Dlaczego otrzymujesz tę listę kontrolną
Jeśli Twoja firma dostarcza coś organizacji objętej dyrektywą NIS2 — podmiotowi istotnemu lub ważnemu, takie jak firmy energetyczne, szpitale, duże przedsiębiorstwa transportowe lub infrastruktura cyfrowa — to ten klient ma obowiązek ocenić swoich dostawców. Dyrektywa bowiem zobowiązuje tego klienta do zmapowania ryzyk w łańcuchu dostaw, a nie tylko w swoich własnych systemach. Opisane to jest w tym, co często określa się jako obowiązek ochrony, znajdujący się w artykule 21 dyrektywy. Lista kontrolna, którą otrzymujesz, jest praktycznym tego skutkiem: Twój klient musi wykazać, że wie, kim są jego dostawcy i jak postępują z bezpieczeństwem.
Ważne, aby zdawać sobie sprawę: to, że otrzymujesz listę kontrolną, niekoniecznie oznacza, że sam podlegasz dyrektywie NIS2. Większość firm, które otrzymują taką listę, jest tzw. dostawcą w łańcuchu dostaw — nie podlegają sami prawu, ale spotykają się z nim poprzez klienta. Czy dotyczy to Twojej organizacji i jaki jest dokładnie rodzaj tego zaangażowania, możesz sprawdzić za pomocą krótkiej oceny, która zmapuje Twoją sytuację.
Co zwykle się w tym znajduje
Listy kontrolne, które aktualnie obiegają, różnią się znacznie w zależności od ich twórcy — nie ma obowiązkowego formatu wymaganego przez prawo. Mimo to pewne tematy pojawiają się prawie zawsze. Pytania o to, kto w Twojej organizacji odpowiada za bezpieczeństwo informacji, czy masz politykę postępowania z incydentami, jak regulujesz dostęp do systemów, czy pracownicy otrzymują szkolenia, i czy sam stawiasz wymagania swoim dostawcom. Niektóre listy dodatkowo pytają o certyfikaty, o wcześniejsze incydenty, lub o to, jak postępujesz z aktualizacjami i planami naprawczymi.
Ukryta logika zawsze pozostaje ta sama: klient próbuje uzyskać obraz ryzyk, które mogą dotrzeć do niego poprzez Twoją dostawę. To nie jest nieufność wobec Twojej firmy w szczególności, ale obowiązek, który sam klient musi spełnić. Jeśli chcesz zrozumieć, które dziesięć środków stanowią podstawę, wyjaśnienie znajdziesz w przeglądzie tematów dla każdej sytuacji.
Co wymaga użytecznej odpowiedzi
Dobra odpowiedź na listę kontrolną bezpieczeństwa to niekoniecznie odpowiedź, w której wszędzie wpisujesz 'tak'. Organy nadzoru i klienci zazwyczaj przyglądają się spójności: czy Twoje odpowiedzi pokrywają się z tym, co faktycznie robisz, i czy możesz to uzasadnić? Niejasna lub zbyt optymistyczna odpowiedź prowadzi z biegiem czasu do więcej pytań niż uczciwa odpowiedź, która wskazuje punkt do poprawy z harmonogramem.
Pomaga zaostrzenie trzech rzeczy na pytanie: jaka jest obecna sytuacja, kto w Twojej organizacji może to potwierdzić, i jaki dokument tego dowodzi — dokument polityki, zrzut ekranu ustawienia, przegląd szkoleniowy. Firmy, które nie muszą ponownie szukać tych trzech punktów dla każdego pytania, ale już je zarejestrowały w bieżącym przeglądzie, mogą zazwyczaj wypełnić listę kontrolną w ciągu godziny zamiast dni. To dokładnie do czego przeznaczony jest dossier ze statusem, dowodem i właścicielem dla każdego środka.
Czego nie musisz robić
Warto wiedzieć, że wypełnienie i przesłanie tej listy kontrolnej pozostaje Twoją własną odpowiedzialnością — usługa może Ci pomóc w przygotowaniu i strukturyzacji odpowiedzi, ale nigdy nie powinna składać wniosku w Twoim imieniu u klienta lub organu nadzoru. Audit, test penetracyjny lub certyfikacja to coś innego niż wypełnianie listy kontrolnej; to pozostaje pracą dla wyspecjalizowanych stron, jeśli klient o to konkretnie poprosi.
Jeśli wątpisz, czy pytania, które otrzymujesz, są rozsądne w stosunku do Twojej wielkości i roli, to rozmowa, którą najlepiej przeprowadzić bezpośrednio z klientem, ewentualnie z prawnikiem, jeśli wymagania są formalnie ustalone umownie. Secria opisuje, co mówią dyrektywa i krajowe przepisy, ale nie ocenia indywidualnych umów.
Zajrzyj dalej
Chcesz najpierw wiedzieć, skąd pochodzą te informacje i jak są aktualizowane, przeczytaj to na stronie dotyczącej sposobu działania platformy. Jeśli nie masz jeszcze wyobrażenia o swojej pozycji w łańcuchu dostaw, zacznij od bezpłatnej weryfikacji — da ci ona w ciągu kilku pytań wskazanie i logiczny następny krok, bez potrzeby zakładania konta.