Ερωτηματολόγιο ασφάλειας ενός πελάτη: τι πρέπει να κάνετε;

## Γιατί λαμβάνετε αυτό το ερωτηματολόγιο Αν η επιχείρησή σας προμηθεύει κάτι σε έναν οργανισμό που υπόκειται στην Οδηγία NIS2 — μια ουσιώδη ή σημαντική οντότητα, σκεφτείτε εταιρείες ενέργειας, νοσοκομεία, μεγάλες εταιρείες μεταφορών ή ψηφιακές υποδομές — τότε ο πελάτης του πρέπει να αξιολογεί τους δικούς του προμηθευτές. Η Οδηγία υποχρεώνει τον πελάτη να χαρτογραφήσει τους κινδύνους στην αλυσίδα παροχής του, όχι μόνο τα δικά του συστήματα. Αυτό περιγράφεται σε αυτό που συχνά ονομάζεται υποχρέωση φροντίδας, που βρίσκεται στο άρθρο 21 της Οδηγίας. Το ερωτηματολόγιο που φθάνει στας, είναι το πρακτικό αποτέλεσμα: ο πελάτης σας πρέπει να αποδείξει ότι γνωρίζει ποιοι είναι οι προμηθευτές του και πώς χειρίζονται την ασφάλεια. Σημαντικό να κατανοήσετε: το γεγονός ότι λαμβάνετε ένα ερωτηματολόγιο δεν σημαίνει αυτόματα ότι υπόκεισθε στην Οδηγία NIS2 ο ίδιος. Τα περισσότερα επιχειρήσεις που λαμβάνουν τέτοια κατάλογο, είναι αυτό που ονομάζεται αλυσίδα—επηρεασμένο — δεν υπόκεινται στον νόμο από μόνα τους, αλλά αντιμετωπίζουν τον κίνδυνο μέσα από έναν πελάτη. Ή αυτό ισχύει για την οργάνωσή σας και τι είδος επιρροής ακριβώς είναι, μπορείτε να ελέγξετε με [[LINK:/nis2-check|έναν σύντομο έλεγχο που χαρτογραφεί την κατάστασή σας]]. ## Τι συνήθως περιέχεται Τα ερωτηματολόγια που κυκλοφορούν επί του παρόντος, διαφέρουν σημαντικά ανάλογα με τον συντάκτη — δεν υπάρχει υποχρεωτική μορφή από τη νομοθεσία. Ωστόσο, ορισμένα θέματα εμφανίζονται σχεδόν πάντα. Ερωτήσεις σχετικά με το ποιος στον οργανισμό σας είναι υπεύθυνος για την ασφάλεια πληροφοριών, εάν έχετε μια πολιτική για την αντιμετώπιση συμβάντων, πώς ρυθμίζετε την πρόσβαση στα συστήματα, εάν οι υπάλληλοι λαμβάνουν κατάρτιση, και εάν θέσετε και οι ίδιοι απαιτήσεις για τους δικούς σας προμηθευτές. Ορισμένα κατάλογα ζητούν επιπλέον πιστοποιήσεις, προηγούμενα συμβάντα, ή πώς χειρίζεστε τις ενημερώσεις και τα σχέδια αποκατάστασης. Η υποκείμενη σκέψη είναι πάντα η ίδια: ο πελάτης προσπαθεί να δημιουργήσει μια εικόνα των κινδύνων που μπορούν να έρθουν σε αυτόν μέσω της παροχής σας. Αυτό δεν είναι δυσπιστία απέναντι στη συγκεκριμένη επιχείρησή σας, αλλά μια υποχρέωση που ο ίδιος ο πελάτης πρέπει να τηρήσει. Αν θέλετε να καταλάβετε ποιες δέκα μέτρα χρησιμοποιούνται ως ακαταλόγιστα σημεία, θα βρείτε αυτήν την εξήγηση πίσω στο [[LINK:/onderwerpen|επισκόπηση των θεμάτων