Klienta drošības jautājumu saraksts: ko ar to darīt?

## Kāpēc jūs saņemat šo jautājumnieku Ja jūsu uzņēmums kaut ko piegādā organizācijai, uz kuru attiecas NIS2 direktīva — būtiskai vai svarīgai entītei, piemēram, enerģijas uzņēmumiem, slimnīcām, lieliem transporta uzņēmumiem vai digitālai infrastruktūrai — tad šis klients pēc pienākuma ir jānovērtē savi piegādātāji. Direktīva viņa klientam prasa kartēt riskus savā piegādes ķēdē, nevis tikai viņa paša sistēmās. Tas ir aprakstīts tajos noteikumos, ko bieži sauc par aprūpes pienākumu, kas atrodams direktīvas 21. pantā. Jautājumnieks, kas nonāk pie jums, ir praktisks no tā izrietošs rezultāts: jūsu klients ir jāspēj pierādīt, ka viņš zina, kuri ir viņa piegādātāji un kā tie pēc nolikuma rīkojas ar drošību. Svarīgi apzināties: tas, ka jūs saņemat jautājumnieku, nenozīmē automātiski, ka jūs paši uzņēmumā nonākat zem NIS2 direktīvas. Lielākā daļa uzņēmumu, kas saņem šādu sarakstu, tiek dēvēti par ķēdes ietekmētiem — viņi paši neietilpst likumā, bet to tomēr saskaras caur klientu. Vai tas attiecas uz jūsu organizāciju un kāda veida ietekme tā precīzi ir, varat pārbaudīt ar [[LINK:/nis2-check|īsu pārbaudi, kas kartē jūsu situāciju]]. ## Kas tajā parasti ir Jautājumnieki, kas pašlaik cirkulē, ievērojami atšķiras atkarībā no to sagatavotāja — no likuma nav noteikts obligāts formāts. Tomēr noteiktas tēmas praktiski vienmēr parādās. Jautājumi par to, kuri jūsu organizācijā ir atbildīgi par informācijas drošību, vai jums ir politika incidentu rīcībai, kā jūs regulējat pieejamību sistēmām, vai darbinieki saņem apmācību, un vai jūs paši arī uzstājat prasības saviem piegādātājiem. Dažos sarakstos tiek prasīts arī par sertifikācijām, iepriekšējiem incidentiem vai par to, kā jūs rīkojaties ar atjauninājumiem un sanācijas plāniem. Pamatideja vienmēr ir viena: klients cenšas iegūt priekšstatu par riskiem, kas caur jūsu piegādi var nonākt pie viņa. Tas nav neuzticība pret jūsu uzņēmumu konkrēti, bet pienākums, kas pašam klientam ir jāpilda. Ja vēlaties saprast, kādi desmit pasākumi ir pamatā, šis izpratni atradīsiet [[LINK:/onderwerpen|tēmu pārskatā pēc situācijas]]. ## Kas pieprasa lietojamu atbildi Laba atbilde uz drošības jautājumnieku nav obligāti tāda, kurā jūs visur ierakstāt "jā". Pārraugi un klienti parasti skata konsekvenci: vai jūsu atbildes atbilst tam, ko jūs faktiski darāt, un vai to varat pamatot? Neskaidra vai pārāk optimistiska aizpildīšana ilgtermiņā rada vairāk jautājumu nekā godīga atbilde, kas norāda uz uzlabojuma punktu ar tam pievienotu laika grafiku. Tas palīdz, ja katram jautājumam jums ir skaidri trīs elementi: kāda ir pašreizējā situācija, kurš jūsu organizācijā to var apstiprinājiet, un kāds pierādījums tam atbilst — politikas dokuments, ekrāna attēls no iestatījuma, apmācības saraksts. Uzņēmumi, kuriem nav jāmeklē šie trīs punkti atruna pie katras jautājuma no jauna, bet jau tos ir reģistrējuši biežāk atjauninamā pārskatā, parasti var jautājumnieku aizpildīt vienas stundas laikā tā vietā, lai to darītu vairākas dienas. Tas ir precīzi tas, kuram ir paredzēts dossiers ar statusu, pierādījumu un īpašnieku per pasākumu. ## Kas jums nav jādara Labi zināt, ka šī jautājumnieka aizpildīšana un nosūtīšana paliek jūsu paša atbildība — pakalpojums var jums palīdzēt atbilžu sagatavošanā un strukturēšanā, bet nekad neiesniedz jūsu vārdā pie klienta vai pārraudzības iestādes. Arī audits, penetrācijas tests vai sertifikācija atšķiras no jautājumnieka aizpildīšanas; tas joprojām ir specialistiem paredzēts darbs, ja klients to konkrēti pieprasa. Ja jūs esat neskaidrs, vai jūsu saņemtie jautājumi ir pamatoti jūsu apjoma un lomas kontekstā, tas ir saruna, ko labāk veikt tieši ar klientu, iespējams, ar jurista palīdzību, ja prasības ir juridisks noteiktas līgumā. Secria apraksta, kas direktīvā un nacionālajā likumdevumā teikts, bet neizvērtē atsevišķus līgumus.