Kāpēc jūs saņemat šo jautājumnieku
Ja jūsu uzņēmums kaut ko piegādā organizācijai, kas ietilpst NIS2 direktīvā — būtiskai vai svarīgai entitātei, piemēram, enerģētikas uzņēmumiem, slimnīcām, lieliem transporta uzņēmumiem vai digitālai infrastruktūrai — tad šim klientam ir jāizvērtē viņa paši piegādātāji. Direktīva prasa šim klientam kartēt risikus viņa piegādes ķēdē, ne tikai viņa paša sistēmās. Tas ir aprakstīts tā saucamajā pienākumā aprūpēt, kas atrodams direktīvas 21. pantā. Jautājumnieks, kas nonāca pie jums, ir praktiski sekas: jūsu klients ir jāpamato, ka viņš zina, kas ir viņa piegādātāji un kā tie nodarbojas ar drošību.
Svarīgi saprast: tas, ka jūs saņemat jautājumnieku, ne vienmēr nozīmē, ka jūs paši ietilpstat NIS2 direktīvā. Lielākā daļa uzņēmumu, kas saņem šādu sarakstu, tiek skarti caur piegādes ķēdi — viņi paši nepakļaujas likumam, bet ar to tiek saskarti caur klientu. Vai tas attiecas uz jūsu organizāciju un kāda veida skartums tas ir, varat pārbaudīt ar īsu pārbaudi, kas kartē jūsu situāciju.
Kas parasti ir iekļauts
Jautājumniki, kas pašlaik cirkulē, ievērojami atšķiras atkarībā no to sagatavotāja — likumā nav obligāta formāta. Tomēr daži temati gandrīz vienmēr parādās. Jautājumi par to, kurš jūsu organizācijā ir atbildīgs par informācijas drošību, vai jums ir politika incidentu apstrādei, kā regulējat piekļuvi sistēmām, vai darbinieki saņem apmācību un vai jūs paši izvirzāt prasības saviem piegādātājiem. Dažas saraksti papildus jautājās par sertifikācijām, iepriekšējiem incidentiem vai par to, kā jūs apstrādājat atjauninājumus un atveseļošanas plānus.
Pamatideja vienmēr ir viena: klients cenšas iegūt priekšstatu par riskiem, kuri caur jūsu piegādi var nonākt viņam. Tas nav neuzticēšanās pret jūsu uzņēmumu konkrēti, bet pienākums, kas pašam klientam jāizpilda. Ja vēlaties saprast, kādi desmit pasākumi kalpo par pamatu, tad atradīsiet šo skaidrojumu tēmu apskats pēc situācijas.
Kas ir nepieciešams lietderīgai atbildei
Laba atbilde uz drošības jautājumnieku ne vienmēr ir atbilde, kurā jūs visur atzīmējat 'jā'. Pārraudzības iestādes un klienti parasti skatās uz konsekvenci: vai jūsu atbildes atbilst tam, ko jūs tiešām darāt, un vai to varat pamatot? Neskaidra vai pārāk optimistiska aizpildīšana ilgtermiņā rada vairāk jautājumu nekā godīga atbilde, kas norāda uz uzlabošanas punktu ar tam piesaistītu grafiku.
Tas palīdz katram jautājumam skaidri apzināties trīs lietas: kāda ir pašreizējā situācija, kurš jūsu organizācijā to var apstiprinājums un kurš dokumentu pabals tam seko — politikas dokuments, ekrānuzņēmums par iestatījumiem, apmācības saraksts. Uzņēmumi, kuriem nav jāmeklē šie trīs punkti no jauna katram jautājumam, bet tie jau ir ievesti aktuālā apskaitē, parasti var aizpildīt jautājumnieku vienas stundas laikā, nevis dienu laikā. Tas ir tieši tas, kam paredzēts dossiers ar statusu, dokumentāciju un īpašnieku par katru pasākumu.
Ko jums nav jādara
Ir jāņem vērā, ka šī jautājumnika aizpildīšana un nosūtīšana paliek jūsu paša atbildība — pakalpojums var palīdzēt atbilžu sagatavošanā un strukturēšanā, bet nekad neiesniedz jūsu vārdā pie klienta vai pārraudzības iestādes. Arī audits, penetrācijas tests vai sertifikācija ir kaut kas cits nekā jautājumnika aizpildīšana; tas paliek speciālistu darbs, ja klients to konkrēti pieprasa.
Ja jūs neesat pārliecināti, vai jums uzdotie jautājumi ir saprātīgi jūsu lieluma un lomas atbilstībā, tas ir saruna, kas jums vislabāk jāvada tieši ar klientu, iespējams, ar advokāta palīdzību, ja prasības tiek dokumentētas ar līgumu. Secria apraksta, ko saka direktīva un nacionālie likumi, bet nesniedz spriedumu par atsevišķiem līgumiem.
Turpinājumā skatīties
Ja vēlaties vispirms uzzināt, no kurienes šī informācija nāk un kā tā tiek uzturēta, tad lasiet to lapā par platformas darbības veidu. Ja jums vēl nav skaidrs jūsu pašu stāvoklis piegādes ķēdē, sāciet ar bezmaksas pārbaudi — tā dod atbildi uz dažiem jautājumiem un sniedz norādi uz loģisku nākamo soli, bez tam, ka jums būtu nepieciešams konts.