供應商合約

KSC 的新條文自2026年4月3日起生效，並實施歐盟 NIS2 指令，即歐盟關於網絡安全的第2022/2555號指令。供應鏈是指您的服務所依賴的資訊及通訊科技（ICT）產品、服務和流程，即硬件、軟件和資訊科技服務，連同其供應商。關鍵實體或重要實體須確保這條供應鏈的安全和持續運作，並考慮每家供應商的漏洞，即保安上的缺口，以及其產品的整體質素。不在該法範圍內的供應商本身沒有法定義務，因此這些義務要寫進與您訂立的合約中。

自該法於2026年4月3日生效之日起已受規管的公司，須在2027年4月3日前落實各項義務，包括與供應商相關的義務。這個期限決定哪些合約來得及在續約時處理，哪些需要簽訂補充協議。

我們從清單開始。我們收集與雲端、軟件、維護和維修供應商的合約，以及您所知的分包商合約。我們為每家供應商對應一項公司服務，即沒有它就會停頓的服務，並評估能否替換、需時多久、數據能否取回。我們亦檢查供應商是否正接受程序，以判定其是否屬高風險供應商；若是，其產品須予撤除。至今尚未公布這類名單，也未對任何供應商展開程序。

我們從該法義務的角度閱讀每份合約，記下合約沒有規定或規定不足之處。要求分為四組。供應商的安全：如何保護您的數據、其內部由誰可以存取，以及如何修補自身軟件的漏洞。事故通報：供應商把自身發生的事件通知您的期限，確保您自己的通報能及時作出。查核權：您如何確認供應商履行了承諾。退出合約：您會以甚麼形式、在多長時間內取回數據和文件。

對新採購，我們撰寫報價邀請的要求範本：同樣的四組內容，既是給投標者的問題，也是日後合約的要求。在指令中，採購新系統時的安全是一項獨立要求，與系統的開發和維護並列。團隊成員具備法律支援：我們描述要求並審查供應商，合約條款的措辭和法律意見則由律師事務所準備。

該法是否適用於您的公司，由影響及差距分析確定；公司的事故程序和系統中的保安措施，也屬另外的範圍。

1. 我們列出供應商和合約。我們收集合約連同附件，並與跟供應商合作的同事面談。成果：附依賴程度評估的供應商清單，以及合約時間表。
2. 我們從義務的角度閱讀合約。我們把每份合約與該法要求您在供應鏈中確保的事項對照。成果：以概括方式描述要求的合約檢視。
3. 我們審查供應商。我們向供應商查詢保安措施、數據存放位置、人員存取權和漏洞修補，並把答覆與合約比較。成果：每家供應商的評估，附差異清單。
4. 我們把要求交給律師事務所和您。律師事務所把要求寫成合約條款，您則收到報價邀請範本和洽談次序。成果：可供洽談的補充協議和續約文件。