаріїв тестування схвалено, а ZIP-архів перевірено на цілісність. Використовуйте шаблони як основу для фактичних, окремих рішень щодо застосовності, безпеки, договорів і ризиків.