Bezpečnostní dotazník od klienta: co s ním máte dělat?

## Proč dostáváte tento dotazník Pokud vaša společnost něco dodává organizaci, která spadá pod směrnici NIS2 — jde o důležitou nebo klíčovou entitu, jako jsou energetické podniky, nemocnice, velké dopravní společnosti nebo operátoři digitální infrastruktury — pak by měl tento odběratel posoudit své vlastní dodavatele. Směrnice totiž zavazuje tohoto odběratele zmapovat rizika v jeho dodavatelském řetězci, nikoliv pouze vlastní systémy. To je popsáno v tom, co se často nazývá povinnost péče, kterou naleznete v článku 21 směrnice. Dotazník, který k vám přichází, je praktickým důsledkem: váš odběratel musí být schopen prokázat, že zná své dodavatele a jak se v oblasti bezpečnosti chovat. Je důležité si uvědomit: fakt, že dostáváte dotazník, automaticky neznamená, že sami spadáte pod směrnici NIS2. Většina společností, které takový seznam obdrží, je tzv. dotčena řetězcem — samy pod zákon nespadají, ale prostřednictvím odběratele se s ním setkávají. Zda je to váš případ a jaký je přesný charakter tohoto ovlivnění, si můžete ověřit pomocí [[LINK:/nis2-check|stručné kontroly, která zmapuje vaši situaci]]. ## Co v nich obvykle je Dotazníky, které se v současné době šíří, se velmi liší v závislosti na autorovi — ze zákona není stanoven žádný povinný formát. Přesto se určitá témata objevují téměř vždy. Otázky o tom, kdo je ve vaší organizaci zodpovědný za bezpečnost informací, zda máte zásadu pro řešení incidentů, jak regulujete přístup k systémům, zda zaměstnanci dostávají školení a zda sami kladete požadavky na své dodavatele. Některé dotazníky se navíc ptají na certifikace, na předchozí incidenty nebo na to, jak zacházíte s aktualizacemi a nápravnými plány. Pod vším tím je vždy stejná myšlenka: odběratel se snaží získat představu o rizicích, která by se k němu mohla dostat prostřednictvím vaší dodávky. Nejde o podezření vůči vaší společnosti konkrétně, ale o povinnost, kterou musí sám odběratel splnit. Chcete-li porozumět deseti opatřením, která jsou při tom základem, naleznete jejich vysvětlení v [[LINK:/onderwerpen|přehledu témat pro jednotlivé situace]]. ## Co vyžaduje užitečnou odpověď Dobrou odpověď na bezpečnostní dotazník není nutně odpověď, kde všude vyplníte "ano". Dozorující orgány a odběratelé obvykle sledují konzistenci: jsou vaše odpovědi v souladu s tím, co skutečně děláte, a můžete to zdokumentovat? Vágní nebo příliš optimistická vyplnění vyvolávají z dlouhodobého hlediska více otázek než poctivá odpověď, která pojmenuje oblast ke zlepšení s časovým plánem. Pomáhá mít u každé otázky jasné tři věci: jaká je aktuální situace, kdo ve vaší organizaci to může potvrdit a jaký důkaz k tomu patří — dokument se zásadou, snímek obrazovky nastavení, přehled školení. Společnosti, které tyto tři body nemusí u každé otázky znovu vyhledávat, ale už je mají zaznamenány v průběžném přehledu, mohou dotazník obvykle vyplnit v rámci hodiny místo dnů. To je přesně to, k čemu je určen dossier se stavem, důkazem a vlastníkem na opatření. ## Co nemusíte dělat Je dobré vědět, že vyplnění a odeslání tohoto dotazníku zůstává vaší vlastní odpovědností — služba vám může pomoci s přípravou a strukturováním odpovědí, ale nikdy by neměla jednat vaším jménem vůči odběrateli nebo dozorujícímu orgánu. Audit, penetrační test nebo certifikace je něco jiného než vyplnění dotazníku; to zůstává práce pro specializované strany, pokud vás na to odběratel konkrétně požádá. Pokud si nejste jisti, zda jsou otázky, které dostáváte, přiměřené vzhledem k vaší velikosti a roli, je to rozhovor, který byste nejlépe vedli přímo s odběratelem, případně s právníkem, pokud budou požadavky smluvně zakotveny. Secria popisuje, co říkají směrnice a národní legislativa, ale neposuzuje jednotlivé smlouvy. ## Dále se podívejte Chcete-li nejdříve vědět, odkud tyto informace pocházejí a jak jsou udržovány, přečtěte si to na [[LINK:/hoe-het-werkt|stránce o tom, jak platforma funguje]]. Pokud si ještě nevytváříte představu o vaší vlastní pozici v řetězci, začněte bezplatnou kontrolou — ta vám v pár otázkách poskytne orientaci a logický další krok, aniž byste k tomu potřebovali účet.