ανά κατάσταση]]. ## Τι ζητά μια χρήσιμη απάντηση Μια καλή απάντηση σε ένα ερωτηματολόγιο ασφάλειας δεν είναι απαραίτητα μια απάντηση στην οποία συμπληρώνετε 'ναι' παντού. Οι αρχές εποπτείας και οι πελάτες συνήθως κοιτάζουν τη συνέπεια: είναι οι απαντήσεις σας συνεπείς με αυτό που κάνετε στην πραγματικότητα, και μπορείτε να το τεκμηριώσετε; Μια δυσνόητη ή πολύ αισιόδοξη συμπλήρωση παράγει περισσότερες ερωτήσεις με την πάροδο του χρόνου παρά μια ειλικρινής απάντηση που επισημαίνει ένα σημείο βελτίωσης με ένα χρονοδιάγραμμα. Βοηθά να έχετε ξεκάθαρα τρία πράγματα ανά ερώτηση: ποια είναι η τρέχουσα κατάσταση, ποιος στον οργανισμό σας μπορεί να το επιβεβαιώσει, και ποιο είναι το σχετικό έγγραφο — ένα πολιτικό έγγραφο, ένα στιγμιότυπο μιας ρύθμισης, μια λίστα κατάρτισης. Οι επιχειρήσεις που δεν χρειάζεται να αναζητήσουν ξανά αυτά τα τρία σημεία ανά ερώτηση, αλλά τα έχουν ήδη καταγράψει σε μια τρέχουσα επισκόπηση, μπορούν συνήθως να συμπληρώσουν ένα ερωτηματολόγιο σε περίπου μια ώρα αντί για ημέρες. Αυτό είναι ακριβώς αυτό για το οποίο προορίζεται ένα δοσιέ με κατάσταση, έγγραφο και ιδιοκτήτη ανά μέτρο. ## Τι δεν χρειάζεται να κάνετε Είναι καλό να γνωρίζετε ότι η συμπλήρωση και αποστολή αυτού του ερωτηματολογίου παραμένει δική σας ευθύνη — μια υπηρεσία μπορεί να σας βοηθήσει στην προετοιμασία και δόμηση των απαντήσεων, αλλά δεν θα πρέπει ποτέ να υποβάλει αίτηση εκ μέρους σας σε έναν πελάτη ή αρχή. Επίσης, ένας έλεγχος, ένα pentest ή μια πιστοποίηση είναι κάτι διαφορετικό από τη συμπλήρωση ενός ερωτηματολογίου· αυτό παραμένει έργο για ειδικευμένα κόμματα, σε περίπτωση που ένας πελάτης ζητήσει ειδικά για αυτό. Αν αμφιβάλλετε ότι οι ερωτήσεις που λαμβάνετε είναι λογικές σε σχέση με το μέγεθος και το ρόλο σας, αυτό είναι μια συζήτηση που θα κάνατε καλύτερα απευθείας με τον πελάτη, πιθανώς με έναν δικηγόρο εάν οι απαιτήσεις καθορίζονται συμβατικά. Η Secria περιγράφει τι λέει η Οδηγία και η εθνική νομοθεσία, αλλά δεν κρίνει τα μεμονωμένα συμβόλαια. ## Περαιτέρω εξέταση Αν θέλετε πρώτα να γνωρίζετε από πού προέρχονται αυτές οι πληροφορίες και πώς διατηρούνται, διαβάστε αυτό στη σελίδα [[LINK:/hoe-het-werkt|για τη μεθοδολογία της πλατφόρμας]]. Εάν δεν έχετε ακόμη ένα ξεκάθαρο όραμα της δικής σας θέσης στην αλυσίδα, ξεκινήστε με τον δωρεάν έλεγχο — αυτό δίνει μια ένδειξη εντός ενός ζεύγους ερωτήσεων και ένα λογικό επόμενο βήμα, χωρίς να χρειάζεστε ένα λογαριασμό για αυτό.