Dostawca krytyczny

Dostawca krytyczny to podmiot, którego znaczenie wynika z tego, co dostarcza podmiotowi krytycznemu oraz z możliwych skutków przerwania albo zakłócenia tej dostawy. Pojęcie to ma ustawową definicję w ustawie „o zarządzaniu kryzysowym” i służy wskazaniu zależności, które mogą mieć znaczenie dla bezpieczeństwa oraz ciągłości działania podmiotu krytycznego.

Aby uznać podmiot za dostawcę krytycznego, muszą wystąpić zasadniczo trzy elementy:

• dostawcą jest określony podmiot, a więc jednostka uczestnicząca w dostarczaniu danego świadczenia;
• dostarcza on produkty, usługi lub technologie;
• zakłócenie tego dostarczania może doprowadzić do incydentu istotnego u podmiotu krytycznego.

Nie chodzi zatem o każdego dostawcę współpracującego z podmiotem krytycznym. Decydujące jest potencjalne znaczenie jego produktów, usług albo technologii dla funkcjonowania tego podmiotu. Istotne pozostaje także samo zagrożenie, a nie dopiero wystąpienie szkody lub incydentu. Sformułowanie „może spowodować” wskazuje, że wystarczy możliwość wystąpienia takiego skutku, oceniana w związku z charakterem dostarczanego elementu i jego rolą u odbiorcy.

Dostawa może dotyczyć zarówno rzeczy materialnych, jak i usług lub rozwiązań technologicznych. Oznacza to, że za krytyczne znaczenie może odpowiadać nie tylko dostarczenie produktu, lecz także wykonywanie określonej usługi albo zapewnienie technologii potrzebnej do działania podmiotu krytycznego. Zakłócenie może polegać na przerwaniu dostaw, ich ograniczeniu lub innym zaburzeniu, jeżeli w konsekwencji może wystąpić incydent istotny.

W praktyce pojęcie pomaga ustalić, które zależności zewnętrzne powinny być uwzględniane w zarządzaniu ryzykiem i ochronie ciągłości działania. Pozwala spojrzeć na bezpieczeństwo podmiotu krytycznego nie tylko przez pryzmat jego własnych zasobów, lecz także przez dostępność produktów, usług i technologii zapewnianych przez inne podmioty. Przy kwalifikowaniu znaczenie ma więc związek między świadczeniem dostawcy a możliwością wystąpienia istotnego incydentu u odbiorcy.