Zašto primjenjujete ovaj upitnik
Ako vaše poduzeće nešto opskrbljuje organizaciji koja spada pod Direktivu NIS2 — bitnu ili važnu entitet, pomislite na energetska poduzeća, bolnice, velike transportne tvrtke ili digitalnu infrastrukturu — tada taj kupac mora procijeniti svoje dobavljače. Direktiva naime obvezuje tog kupca da identificira rizike u svojoj dobavnoj mreži, ne samo u vlastitim sustavima. To je opisano u tako zvanenoj obavezi pažnje, koja se nalazi u članku 21 Direktive. Upitnik koji vam stiže praktična je posljedica toga: vaš kupac mora moći dokazati da zna tko su njegovi dobavljači i kako se oni odnosu prema sigurnosti.
Važno je shvatiti: činjenica da ste dobili upitnik ne znači automatski da i sami spadate pod Direktivu NIS2. Većina poduzeća koja primaju takvu listu ona se naziva kao zahvaćena dobavnom mrežom — oni sami ne spadaju pod zakon, ali su na njega izloženi kroz kupca. Možete provjeriti je li to vaša situacija i koju vrstu izloženosti točno imate korištenjem kratke provjere koja картира vašu situaciju.
Što se najčešće nalazi u popisu
Upitnici koji trenutno cirkuliraju značajno se razlikuju od onoga tko ga je sastavio — zakon ne propisuje obavezan format. Ipak određene teme se skoro uvijek pojavljuju. Pitanja o tome tko je u vašoj organizaciji odgovoran za informatičku sigurnost, ima li vašu politiku za rukovanje incidentima, kako regulirate pristup sustavima, jesu li zaposlenici obučeni, i postavljate li i sami zahtjeve svojim vlastiti dobavljačima. Neki upitnici dodatno pitaju o certifikacijama, o prethodnim incidentima ili kako se odnosite prema ažuriranjima i planovima oporavka.
Temeljni pristup je uvijek isti: kupac pokušava steći sliku rizika koji putem vaše opskrbe mogu doći do njega. To nije nepovjerenje prema vašem poduzeću, već obaveza koju sam kupac mora ispuniti. Ako želite razumjeti koja su deset mjera osnova za to, objašnjenje možete pronaći u pregledu tema po situaciji.
Što zahtijeva koristan odgovor
Dobar odgovor na upitnik o sigurnosti nije nužno onaj u kojemu svugdje napišete 'da'. Nadzornici i kupci obično gledaju dosljednost: jesu li vaši odgovori u skladu s onim što zaista radite, i možete li to dokazati? Nejasan ili pretjerano optimističan odgovor na dugi rok izaziva više pitanja nego iskren odgovor koji identificira poboljšanje s vremenskim rokom.
Pomaže ako za svako pitanje imate tri jasne stvari: koja je trenutna situacija, tko u vašoj organizaciji to može potvrditi, i koji dokaz tome odgovara — dokument politike, snimka ekrana postavke, popis treninga. Poduzeća koja ne trebaju ponovo tražiti ova tri elementa za svako pitanje, već ih već imaju zabilježena u aktualnom registru, mogu obično popuniti upitnik u roku od sata umjesto dana. To je upravo za što je namjenjen dossier sa statusom, dokazom i vlasnikom po mjeri.
Što ne trebate raditi
Dobro je znati da popunjavanje i slanje ovog upitnika ostaje vaša osobna odgovornost — usluga vam može pomoći pri pripremi i strukturiranju odgovora, ali nikada ne smije biti podnesena u vaše ime kupcu ili nadzorniku. Revizija, test penetracije ili certifikacija nešto je drugačije od popunjavanja upitnika; to ostaje posao stručnjaka, ako kupac o tome specifično traži.
Ako ste sigurni jesu li pitanja koja dobijate razumna s obzirom na vašu veličinu i ulogu, to je razgovor koji je najbolje voditi izravno s kupcem, eventualno uz pomoć pravnika ako se zahtjevi ugovorodno definiraju. Secria opisuje što Direktiva i nacionalne zakone kažu, ali se ne izjašnjava o pojedinim ugovorima.
Dalje čitanje
Ako želite prvo saznati gdje se te informacije nalaze i kako se održavaju, pročitajte to na stranici o radu platforme. Ako još nemate jasnu sliku o vašoj vlastiti položaj u lancu opskrbe, počnite s besplatnom provjerom — ona će vam u nekoliko pitanja dati indikaciju i logičan sljedeći korak, bez potrebe za računom.