NIS2 / ZoKB7 min24. května 2026

Vendor risk checklist: co chtít od klíčových dodavatelů

V únoru 2020 byl napaden dodavatel IT služeb pro americká potrubní centra.

Autor: Splnit.eu, Redakce Splnit.eu

Kdo je „bezpečnostně významný dodavatel"?

Ne každý dodavatel potřebuje bezpečnostní prověření. Zaměřte se na ty, kteří splňují alespoň jedno z následujících:

**Kategorie A — Kritičtí dodavatelé (nejvyšší priorita)**

*Příklady: AWS/Azure/GCP, hosting provider, záložní MSP, poskytel SIEM/SOC, subdodavatel vývoje s přístupem do produkce*

**Kategorie B — Důležití dodavatelé (střední priorita)**

Co zjistit před podpisem smlouvy — tiered přístup

Pro Kategorii A (kritičtí dodavatelé)

**Bezpečnostní certifikace a audity**

**Správa přístupů k vašim systémům**

**Incident response a notifikace**

**Kontinuita a dostupnost**

**Sub-zpracovatelé a třetí strany**

[ ] Má dodavatel platnou certifikaci ISO/IEC 27001 nebo SOC 2 Type II? Vyžádejte si certifikát a ověřte jeho platnost a scope.
[ ] Pokud nemá certifikaci: Provádí pravidelné interní nebo externí bezpečnostní audity? Kdy byl poslední, co zjistil a jak byly nalezy řešeny?
[ ] Provádí dodavatel penetrační testy svých systémů? (minimálně ročně). Jste schopni vidět executive summary výsledků?
[ ] Jak jsou spravovány přístupy zaměstnanců dodavatele k vašim systémům nebo datům?
[ ] Je povinné MFA pro přístupy k vašim prostředím?
[ ] Jak rychle jsou odebrány přístupy při odchodu zaměstnance dodavatele?
[ ] Jsou přístupy dodavatele omezeny na minimální nezbytné oprávnění?
[ ] Jsou přístupy dodavatele logovány a auditovány?
[ ] Jaká je smluvní lhůta dodavatele pro nahlášení bezpečnostního incidentu, který se týká vašich dat nebo systémů? (Požadujte maximálně 24–48 hodin)
[ ] Má dodavatel zdokumentovaný incident response plán?
[ ] Na koho konkrétně se obrátit při incidentu? (jméno, telefon, e-mail, ne jen obecná adresa)
[ ] Jaké jsou garantované SLA pro dostupnost služby? (uptime, RTO, RPO)
[ ] Kde jsou zálohy uloženy a jak jsou chráněny?
[ ] Existuje plán kontinuity činností (BCP)? Byl testován?
[ ] Má dodavatel pojištění pro případ kybernetického incidentu?
[ ] Kteří sub-dodavatelé mají přístup k vašim datům nebo systémům?
[ ] Vztahují se na sub-dodavatele stejné bezpečnostní požadavky jako na dodavatele?
[ ] Informuje vás dodavatel o změnách v sub-dodavatelském řetězci?

Pro Kategorii B (důležití dodavatelé)

Zkrácená verze s klíčovými body:

[ ] ISO 27001 nebo SOC 2 certifikace, nebo bezpečnostní politika/přehled bezpečnostních opatření
[ ] DPA (smlouva o zpracování osobních údajů), pokud zpracovává osobní data
[ ] Lhůta pro notifikaci incidentu smluvně ukotvena
[ ] Přehled sub-zpracovatelů (pro GDPR účely)
[ ] Kontakt pro bezpečnostní záležitosti

Pro Kategorii C (standardní dodavatelé)

[ ] Pokud zpracovává jakákoliv osobní data: DPA

Vendor risk checklist: co chtít od klíčových dodavatelů

Kdo je „bezpečnostně významný dodavatel"?

Co zjistit před podpisem smlouvy — tiered přístup

Pro Kategorii A (kritičtí dodavatelé)

Pro Kategorii B (důležití dodavatelé)

Pro Kategorii C (standardní dodavatelé)

Vendor risk registr: jak to dokumentovat

Minimální obsah registru (tabulka)

Bezpečnostní požadavky ve smlouvě

Co dělat, když dodavatel nesplňuje požadavky

Možnost 1: Akceptovat riziko s kompenzujícím opatřením

Možnost 2: Vyžádat si plán nápravy

Možnost 3: Nahradit dodavatele

Jak provádět pravidelné přezkumy

TL;DR

Splňte požadavky bez zbytečné byrokracie

Vendor risk checklist: co chtít od klíčových dodavatelů

Kdo je „bezpečnostně významný dodavatel"?

Co zjistit před podpisem smlouvy — tiered přístup

Pro Kategorii A (kritičtí dodavatelé)

Pro Kategorii B (důležití dodavatelé)

Pro Kategorii C (standardní dodavatelé)

GDPR rozměr: DPA je povinná, ne volitelná

Vendor risk registr: jak to dokumentovat

Minimální obsah registru (tabulka)

Bezpečnostní požadavky ve smlouvě

Co dělat, když dodavatel nesplňuje požadavky

Možnost 1: Akceptovat riziko s kompenzujícím opatřením

Možnost 2: Vyžádat si plán nápravy

Možnost 3: Nahradit dodavatele

Jak provádět pravidelné přezkumy

TL;DR

Splňte požadavky bez zbytečné byrokracie