Kompletny poradnik dla CISO i osób odpowiedzialnych za zgodność w 2026 roku
Ryzyko podmiotów trzecich przeszło dla europejskich organizacji od tematu w tle do sprawy pierwszoplanowej. DORA jest egzekwowalna wobec podmiotów finansowych od stycznia 2025 roku, a NIS2 jest obecnie transponowana do prawa krajowego w całej Unii Europejskiej, w tym we Francji przez Loi Résilience. Dla CISO, dyrektorów ds. zgodności i osób odpowiedzialnych za zakupy oznacza to przede wszystkim jedno: sposób, w jaki firma zarządza ryzykiem wprowadzanym przez jej dostawców i usługodawców, nie jest już kwestią wewnętrznej preferencji. To udokumentowany, podlegający audytowi obowiązek.
Ten poradnik zbiera najważniejsze elementy zarządzania ryzykiem podmiotów trzecich, znanego jako TPRM, i wyjaśnia, jak NIS2 i DORA kształtują to, czego dziś oczekuje się od organizacji.
Co naprawdę oznacza TPRM
TPRM oznacza uporządkowany proces identyfikowania, oceniania i monitorowania ryzyk, które dostawcy, kontrahenci i usługodawcy wnoszą do organizacji. Obejmuje poziom cyberbezpieczeństwa, ale też odporność operacyjną, ochronę danych i odpowiedzialność umowną. Dojrzały program TPRM dobrze robi trzy rzeczy. Prowadzi jasny inwentarz każdego podmiotu trzeciego i systemów, których dotyka. Ocenia każdy z nich według spójnego zestawu kryteriów. I śledzi problemy aż do rozwiązania, ze wskazanym właścicielem i terminem.
Gdzie mieści się NIS2
NIS2 poszerza zakres europejskich regulacji w zakresie cyberbezpieczeństwa do osiemnastu sektorów, znacznie wykraczając poza operatorów pierwotnie objętych pierwszą dyrektywą NIS. Art. 21 wymaga od podmiotów kluczowych i ważnych wyraźnego zarządzania bezpieczeństwem łańcucha dostaw, co oznacza, że organizacje nie mogą już traktować nadzoru nad dostawcami jako nieformalnego ani okazjonalnego. We Francji Loi Résilience transponuje NIS2 wraz z DORA i dyrektywą o odporności podmiotów krytycznych w jednym akcie prawnym, co jest charakterystycznym podejściem krajowym, które warto znać każdej firmie działającej na rynku francuskim.
Gdzie mieści się DORA
DORA dotyczy dwudziestu kategorii regulowanych podmiotów finansowych i przyjmuje znacznie bardziej szczegółowe podejście do ryzyka podmiotów trzecich niż NIS2. Wymaga kompletnego rejestru informacji obejmującego każdego dostawcę ICT wspierającego funkcje krytyczne lub istotne, w tym podwykonawców, lokalizacje danych i strategie wyjścia. Wymaga też bieżącego testowania odporności operacyjnej oraz jasnych kryteriów określających, którzy dostawcy są uznawani za krytycznych.
Dlaczego ciągły nadzór ma dziś znaczenie
Oba standardy odciągają organizacje od rocznego kwestionariusza i kierują je ku ciągłemu monitorowaniu. Organy nadzorcze już wskazują niekompletne rejestry i nieaktualne oceny jako priorytetowe obszary egzekwowania w 2026 roku. Ocena zakończona dwanaście miesięcy temu mówi zarządowi bardzo niewiele o bieżącej ekspozycji dostawcy.
To właśnie tu wiele organizacji się zacina. Budowanie i utrzymywanie żywego rejestru dostawców, spójne prowadzenie ocen i tworzenie dowodów na żądanie jest trudne do wykonania ręcznie, gdy portfel dostawców przekroczy garstkę nazw.
Jeśli Twój zespół próbuje nadać temu procesowi strukturę bez zwiększania zatrudnienia, warto zobaczyć, jak radzi sobie z tym dedykowana platforma. Zarezerwowanie krótkiego demo z Cynapze to prosty sposób, aby zobaczyć, jak w praktyce wygląda stale aktualizowany program TPRM.
Pierwsze kroki
Organizacje rozpoczynające tę pracę powinny zacząć od uczciwego inwentarza każdego używanego podmiotu trzeciego, jak drobny by się nie wydawał. Następnie klasyfikacja dostawców według krytyczności pozwala zespołowi skupić uwagę tam, gdzie ma największe znaczenie, zamiast traktować wszystkich dostawców jednakowo. Wreszcie wyrobienie nawyku dokumentowania, kto był oceniany, kiedy i co ustalono, sprawia, że zgodność staje się produktem ubocznym dobrej praktyki, a nie osobnym pośpiechem przed audytem.
Podsumowanie
TPRM, NIS2 i DORA zbiegają się wokół tego samego oczekiwania: organizacje muszą znać swoje podmioty trzecie, oceniać je spójnie i umieć to udowodnić. To znaczna zmiana w porównaniu z tym, jak wiele firm działało dotąd, ale też okazja do zbudowania programu, który chroni biznes daleko poza to, czego wymaga jakakolwiek pojedyncza regulacja. Zespoły, które zaczną teraz, z jasną odpowiedzialnością i odpowiednimi narzędziami, będą w znacznie lepszej pozycji, gdy nadejdzie kolejny audyt lub incydent.
Aby zobaczyć, jak Cynapze może wspierać Twój program ryzyka podmiotów trzecich od pierwszego dnia, zarezerwuj demo z naszym zespołem.
