Co opravduje objednatel od poskytovatelů ICT služeb po NIS2
Objednatel, který sám podléhá povinnosti péče podle NIS2, musí prokázat, že také kontroluje rizika ve své dodavatelském řetězci. Pokud poskytujete vzdálenou správu, hosting, správu aplikací nebo helpdesk takovému objednateli, bude se to odrážet v kontraktu: požadavky na to, kdo má přístup k systémům, jak je tento přístup zaznamenáván, a zda nasazujete subdodavatele bez předchozího ohlášení.
Samy požadavky se liší podle objednatele a odvětví, ale řada témat se vrací téměř vždy: správa přístupu, protokolování správních akcí, lhůty pro hlášení incidentu na vaší straně a přehled o tom, kdo další se na práci podílí. Poslední bod — subdodavatelé — je pro mnoho poskytovatelů ICT služeb tématem, na kterém se dotazník nejdéle zastavuje.
Proč je to nyní v kontraktu
Směrnice NIS2 zavazuje organizace, kterých se týká, v článku 21 také posuzovat bezpečnost svých dodavatelů a poskytovatelů služeb. Objednatel, který je sám auditní povinný, to nemůže prokázat ústním slibem; potřebuje písemnou dohodu, kterou může předložit svému vlastnímu dozorovacímu orgánu. Pro vás jako poskytovatele ICT služeb to znamená: stejná otázka se vrací, jen je nyní zakotvena v dodatku nebo příloze smlouvy místo v samostatném e-mailu.
To je posun v podobě, ne nutně v obsahu. Mnoho z toho, co se požaduje, jste jako správce pravděpodobně již dělali. Novinka je, že to musíte moci prokázat, s datem a jménem.
Přístup k zákaznickým systémům: co se přesně požaduje
Objednavatelé stále více požadují přehled o tom, kdo má u nich přístup, s jakými právy a jak je tento přístup zrušen, jakmile někdo tým opustí. Vícefaktorové ověřování pro přístup správce je nyní běžným požadavkem, stejně jako protokol, který zaznamenává, kdy a kým byl systém přístupný. Některé smlouvy dále požadují pevný kontaktní bod na vaší straně, aby objednatel nezávisel na tom, kdo má daný týden službu.
Základní otázka objednatele je vždy stejná: může, když se něco pokazí, zjistit, kdo měl přístup kde a kdy. To je také důvod, proč obecné odpovědi jako "pracujeme podle osvědčených postupů" zřídka stačují — požaduje se konkrétní doklad, ne záměr.
Vzdálená správa: zvýšená pozornost věnovaná ověřování a protokolování
Vzdálená správa má v mnoha dotaznících samostatný oddíl, právě proto, že útočník, který se tam dostane, se může jedním krokem dostat k více zákazníkům. Otázky se pak týkají šifrování připojení, zda je přístup k vzdálené správě oddělen od běžné sítě vaší společnosti a jak rychle můžete sezení uzavřít, máte-li podezření na zneužití. Zde také platí: nejde o posouzení toho, jak dobrá vaše bezpečnost je, ale zda to můžete prokázat.
Kdo takové otázky dostane poprvé, často je vnímá jako jednorázovou akci pro jednoho zákazníka. V praxi lze doklad, který shromažďujete pro jednoho objednatele, s drobnými úpravami použít i pro dalšího. projděte témata podle situace poskytuje přehled o tom, které otázky se vracejí u kterého typu služby.
Subdodavatelé: riziko, které nemáte zcela pod kontrolou
Nejtěžší částí pro mnoho poskytovatelů ICT služeb není vlastní bezpečnost, ale bezpečnost stran, které si najímají: poskytovatele hostingu, monitorovací službu, nezávislého specialistu. Objednávatel, který má sám povinnost péče, chce vědět, zda používáte subdodavatele, kdo to jsou a zda splňují srovnatelné požadavky. Některé smlouvy vás zavazují oznamovat změny v tomto řetězci předem nebo prosazovat stejné požadavky na bezpečnost smluvně vůči vašim vlastním dodavatelům.
Pro malou ICT firmu to není vždy jednoduché zajistit, zejména pokud si subodborný pracovník sám neuvědomuje, proč se tato otázka náhle objevila. Prvním krokem je jednoduchý přehled: kdo pro vás dělá co a jakou dohodu jste o tom uzavřeli. Bez tohoto přehledu je každá nová kontrolní lista opět novým bádáním.
Co můžete a nemůžete slíbit
Je rozumné do smlouvy zahrnout pouze závazky, které můžete podložit. Objednávatel, který se ptá na doby odezvy při incidentu, službu 24/7 nebo záruku, že se nikdy nic nestane, fakticky požaduje slib, který jen málo poskytovatelů ICT služeb může splnit bez nastavení samostatné, nákladné služby. Je na vás a v případě potřeby na právníka, abyste posoudili, které klauzule jsou rozumné a které jdou dále, než jakou povinnost péče váš objednávatel vlastně požaduje.
Zda vaše vlastní organizace přímo podléhá povinnosti péče NIS2 – jako důležitá entita nebo pomocí řetězové odpovědnosti – lze zkontrolovat s pomocí několika otázek. Toto rozlišení určuje, zda pouze připravujete odpovědi pro své zákazníky, nebo si také musíte sami vést dokumentaci.
Pusťte se do toho
Pro objednavatele nakonec nerozhoduje vaše úmysl, ale to, zda je odpověď na jeho otázku připravena v okamžiku, kdy se ji ptá. Kdo si jednou pro každé opatření zaznamenal stav, důkaz a vlastníka, při další kontrolní listině nemusí znovu hledat. Podívejte se jaké jsou náklady na dossier a kontrolní listiny pokud chcete tuto přípravu řešit systematicky, nebo si nejdříve přečtěte často kladené otázky o tom, jak platforma funguje.
Začněte nezávazně s bezplatnou kontrolou NIS2, abyste zjistili, zda je vaše organizace sama povinná, dotčena v dodavatelském řetězci, nebo ani jedno — a v databázi znalostí si přečtěte další informace o tématech, která jsou relevantní pro váš sektor.