Váš klient vám pošle bezpečnostní dotazník — co dělat?
Sami na to nepadáte, ale požadavky obdržíte. Proč se to děje a co je správná odpověď.
Proč obdržíváte tento seznam
Váš klient podléhá směrnici NIS2 a má povinnost péče. Jeden z deseti opatření v rámci této povinnosti se explicitně týká dodavatelského řetězce: musí posoudit bezpečnost svých dodavatelů a poskytovatelů služeb, pokud se to týká jeho vlastních systémů.
Nemůže to přeskočit. Jeho vlastní orgán dohledu se ho na to může zeptat a jeho vedení nesí za to osobní odpovědnost. Odtud dotazník a odtud tlak.
Co se v něm obvykle objevuje
Otázky se téměř vždy týkají stejných deseti oblastí, protože vycházejí z téhož právního ustanovení. Máte politiku bezpečnosti informací, jak řešíte incidenty, co děláte pro kontinuitu a zálohování, jak posuzujete své vlastní dodavatele, jak zacházíte se zranitelnostmi, měříte účinnost, jak to vypadá s aktualizacemi a vědomím zaměstnanců, šifrujete data, kdo má přístup kam a používáte dvoustupňové ověření.
Formát se liší — tabulka v Excelu, dokument ve Wordu, portál, do kterého se musíte přihlásit — ale obsah ne. To je přesně důvod, proč je to podruhé mnohem méně práce.
Co je správná odpověď
Upřímná a podložená. Částečně vyřešeno, zde je politika, toto je naplánováno na třetí čtvrtletí: to je lepší odpověď než zaškrtnutí všeho. Váš klient neposuzuje, zda jste dokonalí, ale zda pro něj představujete riziko a zda víte, kde stojíte.
Neměli byste si věci vymýšlet. Odpověď, která se při kontrole neshoduje, vás připraví o smlouvu a vztah. To, co neexistuje, hlásíte jako dosud neřešené, s datem.
Často kladené otázky
Musím to vyplnit?
Právně ne, sami nemáte povinnost. Komerčně je to jiné: bez odpovědi přijdete o smlouvu nebo její prodloužení.
Smí můj klient se mě na to všechno ptát?
Ano. Na rozdíl od dotazníků na udržitelnost neexistuje u směrnice NIS2 právní limit toho, na co se klient může ptát. Musí to však být přiměřené riziku, které pro něj představujete.
Od každého klienta dostávám jiný seznam.
To je správně a to je skutečný problém. Témata jsou stejná, forma se liší. Vytvořit jednou dossier a z něj čerpat odpovědi je proto jedinou proveditelnou cestou.
Jedná se o vysvětlení, nikoli o radu ohledně vaší konkrétní situace. secria.eu vaši organizaci neposuzuje a neposkytuje ujištění.