Miért kapja meg ezt a kérdőívet
Ha vállalata valamit szállít egy olyan szervezetnek, amely a NIS2-irányelv hatálya alá tartozik — például egy alapvető vagy fontos entitásnak, mint az energiavállalatok, kórházak, nagy szállítási vállalatok vagy digitális infrastruktúra-szolgáltatók —, akkor az ügyfélnek értékelnie kell saját szállítóit. Az irányelv ugyanis kötelezi az ügyfelet, hogy feltérképezze a szállítási láncban rejlő kockázatokat, nem csak saját rendszereiben. Ezt az úgynevezett kockázatkezelési kötelezettségben írják le, amely az irányelv 21. cikkében található. A hozzád érkezett kérdőív ennek a gyakorlati következménye: az ügyfélnek igazolnia kell, hogy tudja, kik a szállítói, és hogyan kezelik a kiberbiztonsági kérdéseket.
Fontos tudni: az, hogy kérdőívet kapsz, nem jelenti automatikusan azt, hogy te magad a NIS2-irányelv hatálya alá eszel. A legtöbb olyan vállalat, amely ilyen listát kap, az úgynevezett szállítási láncban érintett szervezet — nem esik közvetlenül a törvény alá, de egy ügyfélen keresztül mégis szembesül vele. Hogy ez az ügyleted vagy szervezeted esetében így van-e, és pontosan milyen jellegű az érintettség, ellenőrizheted egy rövid ellenőrzéssel, amely a helyzetedet feltérképezi.
Mit szoktak ezek tartalmazni
Az aktuálisan keringő kérdőívek jól megfelelnek a felállítónak — nem kötelező formátum van az irányelv alapján. Mégis vannak olyan témák, amelyek szinte mindig előfordulnak. Kérdések arról, hogy ki felelős a szervezetedben az információbiztonságért, van-e incidenskezelési szabályzatod, hogyan szabályozod a rendszerekhez való hozzáférést, kapnak-e képzést az alkalmazottak, és állítasz-e te is követelményeket a saját szállítóidnak. Egyes listák továbbá tanúsítványok után kérdeznek, korábbi incidensekről, vagy arról, hogy hogyan kezelted a frissítéseket és helyreállítási terveket.
Az alapvető gondolat mindig ugyanaz: az ügyfél megpróbál képet kapni azokról a kockázatokról, amelyek a szállításod révén hozzá juthatnak. Ez nem bizalmatlanság a vállalkozásoddal szemben, hanem egy kötelezettség, amelyet az ügyfélnek teljesítenie kell. Ha azt szeretnéd megérteni, mely tíz intézkedés képezi az alapot, akkor az magyarázatot a témák szituációnkénti áttekintésében találod meg.
Mi szükséges egy hasznos válaszhoz
A biztonsági kérdőívhez adott jó válasz nem feltétlenül az, amelyik mindenütt igennel van kitöltve. A felügyeleti hatóságok és ügyfelek általában a következetességre figyelnek: összhangban vannak a válaszaid azzal, amit ténylegesen csinálsz, és tudod-e ezt alátámasztani? A homályos vagy túlságosan optimista kitöltés hosszú távon több kérdést generál, mint egy őszinte válasz, amely egy fejlesztési pontot nevez meg egy időtervvel.
Segít, ha kérdésenként három dologra vagy nagyon figyelmes: mi a jelenlegi helyzet, ki tudja azt a szervezetedben megerősíteni, és melyik dokumentum tartozik hozzá — egy szabályzatdokumentum, egy képernyőkép egy beállításról, egy képzésnyilvántartás. Azok a vállalatok, amelyeknek nem kell kérdésenként újra megkeresniük ezt a három pontot, hanem már rögzítették azokat egy folyamatos áttekintésben, általában egy óra alatt ki tudják tölteni a kérdőívet, ahelyett hogy napokig tartana. Ez pontosan az a célja egy olyan dossziérnak, amely mérföldstegenként státuszt, dokumentumot és tulajdonost tartalmaz.
Mit nem kell megtenned
Jó tudni, hogy e kérdőív kitöltése és beküldése a te saját felelőssége marad — a szolgáltatás segíthet a válaszok előkészítésében és strukturálásában, de soha nem szabad nevében beküldenie az ügyfélnek vagy a felügyeleti hatóságnak. A audit, a penetrációs teszt vagy a tanúsítás is más, mint egy kérdőív kitöltése; ez marad a szakosított felek feladata, amennyiben az ügyfél erre kifejezetten kér.
Ha kétségeid vannak, hogy az agyféltől kapott kérdések arányosak-e méretedhez és szerepedhez képest, akkor ezt az beszélgetést legjobb közvetlenül az ügyféllel folytatni, szükség esetén egy ügyvéddel, ha a követelményeket szerződésben rögzítik. A Secria azt írja le, amit az irányelv és a nemzeti jogszabály rögzít, de nem értékeli meg az egyes szerződéseket.
További lépések
Szeretné-e először megtudni, honnan származik ez az információ, és hogyan tartjuk karban, akkor olvassa el ezt a platform működésének oldalán. Ha még nincs képe saját helyzetéről az ellátási láncban, kezdje az ingyenes ellenőrzéssel — amely néhány kérdés után eligazítást és egy logikus következő lépést ad, anélkül, hogy fiókra lenne szüksége.