Γιατί λαμβάνετε αυτό το ερωτηματολόγιο
Εάν η επιχείρησή σας προμηθεύει κάτι σε έναν οργανισμό που υπόκειται στην Οδηγία NIS2 — μια ουσιώδη ή σημαντική οντότητα, όπως ενεργειακές εταιρείες, νοσοκομεία, μεγάλες εταιρείες μεταφορών ή ψηφιακή υποδομή — τότε ο πελάτης αυτός θα πρέπει να αξιολογήσει τους δικούς του προμηθευτές. Η Οδηγία υποχρεώνει συγκεκριμένα τον πελάτη να χαρτογραφήσει τους κινδύνους στην αλυσίδα εφοδιασμού του, όχι μόνο τα δικά του συστήματα. Αυτό περιγράφεται σε αυτό που συχνά ονομάζεται υπεύθυνη διαχείριση, το οποίο βρίσκεται στο άρθρο 21 της Οδηγίας. Το ερωτηματολόγιο που λαμβάνετε είναι το πρακτικό αποτέλεσμα αυτού: ο πελάτης σας πρέπει να αποδείξει ότι γνωρίζει ποιοι είναι οι προμηθευτές του και πώς αντιμετωπίζουν την ασφάλεια.
Σημαντικό να κατανοήσετε: το ότι λαμβάνετε ένα ερωτηματολόγιο δεν σημαίνει αυτόματα ότι υπόκειστε και οι ίδιοι στην Οδηγία NIS2. Τα περισσότερα επιχειρήσεις που λαμβάνουν τέτοια έντυπα είναι αυτά που θεωρούνται ως επηρεασμένα από την αλυσίδα εφοδιασμού — δεν υπόκειστε και οι ίδιοι στο νόμο, αλλά αντιμετωπίζετε τις συνέπειές του μέσω ενός πελάτη. Αν ισχύει αυτό για τον οργανισμό σας και ποιος είναι ο ακριβής τύπος επιρροής, μπορείτε να ελέγξετε με έναν σύντομο έλεγχο που χαρτογραφεί την κατάστασή σας.
Τι συνήθως περιέχεται
Τα ερωτηματολόγια που κυκλοφορούν επί του παρόντος διαφέρουν σημαντικά ανάλογα με τον συντάκτη — δεν υπάρχει υποχρεωτική μορφή από το νόμο. Ωστόσο, ορισμένα θέματα εμφανίζονται σχεδόν πάντα. Ερωτήσεις σχετικά με το ποιος στον οργανισμό σας είναι υπεύθυνος για την ασφάλεια της πληροφορίας, αν έχετε πολιτική για την αντιμετώπιση περιστατικών, πώς ρυθμίζετε την πρόσβαση στα συστήματα, αν οι υπάλληλοι λαμβάνουν κατάρτιση, και αν θέτετε και εσείς απαιτήσεις στους δικούς σας προμηθευτές. Ορισμένα έντυπα ρωτούν επιπλέον σχετικά με πιστοποιήσεις, προηγούμενα περιστατικά ή πώς αντιμετωπίζετε τις ενημερώσεις και τα σχέδια διόρθωσης.
Η υποκείμενη λογική είναι πάντα η ίδια: ο πελάτης προσπαθεί να αποκτήσει μια εικόνα των κινδύνων που μπορεί να εμφανιστούν μέσω της προμήθειάς σας. Αυτό δεν αποτελεί δυσπιστία απέναντι στην επιχείρησή σας συγκεκριμένα, αλλά μια υποχρέωση που ο πελάτης πρέπει να εκπληρώσει. Αν θέλετε να κατανοήσετε ποιες είναι οι δέκα μέτρα που υπηρετούν ως αφετηρία, θα βρείτε την εξήγηση σε την επισκόπηση των θεμάτων ανά περίσταση.
