Proč dostáváte tento dotazník
Pokud vaše společnost dodává něco organizaci, která spadá pod směrnici NIS2 — podstatný nebo důležitý subjekt, například energetické společnosti, nemocnice, velké dopravní podniky nebo operátoři digitální infrastruktury — musí tento zákazník posoudit své vlastní dodavatele. Směrnice totiž zavazuje tohoto zákazníka zmapovat rizika v jeho dodavatelském řetězci, a ne jen vlastní systémy. To je popsáno v tom, co se často nazývá povinnost ke správě bezpečnosti, kterou najdete v článku 21 směrnice. Dotazník, který vám přichází, je praktickým důsledkem: váš zákazník musí být schopen prokázat, že ví, kdo jsou jeho dodavatelé a jak s bezpečností zachází.
Je důležité si uvědomit: skutečnost, že dostáváte dotazník, neznamená automaticky, že sami spadáte pod směrnici NIS2. Většina společností, které takový seznam obdrží, jsou tzv. dotčeni v dodavatelském řetězci — sami nespadají pod zákon, ale jsou s ním konfrontováni prostřednictvím zákazníka. Zda to ve vaší organizaci tak je a jaký přesně druh dotčení to je, můžete zjistit pomocí krátké kontroly, která zmapuje vaši situaci.
Co se v něm obvykle objevuje
Dotazníky, které v současnosti kolují, se velmi liší v závislosti na tvůrci — neexistuje žádný povinný formát ze strany zákona. Přesto se určitá témata objevují téměř vždy. Otázky o tom, kdo ve vaší organizaci odpovídá za bezpečnost informací, zda máte zásadu pro řešení incidentů, jak řídíte přístup k systémům, zda zaměstnanci dostávají školení a zda sami kladete nároky na svoje vlastní dodavatele. Některé seznamy se navíc ptají na certifikace, na předchozí incidenty nebo na to, jak se vypořádáváte s aktualizacemi a nápravnými plány.
Základní myšlenkou je vždy tatáž: zákazník se pokouší získat obraz rizik, která se k němu mohou dostat prostřednictvím vaší dodávky. To není nedůvěra vůči vaší společnosti konkrétně, ale povinnost, kterou musí sám zákazník splnit. Chcete-li pochopit, které deset opatření jsou základem, najdete toto vysvětlení v přehledu témat podle situace.
Co vyžaduje užitečná odpověď
Dobrá odpověď na dotazník zabezpečení není nutně taková, kde všude vyplníte ‚ano'. Regulátoři a zákazníci obvykle hledí na konzistenci: jsou vaše odpovědi v souladu s tím, co skutečně děláte, a lze to doložit? Vágní nebo příliš optimistické vyplnění časem vyvolá více otázek než upřímná odpověď, která jmenuje oblast ke zlepšení s připojeným časovým plánem.
Pomáhá, když máte pro každou otázku jasno v třech věcech: jaká je současná situace, kdo ve vaší organizaci to může potvrdit a jaký doklad k tomu patří — zásadní dokument, snímek obrazovky nastavení, přehled školení. Společnosti, které nemusí tyto tři body pro každou otázku znovu zjišťovat, protože je již zaznamenaly v probíhajícím přehledu, mohou obvykle vyplnit dotazník během hodiny místo dní. To je přesně to, k čemu je určen dossier se stavem, dokladem a vlastníkem na opatření.
Co nemusíte dělat
Je dobré vědět, že vyplnění a odeslání tohoto dotazníku zůstává vaší vlastní odpovědností — služba vám může pomoci s přípravou a strukturováním odpovědí, ale nikdy se nemá hlásit jménem vás zákazníkovi nebo regulátorovi. Audit, penetrační test nebo certifikace jsou také něco jiného než vyplnění dotazníku; to zůstává prací pro specializované strany, pokud vás na něco konkrétního zákazník požádá.
Pokud si nejste jistí, zda jsou vám kladené otázky přiměřené s ohledem na vaši velikost a roli, je to rozhovor, který je nejlepší vést přímo se zákazníkem, případně i s právníkem, pokud se požadavky smluvně fixují. Secria popisuje, co říkají směrnice a národní právní předpisy, ale neposuzuje jednotlivé smlouvy.
Podívejte se dál
Chcete-li se nejprve dozvědět, odkud tyto informace pocházejí a jak se vedou, přečtěte si to na stránce o fungování platformy. Pokud si ještě nejste jisti svou pozicí v dodavatelském řetězci, začněte s bezplatnou kontrolou — ta vám během několika otázek poskytne orientaci a logický další krok, aniž byste k tomu potřebovali účet.