Hvorfor du modtager dette spørgeskema
Hvis dit selskab leverer noget til en organisation, der falder under NIS2-direktivet — en operatør af væsentlig betydning eller vigtig operatør, tænk på energiselskaber, hospitaler, store transportselskaber eller digital infrastruktur — skal denne kunde vurdere sine egne leverandører. Direktivet forpligter nemlig denne kunde til at kortlægge risici i sin forsyningskæde, ikke blot hans egne systemer. Det er beskrevet i det, der ofte kaldes risikostyringsforpligtelsen, som findes i artikel 21 i direktivet. Det spørgeskema, du modtager, er den praktiske konsekvens heraf: din kunde skal kunne påvise, at han ved, hvem hans leverandører er, og hvordan de håndterer sikkerhed.
Det er vigtigt at være klar over: det faktum, at du modtager et spørgeskema, betyder ikke automatisk, at du selv falder under NIS2-direktivet. De fleste virksomheder, der modtager sådan en liste, er det, der kaldes værdiketjepåvirket — de falder ikke selv under loven, men bliver konfronteret med det via en kunde. Hvorvidt det gælder for din organisation, og hvilken type påvirkning det præcis er, kan du kontrollere med en kort kontrol, der kortlægger din situation.
Hvad der sædvanligvis står i det
De spørgeskemaer, der cirkulerer i øjeblikket, varierer stærkt afhængigt af opretter — der er ingen obligatorisk format fra loven. Alligevel dukker visse emner næsten altid op. Spørgsmål om, hvem inden for din organisation der er ansvarlig for informationssikkerhed, eller du har en politik for håndtering af hændelser, hvordan du regulerer adgang til systemer, eller medarbejderne får træning, og om du selv stiller krav til dine egne leverandører. Nogle lister spørger desuden om certificeringer, tidligere hændelser eller hvordan du håndterer opdateringer og genoprettelsesplaner.
Den underliggende tankegang er altid den samme: kunden forsøger at få et billede af risici, der kan nå ham gennem din levering. Det er ikke mistro over for dit selskab specifikt, men en forpligtelse, som kunden selv skal opfylde. Hvis du vil forstå, hvilke ti foranstaltninger der ligger til grund herfor, finder du denne forklaring i oversigten over emner pr. situation.
Hvad der kræves til et brugbart svar
Et godt svar på et informationssikkerhedsspørgeskema er ikke nødvendigvis et svar, hvor du skriver 'ja' overalt. Tilsynsmyndigheder og kunder ser normalt på konsistens: stemmer dine svar overens med, hvad du faktisk gør, og kan du underbygge det? En vag eller alt for optimistisk udfyldelse resulterer på sigt i flere spørgsmål end et ærligt svar, der navngiver et forbedringspunkt med en tidsplan.
Det hjælper at have tre ting klare pr. spørgsmål: hvad den aktuelle situation er, hvem inden for din organisation der kan bekræfte det, og hvilket bevisstykke der hører til — et politikdokument, et skærmbillede af en indstilling, en træningsoversigt. Virksomheder, der ikke skal finde disse tre punkter igen pr. spørgsmål, men allerede har dokumenteret dem i en løbende oversigt, kan normalt udfylde et spørgeskema inden for en time i stedet for dage. Det er præcis, hvad et dossier med status, bevisstykke og ejer pr. foranstaltning er beregnet til.
Hvad du ikke behøver at gøre
Det er godt at vide, at udfyldelse og afsendelse af dette spørgeskema forbliver dit ansvar — en tjeneste kan hjælpe dig med at forberede og strukturere svar, men skal aldrig indsende på dine vegne til en kunde eller tilsynsmyndighed. En audit, en penetrationstest eller en certificering er heller ikke det samme som udfyldelse af et spørgeskema; det forbliver arbejde for specialiserede parter, hvis en kunde specifikt anmoder om det.
Hvis du er usikker på, om de spørgsmål, du modtager, er rimelige i forhold til din størrelse og rolle, er det en samtale, du bedst fører direkte med kunden, eventuelt med en jurist involveret, hvis kravene bliver kontraktligt fastlagt. Secria beskriver, hvad direktivet og den nationale lovgivning siger, men tager ikke stilling til individuelle kontrakter.
Se videre
Hvis du først vil vide, hvor disse oplysninger kommer fra, og hvordan de vedligeholdes, kan du læse det på siden om platformens arbejdsmetode. Hvis du endnu ikke har et overblik over din egen position i forsyningskæden, skal du begynde med den gratis kontrol — den giver inden for et par spørgsmål en indikation og et logisk næste trin, uden at du har brug for en konto.