Miks te saate selle küsimustiku
Kui teie ettevõte tarnis midagi organisatsioonile, mis kuulub NIS2 direktiivi alla — olemuslike või oluliste üksuste hulka, nagu energiaettevõtted, haiglavõrked, suured transpordifirmad või digitaalse infrastruktuuri pakkujad — peab see klient oma tarnijaid hindama. Direktiiv kohustab seda klientide nimelt kaardistama riskid oma tarneahelas, mitte ainult oma süsteemides. See on kirjeldatud nn riskihaldamiskohustuse osas, mis on toodud direktiivi artiklis 21. Küsimustik, mis teie juurde saabub, on selle praktiline tagajärg: teie klient peab suutma tõestada, et teab, kes tema tarnijad on ja kuidas nad turvalisusega käituvad.
Oluline on mõista: asjaolu, et saate küsimustiku, ei tähenda automaatselt, et kuulute ise NIS2 direktiivi alla. Enamik ettevõtteid, kes sellist listi saavad, on nn tarneahelasse kaasatud — nad ei kuulu ise seaduse alla, kuid puutuvad sellega kokku kliendi kaudu. Kas see teie organisatsiooni puhul nii on ja milline on täpselt see kaasatuse liik, saate kontrollida lühikese kontrollimisega, mis teie olukorra kaardistab.
Mis tavaliselt küsimustikus on
Ringlevad küsimustikud erinevad väga suurel määral sõltuvalt koostajast — seadusest ei tulene kohustuslik vorming. Siiski ilmnevad teatud teemad peaaegu alati. Küsimused selle kohta, kes teie organisatsioonis vastutab infoturvalisuse eest, kas teil on intsidentide käsitlemise poliitika, kuidas reguleerite juurdepääsu süsteemidele, kas töötajad saavad koolitust, ja kas te seate ise nõudeid oma tarnijaile. Mõned loetellud dokumendid küsivad veel sertifitseeringute, eelnevate intsidentide ja uuenduste ning parandusplaanidega käsitlemise kohta.
Aluseks olev mõte on alati sama: klient püüab saada pildi risikidest, mis võivad tema juurde jõuda teie tarnimise kaudu. See ei ole teie ettevõtte suhtes ebakindlus, vaid kohustus, mida klient ise peab täitma. Kui soovite mõista, millised kümme meetmet selleks aluseks võetakse, leiate selle selgituse iga olukorra teemade ülevaates.
Mis nõuab kasutatavat vastust
Hea vastus turvalisuse küsimustikule ei pruugi olla vastus, kus märgite kõikjale 'jah'. Järelevalveasutused ja kliendid vaatavad tavaliselt järjekindlust: kas teie vastused järgivad seda, mida te tegelikult teete, ja saate te seda tõendada? Hägune või liiga optimistlik vastus tekitab pika aja jooksul rohkem küsimusi kui aus vastus, mis nimetab parendusvajaduse koos ajaplaanikuga.
Aitab, kui teil on iga küsimuse kohta selge käsitius kolm asja: milline on praegune olukord, kes teie organisatsioonis seda kinnitada saab ja milline tõendmaterjal sellega kaasneb — poliitikadokument, süsteemiseade pildil, koolituste loetelu. Ettevõtted, kellel ei pea iga küsimuse puhul neid kolme punkti uuesti otsima, vaid on need juba fikseeritud käimasoleval ülevaatel, saavad tavaliselt küsimustiku täita tunni jooksul päevade asemel. Just selleks on mõeldud dossee, milles on kirjas olekufakt, tõendmaterjal ja vastutav isik iga meetme kohta.
Mida te tegema ei pea
Hea on teada, et selle küsimustiku täitmine ja saatmine on teie enda vastutus — teenus võib teid vastuste ettevalmistamisel ja struktureerimisel aidata, kuid ei tohi kunagi teie nimel kliendile ega järelevalveasutusele esitada. Samuti on audit, penetratsioonitest või sertifitseerimine midagi muud kui küsimustiku täitmine; see jääb spetsialiseeritud poolte tööks, kui klient seda eraldi palub.
Kui teil on kahtlusi, kas teile esitatud küsimused on mõistlikus suhtes teie mahtude ja rolli teadmises, tasub seda vestlust viia otse kliendiga, vajaduse korral juristiga kaasas, kui nõuded fikseeritakse lepinguliselt. Secria kirjeldab, mida direktiiv ja riiklik seadusandlus ütlevad, kuid ei arvusta üksikute lepingute üle.
Vaadake edasi
Kui soovite teada saada, kust see teave pärineb ja kuidas seda hoitakse, leiate selle platvormi töömeetodite lehelt. Kui teil ei ole veel ülevaadet oma positsioonist tarneahelias, alustage tasuta kontrollimisega — see annab paari küsimuse jooksul näidu ja loogilise järgmise sammu, ilma et peaksite selleks kontot looma.