Clientul dumneavoastră trimite un chestionar de securitate — ce faceți acum?
Nu cazi sub directivă, dar primești obligațiile oricum. De ce se întâmplă asta și cum să dai un răspuns bun.
De ce primești această listă
Clientul tău cade sub NIS2 și are o obligație de diligență. Dintre cele zece măsuri din obligația de diligență, una dintre ele se referă explicit la lanțul de aprovizionare: trebuie să evalueze securitatea leveranciorilor și furnizorilor de servicii, în măsura în care aceștia afectează propriile sisteme.
Nu poate să o ocolească. Autoritatea sa de supraveghere poate s-o ceară și conducerea sa este personal răspunzătoare pentru ea. De aici chestionarul și insistența.
Ce conțin de obicei
Întrebările se referă aproape întotdeauna la aceleași zece subiecte, pentru că se bazează pe aceeași dispoziție. Ai politici de securitate a informațiilor, cum gestionezi incidentele, ce faci pentru continuitate și copii de rezervă, cum evaluezi propriii leverancioni, cum gestionezi vulnerabilitățile, măsori dacă funcționează, cum stă cu actualizările și conștientizarea, criptezi datele, cine are acces unde și folosești autentificarea în doi pași.
Formatul diferă — un fișier Excel, un document Word, un portal în care trebuie să te conectezi — dar conținutul nu. Tocmai de aceea a doua oară e mult mai puțin de lucru.
Ce este un răspuns bun
Sincer și argumentat. Parțial realizat, iată documentul de politică, asta este planificat pentru al treilea trimestru: asta e un răspuns mai bun decât o bifă la toate. Clientul tău nu evaluează dacă ești perfect, evaluează dacă cazi într-un risc și dacă știi pe ce poziție te afli.
Ce nu trebuie să faci este să inventezi. Un răspuns care nu se potrivește la o verificare te costă contractul și relația. Ceea ce nu există, o raportezi ca neimplementat încă, cu o dată.
Întrebări frecvente
Trebuie să completez asta?
Din punct de vedere legal, nu, tu nu ai obligație. Din punct de vedere comercial, e altfel: fără răspuns, pierzi contractul sau reînnouirea.
Clientul meu poate să mă întrebe pe toate astea?
Da. Spre deosebire de chestionarele de sustenabilitate, nu există un plafon legal la NIS2 pentru ceea ce poate cere un client. Dar trebuie să fie proporțional cu riscul pe care îl reprezinți pentru el.
Primesc de la fiecare client o listă diferită.
E adevărat, și asta e adevărata problemă. Subiectele sunt aceleași, forma diferă. Să construiești o dată un dosar și să extragi răspunsuri din el e singura cale viabilă.
Aceasta este explicație, nu consiliere privind situația dumneavoastră. secria.eu nu evaluează organizația dumneavoastră și nu oferă asigurări.