minu klient nõuab küberjulgeoleku küsimustiku täitmist, mida pean tegema

Turvalisuse küsimustik on tavaliselt tarneahela signaal, mitte seaduselik kohustus

Kliendi poolt saadetud küsimustik tähendab tavaliselt, et klient ise kuulub NIS2-regulatsiooni alla ja on kohustatud hindama oma hankijaid. See juhtub ka siis, kui vastuvõtja organisatsioon ise üldse seadusest tingitud kohustustest ei kuulu: klient peab oma tarneahelat kaardistama, ja küsimustik on selle tagajärg. Selline olukord — küsimustele vastamine ilma ise seaduse alla kuulumata — on levinud paljude KKU-hankijate seas ja on üksikasjalikumalt selgitatud lehel miks hankijad saavad turvalisuse nõudeid ilma ise kohustuslased olemata.

Küsimustik käsitleb tavaliselt samu teemasid: juurdepääsu juhtimine, paigaldamise poliitika, intsidentide tuvastamine, varukoopiad, hankijate juhtimine ja kes organisatsioonis vastutab turvalisuse eest. Kes neid teemasid veel korras või paberil ei ole, peaks seda esmalt korraldama, enne kui küsimustikule vastata — muidu tekib segane pildipuudus, mille vastused tuleb järgmise küsimustiku puhul uuesti kokku koguda. Hea esimene samm on välja selgitada millised kümme meedet kasutatakse baasina, sest peaaegu iga küsimustik põhineb nende tuumaspektidel, ja määrata kust alustada kui midagi veel fikseeritud pole.

Miks kliendid seda täpselt nii küsivad: NIS2 artikkel 21 lõige 2

Hankijate hindamise kohustus tuleneb NIS2-direktiivi artikli 21 lõikest 2, mis sisaldab kümmet meedet, mida kohustuslane organisatsioon peab võtma — sealhulgas selgesõnaliselt tarneahela küberturbe. Oleviline või oluline üksus, kes soovib sellele meetmele vastata, saab seda tõendada ainult oma hankijaid ka kontrollides, ja turvalisuse küsimustik on selleks tavapärane instrument. Rahvuslikuks ülevõtuks, Cyberbeveiligingute seaduseks, kehtib see kohustus organisatsioonidele, kes Hollandis seaduse alla kuuluvad. Kes ise soovib kontrollida, kas see kohustus kehtib otse tema organisatsioonile, saab seda kontrollida küsimusega kuidas määrata, kas ettevõtte kuulub NIS2 alla.