Τι απαιτεί μια χρήσιμη απάντηση
Μια καλή απάντηση σε ένα ερωτηματολόγιο ασφάλειας δεν είναι απαραίτητα απάντηση όπου συμπληρώνετε παντού 'ναι'. Οι ρυθμιστικές αρχές και οι πελάτες συνήθως κοιτάζουν τη συνέπεια: ευθυγραμμίζονται οι απαντήσεις σας με αυτό που κάνετε πραγματικά και μπορείτε να το τεκμηριώσετε; Μια ασαφής ή υπερβολικά αισιόδοξη συμπλήρωση θα δημιουργήσει περισσότερες ερωτήσεις με την πάροδο του χρόνου από ό,τι μια ειλικρινής απάντηση που ονομάζει ένα σημείο βελτίωσης με χρονοδιάγραμμα.
Βοηθά να έχετε τρία πράγματα ξεκάθαρα για κάθε ερώτηση: ποια είναι η τρέχουσα κατάσταση, ποιος στον οργανισμό σας μπορεί να το επιβεβαιώσει και ποιο αποδεικτικό στοιχείο σχετίζεται με αυτό — ένα έγγραφο πολιτικής, ένα στιγμιότυπο ρύθμισης, μια επισκόπηση κατάρτισης. Οι επιχειρήσεις που δεν χρειάζεται να βρουν ξανά αυτά τα τρία σημεία για κάθε ερώτηση, αλλά τα έχουν ήδη καταγράψει σε μια τρέχουσα επισκόπηση, συνήθως μπορούν να συμπληρώσουν ένα ερωτηματολόγιο εντός μιας ώρας αντί ημερών. Αυτό είναι ακριβώς ο λόγος για τον οποίο ένα δοσιολόγιο με κατάσταση, αποδεικτικό στοιχείο και ιδιοκτήτη ανά μέτρο προορίζεται.
Τι δεν χρειάζεται να κάνετε
Είναι καλό να γνωρίζετε ότι η συμπλήρωση και η αποστολή αυτού του ερωτηματολογίου παραμένει δική σας ευθύνη — μια υπηρεσία μπορεί να σας βοηθήσει στην προετοιμασία και δόμηση των απαντήσεων, αλλά δεν πρέπει ποτέ να υποβάλει εκ μέρους σας σε έναν πελάτη ή ρυθμιστική αρχή. Επίσης, ένας έλεγχος, ένα δοκιμαστικό τεστ διείσδυσης ή μια πιστοποίηση είναι κάτι διαφορετικό από τη συμπλήρωση ενός ερωτηματολογίου· αυτό παραμένει δουλειά για εξειδικευμένα μέρη, εάν ένας πελάτης το ζητήσει συγκεκριμένα.
Εάν έχετε αμφιβολίες σχετικά με το αν τα ερωτήματα που λαμβάνετε είναι λογικά σε σχέση με το μέγεθος και το ρόλο σας, αυτή είναι μια συζήτηση που κάνετε καλύτερα απευθείας με τον πελάτη, ενδεχομένως με έναν δικηγόρο εάν οι απαιτήσεις καθορίζονται συμβατικά. Η secria.eu περιγράφει αυτό που λέει η Οδηγία και η εθνική νομοθεσία, αλλά δεν αποφασίζει για ατομικά συμβόλαια.
Κοιτάξτε περαιτέρω
Αν θέλετε πρώτα να μάθετε από πού προέρχονται αυτές οι πληροφορίες και πώς διατηρούνται, διαβάστε το στη σελίδα σχετικά με τον τρόπο λειτουργίας της πλατφόρμας. Εάν δεν έχετε ακόμη μια εικόνα της δικής σας θέσης στην αλυσίδα εφοδιασμού, ξεκινήστε με τον δωρεάν έλεγχο — αυτός σας δίνει μέσα σε λίγες ερωτήσεις μια ένδειξη και ένα λογικό επόμενο βήμα, χωρίς να χρειάζεστε λογαριασμό για αυτό.