Popis sigurnosnih pitanja klijenta: što trebate s tim?

## Zašto dobijate ovaj upitnik Ako vaše poduzeće nešto isporučuje organizaciji koja spada pod Direktivu NIS2 — bitnu entitet ili važnu entitet, pomislite na energetske tvrtke, bolnice, velike transportne tvrtke ili digitalnu infrastrukturu — tada taj korisnik mora procijeniti svoje dobavljače. Direktiva naime obvezuje tog korisnika da identificira rizike u svojoj opskrbnom lancu, ne samo u svojim vlastitim sustavima. To je opisano u onome što se često naziva obaveza dužne pažnje, koja se nalazi u članku 21. Direktive. Upitnik koji ste primili je praktična posljedica toga: vaš korisnik mora biti u mogućnosti dokazati da zna tko su njegovi dobavljači i kako oni upravljaju sigurnosnom zaštitom. Važno je razumjeti: činjenica da ste primili upitnik ne znači automatski da sami spadate pod Direktivu NIS2. Većina tvrtki koje prime takav upitnik su ono što se naziva lanac-zahvaćeni — oni sami ne spadaju pod zakon, ali se s njime susreću kroz korisnika. Može li to biti slučaj za vašu organizaciju i kakav je točno tip zahvaćenosti, možete provjeriti s [[LINK:/nis2-check|kratkom provjerom koja mapira vašu situaciju]]. ## Što obično sadrži Upitnici koji se trenutno distribuiraju uvelike se razlikuju ovisno o tome tko ih je izradio — iz zakona nema obveznog formata. Ipak, određene teme se gotovo uvijek pojavljuju. Pitanja o tome tko je unutar vaše organizacije odgovoran za sigurnost informacija, imate li politiku za rukovanje incidentima, kako uređujete pristup sustavima, primaju li zaposlenici obuku, i postavljate li vlastite zahtjeve svojim dobavljačima. Neki upitnici dodatno traže informacije o certifikacijama, prethodnim incidentima, ili kako upravljate ažuriranjima i planovima oporavka. Podloga je uvijek ista: korisnik pokušava steći pregled rizika koji mogu do njega stići kroz vašu isporuku. Nije to nepovjerenje prema vašoj tvrtci specifično, već je to obaveza koju sam korisnik mora ispuniti. Ako želite razumjeti koja deset mjera služe kao polazna točka, objašnjenja potražite u [[LINK:/onderwerpen|pregledу tema po situaciji]]. ## Što zahtijeva koristan odgovor Dobar odgovor na upitnik o sigurnosti nije nužno odgovor u kojem posvuda unosite 'da'. Regulatori i korisnici obično se fokusiraju na konzistentnost: odgovaraju li vaši odgovori onome što zapravo radite, i možete li to dokazati? Nejasnoan ili previše optimistična ispuna na kraju stvara više pitanja nego pošten odgovor koji identificira točku poboljšanja s vremenskim rokom. Pomaže ako za svako pitanje jasno imate tri stvari: kakva je trenutna situacija, tko unutar vaše organizacije to može potvrditi, i koji dokaz ide uz to — dokument o politici, snimak ekrana postavke, popis obuke. Tvrtke koje za svako pitanje ponovno ne trebaju pronalaziti ta tri boda, nego već imaju zabilježena u živom pregledu, obično mogu popuniti upitnik u roku od sat vremena umjesto dana. To je upravo svrha dossiera sa statusom, dokazom i vlasnicima po mjeri. ## Što ne trebate raditi Dobro je znati da ispunjavanje i slanje ovog upitnika ostaje vaša vlastita odgovornost — usluga vam može pomoći pri pripremi i strukturiranju odgovora, ali nikada ne smije podnositi zahtjev u vašem imena kod korisnika ili regulatora. Također, revizija, test penetracije ili certificiranje je nešto drugačije od ispunjavanja upitnika; to ostaje posao za specijalizirane strane ako korisnik o tome specifično traži. Ako ste u sumnji jesu li pitanja koja dobijate razumna u odnosu na vašu veličinu i ulogu, to je razgovor koji je najbolje voditi izravno s korisnikom, po potrebi s juristom ako se zahtjevi fiksiraju ugovornom. Secria opisuje što Direktiva i nacionalno zakonodavstvo kažu, ali ne donosi sud o pojedinim ugovorima. ## Dalje čitanje Ako prvo želite znati odakle dolaze informacije i kako se održavaju, to pročitajte na [[LINK:/hoe-het-werkt|stranici o načinu rada platforme]]. Ako još nemate jasan obraz svoje pozicije u lancu, počnite s besplatnom provjerom — ona će vam u nekoliko pitanja dati indikaciju i logičan sljedeći korak, bez da trebate račun.