25. člen
(informacijska varnost v pogodbah z dobavitelji)
V pogodbe z dobavitelji se vključijo določbe, ki urejajo specifične zahteve za zagotavljanje informacijske varnosti in se nanašajo na:
-
opis informacij, do katerih se dostopa, in načine dostopa do njih,
-
zahteve zakonodaje in predpisov, vključno z zaščito podatkov, pravicami intelektualne lastnine in avtorskimi pravicami, ter opis, kako se bo zagotovilo, da bodo izpolnjene,
-
obvezo vsake pogodbene stranke za uvajanje in izvajanje dogovorjenih nadzorstev,
-
pravila dovoljene rabe informacijskih sistemov in informacij,
-
izrecni seznam osebja dobavitelja, ki ima dostop do informacijskih sistemov in informacij organa, ter opis postopkov za odobritev in preklic odobritve za dostop osebja dobavitelja do informacijskih sistemov in informacij organa,
-
postopke in zahteve za obvladovanje incidentov v skladu z določbami te uredbe,
-
kontaktno osebo dobavitelja in organa za vprašanja informacijske varnosti,
-
zahteve glede varnostnega preverjanja, če je zakonsko predpisano, za osebje dobavitelja,
-
pravico do presoje postopkov dobaviteljev in uporabljenih nadzorstev ter
-
odgovornost dobavitelja, da upošteva varnostne zahteve organa.