Pani/Pana klient wysyła ankietę bezpieczeństwa — co teraz?
Nie podlegasz tym wymogom sam w sobie, ale jednak je otrzymujesz. Dlaczego to się dzieje i jaka jest dobra odpowiedź.
Dlaczego otrzymujesz tę listę
Twój klient podlega NIS2 i ma zorgplicht. Jeden z dziesięciu środków w tej zorgplicht dotyczy wyraźnie łańcucha dostaw: musi ocenić bezpieczeństwo swoich dostawców i usługodawców, w zakresie, w jakim mają oni dostęp do jego własnych systemów.
Nie może tego pominąć. Jego własny nadzorca może się o to zapytać, a jego zarząd ponosi za to osobistą odpowiedzialność. Stąd lista pytań i stąd jego naleganie.
Co zwykle się w tym znajduje
Pytania prawie zawsze dotyczą tych samych dziesięciu zagadnień, ponieważ opierają się na tym samym przepisie. Czy macie politykę bezpieczeństwa informacji, jak obsługujecie incydenty, co robicie w kwestii ciągłości i kopii zapasowych, jak oceniacie swoich własnych dostawców, jak postępujecie z lukami w zabezpieczeniach, mierzycie czy to działa, jak wygląda sytuacja z aktualizacjami i świadomością, szyfrujecie dane, kto ma dostęp gdzie, i czy używacie weryfikacji dwuetapowej.
Format się różni — plik Excel, dokument Word, portal, do którego sami musicie się zalogować — ale zawartość nie. Dlatego właśnie za drugim razem jest o wiele mniej pracy.
Jaka jest dobra odpowiedź
Uczciwa i uzasadniona. Częściowo uregulowana, oto dokument polityki, to jest zaplanowane na trzeci kwartał: to lepsza odpowiedź niż znaczek przy wszystkim. Twój klient nie ocenia, czy jesteś doskonały, ocenia, czy stanowisz dla niego ryzyko i czy wiesz, gdzie stoisz.
Czego nie powinieneś robić, to wymyślać. Odpowiedź, która przy kontroli nie zgadza się, kosztuje cię umowę i relację. To, czego nie ma, zgłaszasz jako jeszcze niezałatwione, z datą.
Często zadawane pytania
Czy muszę to wypełnić?
Prawnie nie — sam w sobie nie masz obowiązku. Komercyjnie jest inaczej: bez odpowiedzi tracisz umowę lub jej przedłużenie.
Czy mój klient może pytać o wszystko?
Tak. W przeciwieństwie do list pytań dotyczących zrównoważonego rozwoju, w przypadku NIS2 nie ma ustawowego pułapu na to, o co może pytać klient. Musi to jednak być proporcjonalne do ryzyka, które dla niego stanowisz.
Od każdego klienta dostaję inną listę.
To prawda, i to jest prawdziwy problem. Zagadnienia są takie same, forma się różni. Dlatego jedyną praktyczną ścieżką jest opracowanie raz dossier i czerpanie z niego odpowiedzi.
To wyjaśnienie, nie rada dotycząca waszej konkretnej sytuacji. secria.eu nie ocenia waszej organizacji i nie udziela żadnych zapewnień.