Miksi saat tämän kyselylomakkeen
Jos yrityksesi toimittaa jotakin organisaatiolle, joka kuuluu NIS2-direktiivin piiriin — olennaiselle tai tärkeälle kokonaisuudelle, kuten energiayhtiöt, sairaalat, suuret liikennealan yritykset tai digitaalinen infrastruktuuri — asiakkaansa on arvioitava omat toimittajansa. Direktiivi velvoittaa nimittäin asiakkaansa kartoittamaan riskit toimitusketjussaan, ei pelkästään omissa järjestelmissään. Tämä on kuvattu niin sanotusta huolellisuusvelvollisuudesta, joka löytyy direktiivin 21 artiklasta. Lomake, joka saapuu sinulle, on käytännön seurausta siitä: asiakkaasi on pystyttävä osoittamaan, että hän tuntee toimittajansa ja miten he käsittelevät turvallisuutta.
On tärkeää ymmärtää: se, että saat kyselylomakkeen, ei automaattisesti tarkoita, että olet itse NIS2-direktiivin piiriin kuuluva. Useimmat yritykset, jotka saavat tällaisen listan, ovat niin sanottuina ketjun välityksellä kärsivät — ne eivät itse kuulu lain piiriin, mutta asiakkaan kautta joutuvat siihen kosketuksiin. Voit tarkistaa omalla tarkistuksella, koskeekokin se organisaatiotasi ja millaista vaikutusta se tarkalleen ottaen on lyhyellä tarkistuksella, joka selvittää tilanteitasi.
Mitä siinä yleensä on
Nyt liikkeellä olevat kyselylomakkeet poikkeavat suuresti laatijoittain — laista ei löydy pakollista muotoa. Silti tietyt aiheet ovat lähes aina esillä. Kysymykset siitä, kuka organisaatiossasi vastaa tietoturvasta, onko sinulla politiikkaa tapauksiin vastaamiseen, miten hallitset järjestelmäkäyttöoikeuksia, savatko työntekijät koulutusta, ja asettatko itse vaatimuksia omille toimittajillesi. Jotkut lomakkeet kysyvät lisäksi sertifioinneista, aikaisemmista poikkeamista tai siitä, miten hallitset päivityksiä ja palautussuunnitelmia.
Taustalla oleva ajattelu on aina sama: asiakas yrittää saada kuvan riskeistä, jotka voivat tulla hänelle sinun toimituksesi kautta. Tämä ei ole epäluottamus sinua kohtaan, vaan velvoite, jonka asiakas itse joutuu noudattamaan. Jos haluat ymmärtää, mitkä kymmenen toimenpidettä ovat taustalla, löydät selityksen tilanteittain olevia aiheita käsittelevästä yleiskatsauksesta.
Mitä hyödyllinen vastaus vaatii
Hyvä vastaus tietoturvakyselylomakkeeseen ei välttämättä ole sellainen, johon merkitset kaikkiin 'kyllä'. Valvontaviranomaiset ja asiakkaat tarkastelevat yleensä johdonmukaisuutta: ovatko vastauksesi linjassa sen kanssa, mitä todella teet, ja pystyt kutsumaan niitä perusteltuja? Epämääräinen tai liian optimistinen vastaus johtaa pitkällä aikavälillä useampiin kysymyksiin kuin rehellinen vastaus, joka nimeää kehityspalstan aikataululineen.
Se auttaa, jos sinulla on jokaiselle kysymykselle kolme asiaa selkeästi: mikä nykyinen tilanne on, kuka organisaatiossasi voi vahvistaa sen, ja mikä asiakirja siihen liittyy — politiikka, kuvakaappaus asetuksesta, koulutusyleiskatsaus. Yritykset, jotka eivät joudu etsimään näitä kolmea asiaa uudelleen jokaisesta kysymyksestä, mutta joilla on ne jo tallennettuna käyttökelpoisen yleiskatsauksen muodossa, voivat yleensä täyttää kyselylomakkeen tunnissa muutaman päivän sijaan. Juuri siihen tarkoitukseen on dossier, jossa on tila, asiakirja ja vastuuhenkilö jokaista toimenpidettä kohti.
Mitä sinun ei tarvitse tehdä
On hyvä tietää, että tämän kyselylomakkeen täyttäminen ja lähettäminen pysyy omaksesi vastuuksesi — palvelu voi auttaa sinua vastausten valmistelussa ja jäsentämisessä, mutta ei koskaan toimi puolestasi asiakkaalle tai viranomaiselle. Myös auditointi, penetraatiotesti tai sertifioiminen on eri asia kuin kyselylomakkeen täyttäminen; se pysyy erikoistuneiden osapuolten työnä tarvittaessa.
Jos epäilet, ovatko saamiasi kysymyksiä kohtuullisia suhteessa kokoonpanoosi ja rooliinsa, kyse on keskustelusta, jonka käyt parhaiten suoraan asiakkaan kanssa, mahdollisesti lakimiehen kanssa, jos vaatimukset vahvistetaan sopimuksessa. Secria kuvaa mitä direktiivi ja kansallinen lainsäädäntö sanovat, mutta ei arvostele yksittäisiä sopimuksia.
Katso pidemmälle
Haluatko ensin tietää, mistä nämä tiedot tulevat ja miten niitä ylläpidetään, voit lukea sen osoitteesta alustan toimintamenetelmää käsittelevä sivu. Jos sinulla ei vielä ole selvää käsitystä omasta asemastasi toimitusketjussa, aloita ilmaisella tarkistuksella — se antaa muutaman kysymyksen jälkeen indikaation ja loogisen seuraavan vaiheen ilman, että tarvitset tiliä.