Što naručitelj ICT-usluge zahtijeva nakon NIS2
Naručitelj koji sami spada pod NIS2-obvezu brige mora dokazati da upravlja i rizicima u svojoj dobavnoj verigi. Ako pružate daljinsko upravljanje, hosting, upravljanje aplikacijama ili help desk takvom naručitelju, to se vraća u ugovor: zahtjevi o tome tko ima pristup sustavima, kako se taj pristup bilježi, i je li vam dozvoljeno uključiti podizvođače bez prethodne obavijesti.
Sami zahtjevi razlikuju se ovisno o naručitelju i sektoru, ali niz tema redovito se pojavljuje: upravljanje pristupom, bilježenje upravljačkih radnji, rokovi obavijesti u slučaju incidenta s vaše strane, i uvid u tko je još uključen u rad. Ovo posljednje — podizvođači — za mnoge ICT-pružatelje usluga je tema na kojoj se popis pitanja najduže zadržava.
Zašto se to sada nalazi u ugovoru
NIS2-direktiva obvezuje prave organizacije, u članku 21, da procijene i sigurnost svojih dobavljača i pružatelja usluga. Naročitelj koji je sam obveznik revizije ne može to dokazati usmenom obavezom; trebao bi pisanu dogovor koju može pokazati svojim vlastima. Za vas kao ICT-pružatelja usluga to znači: ista se pitanja ponavljaju, sada zabilježena u dodatku ili prilogu ugovora umjesto u zasebnoj e-poruci.
To je pomak u obliku, ne nužno u sadržaju. Mnogo od onoga što se traži, kao upravljač ste vjerojatno već radili. Novo je što to morate moći dokazati, s datumom i imenom.
Pristup klijentskim sustavima: što se točno traži
Naručitelji sve više traže pregled tko ima pristup kod njih, s kojim pravima, i kako se taj pristup ukida čim netko napusti tim. Višefaktorska autentifikacija za upravljački pristup sada je čest zahtjev, kao i zapisnik koji bilježi kada i tko je pristupio sustavu. Neki ugovori osim toga traže stalno kontaktnu osobu s vaše strane, tako da naručitelj nije ovisan o tome tko je tog tjedna u službi.
Osnovno pitanje naručitelja je uvijek isto: može li, ako nešto krene naopako, utvrditi tko je gdje imao pristup i kada. To je i razlog zašto generički odgovori kao "radimo prema najboljim praksama" rijetko su dovoljni — traži se konkretan dokaz, ne namjera.
Daljinsko upravljanje: dodatna pažnja autentifikaciji i bilježenju
Daljinsko upravljanje u mnogim popisima pitanja dobiva vlastitu točku, upravo jer napadač koji tamo uđe u jednom koraku može doći do više klijenta. Pitanja se tiču šifriranja veze, je li pristup daljinskom upravljanju odvojen od običnog mrežnog prometa vaše tvrtke, i kako brzo možete prekinuti sesiju ako posumnjate na zlouporabu. I ovdje vrijedi: nije u pitanju procjena kako dobra je vaša sigurnost, već je li to moguće pokazati.
Tko ovakva pitanja prvi put dobije, često to doživljava kao jednokratnu akciju za jednog klijenta. U praksi, dokaz koji sakupite za jednog naručitelja, s manjim prilagodbama može se koristiti i za sljedećeg. pročitati teme po situaciji daje pregled koja se pitanja javljaju kod koje vrste pružanja usluga.
Podizvođači: rizik koji ne kontrolirate samo sami
Najtavniji dio za mnoge pružatelje ICT-usluga nije vlastita sigurnost, već sigurnost stranaka koje koriste: pružatelja usluga hostinga, uslugu monitoringa, freelance stručnjaka. Naručilac koji je sam dužan uspostaviti mjere cybersigurnosti želi znati koristi li ugovorni preuzimač podizvoditelje, tko su oni i jesu li u skladu s usporedivim zahtjevima. Neki ugovori obavezuju vas da unaprijed prijavite promjene u tom lancu opskrbe, ili da iste zahtjeve cybersigurnosti proslijedite ugovorom prema vlastitim dobavljačima.
To za malo ICT-poduzeće nije uvijek lako organizirati, pogotovo ako sam podizvoditelj nema pojma zašto se to pitanje odjednom postavlja. Prvi korak je jednostavan pregled: tko što radi za vas i kakvu ste dogovorili dogovor o tome. Bez tog pregleda, svaki novi upitnik je ponovno istraživanje.
Što možete i što ne možete obećati
Razumno je da u ugovor uključite samo obaveze koje možete i opravdati. Naručilac koji pita o vremenima odziva tijekom incidenta, 24/7-usluzi ili jamstvu da nikad ništa ne pođe po zlu, u biti traži obavezu koju malo ICT-pružatelja može ispuniti bez posebne, skupe usluge za to. Vama i, gdje je potrebno, pravniku prepada da ocijenite koje su odredbe razumne i koje prelaze ono što zahtjeva dužnost pazi na sigurnost samog naručioca.
Pada li vaša vlastita organizacija izravno pod dužnost mjera cybersigurnosti NIS2 — kao ključna ili važna entiteta, ili preko djelovanja kroz lanac opskrbe — može se provjeriti s nekoliko pitanja. Ta distinkcija određuje jesu li samo odgovori za vaše klijente trebali biti pripravljeni, ili trebali biti i sami voditi datoteku.
Počni
Za naručioca na kraju nije važna vaša namjera, već je li odgovor na njegovo pitanje spreman u trenutku kada ga postavi. Čim se jednom zabilježi status, dokaz i vlasnik po mjeri, iduća lista pitanja više nije potrebno ponovno pretraživati. Pogledajte što datoteka i upitnici koštaju ako želite da to pripremu strukturirate trajno, ili prvo pročitajte često postavljana pitanja o tome kako platforma radi.
Počnite bez obveze s besplatnom NIS2-provjerom da vidite je li vaša organizacija sama dužna, zahvaćena kroz lanac opskrbe ili ni od toga — i dalje čitajte u bazi znanja o temama važnima za vašu djelatnost.