Mans klients lūdz aizpildīt drošības jautājumu anketu — kas man jādara

Drošības jautājumu saraksts parasti ir piegādes ķēdes signāls, nevis likumiskā prasība

Klienta jautājumu saraksts parasti nozīmē, ka šis klients pats pakļauts NIS2 regulējumam un ir pienākums novērtēt savus piegādātājus. Tas notiek arī tad, ja saņemošā organizācija pati vispār nav pienākumā: klients pats ir jāparedz sava ķēde, un jautājumu saraksts ir tā sekas. Šī situācija — saņemt jautājumus, nepakļaujoties likumam — ir bieža daudziem MVU piegādātājiem un tālāk skaidrota lapā par kāpēc piegādātāji saņem drošības prasības, nepakļaujoties paši likumam.

Jautājumu saraksts parasti attiecas uz tiem pašiem jautājumiem: piekļuves kontrole, labošanas politika, incidentu atklāšana, dublēšana, piegādātāju pārvaldība un kurš organizācijā ir atbildīgs par drošību. Ja šie jautājumi vēl nav kārtībā vai papīrā, vislabāk tos sakārtot pirms jautājumu saraksta aizpildīšanas — pretējā gadījumā rodas lauskaudzes ef atsevišķu atbilžu, kas nākamajā jautājumu sarakstā atkārtoti jāizvāc. Labs pirmais solis ir noskaidrot kuras desmit pasākumi tiek izmantoti par pamatujo praktiski katrs jautājumu saraksts to pamatā atspoguļo, un noteikt ar ko sākt ja vēl neko nav fiksēts.

Kāpēc klienti to tieši tā pieprasa: NIS2 21. panta 2. punkts

Piegādātāju novērtēšanas pienākums izriet no NIS2 direktīvas 21. panta 2. punkta, kurā ir desmit pasākumi, kas jāņem pienākumā esošai organizācijai — tostarp skaidri piegādes ķēdes drošība. Būtiska vai svarīga entītija, kas vēlas atbilst šim pasākumam, to var pierādīt tikai arī savus piegādātājus pārbaudot, un drošības jautājumu saraksts ir tam parasts instruments. Nacionālajā transponēšanā, Kiberndrošības likumā, šis pienākums tiek atspoguļots organizācijām, kuras Nīderlandē pakļautas likumam. Kurš pats vēlas pārbaudīt, vai šis pienākums attiecas arī tieši uz paša organizāciju, var to pārbaudīt, izmantojot jautājumu kā noteikt, vai uzņēmums pakļauts NIS2.