De ce primiți acest chestionar
Dacă compania dvs. furnizează ceva unei organizații care se încadrează în Directiva NIS2 — o entitate esențială sau importantă, cum ar fi companii energetice, spitale, mari companii de transport sau infrastructură digitală — atunci acel client trebuie să evalueze propriii săi furnizori. Directiva îl obligă pe acel client să cartografieze riscurile din lanțul său de aprovizionare, nu doar propriile sisteme. Acest lucru este descris în ceea ce se numește adesea obligația de diligență, regăsită în articolul 21 al directivei. Chestionarul care ajunge la dvs. este consecința practică a acesteia: clientul dvs. trebuie să poată demonstra că știe cine sunt furnizorii săi și cum aceștia tratează securitatea.
Este important să realizați că faptul că primiți un chestionar nu înseamnă automat că voi înșivă vă încadrați în Directiva NIS2. Majoritatea companiilor care primesc un astfel de chestionar sunt ceea ce se numește afectate prin lanțul de aprovizionare — ele nu se încadrează în lege, dar sunt totuși confruntate cu aceasta prin intermediul unui client. Pentru a verifica dacă acesta este cazul pentru organizația dvs. și ce tip de afectare este exact, puteți folosi o verificare rapidă care cartografiază situația dvs..
Ce conțin de obicei
Chestionarele care circulă în prezent variază foarte mult în funcție de cel care le elaborează — nu există un format obligatoriu stabilit prin lege. Cu toate acestea, anumite subiecte apar aproape întotdeauna. Întrebări despre cine din cadrul organizației dvs. este responsabil pentru securitatea informațiilor, dacă aveți o politică pentru gestionarea incidentelor, cum reglementați accesul la sisteme, dacă angajații primesc instruire și dacă dvs. înșivă puneți cerințe propriilor furnizori. Unele chestionare cer, de asemenea, informații despre certificări, incidente anterioare sau cum gestionați actualizările și planurile de remediere.
Gândul din spatele acesteia este întotdeauna același: clientul încearcă să obțină o imagine asupra riscurilor care ar putea ajunge la el prin livrarea dvs. Nu este o neîncredere față de compania dvs. în special, ci o obligație pe care clientul însuși trebuie să o îndeplinească. Dacă doriți să înțelegeți care sunt cele zece măsuri care servesc drept bază în acest context, veți găsi explicația în prezentarea generală a subiectelor după situație.
Ce cere un răspuns util
Un răspuns bun la un chestionar de securitate nu este neapărat un răspuns în care completați 'da' peste tot. Autoritățile de supraveghere și clienții caută de obicei coerență: răspunsurile dvs. se aliniază cu ceea ce faceți de fapt și puteți susține asta? O completare vagă sau prea optimistă duce, pe termen lung, la mai multe întrebări decât un răspuns sincer care identifică un punct de îmbunătățire cu un calendar atașat.
Ajută să aveți trei lucruri clare pentru fiecare întrebare: care este situația actuală, cine din cadrul organizației dvs. poate confirma asta și ce document de dovadă corespunde — o politică, o captură de ecran a unei setări, un registru de instruire. Companiile care nu trebuie să redescoperă aceste trei puncte pentru fiecare întrebare, dar le-au deja consemnate într-un registru curent, pot de obicei completa un chestionar în aproximativ o oră în loc de zile. Acesta este exact scopul unui dosar cu stare, document de dovadă și proprietar per măsură.
Ce nu trebuie să faceți
Este bine să știți că completarea și trimiterea acestui chestionar rămâne responsabilitatea dvs. — un serviciu vă poate ajuta la pregătirea și structurarea răspunsurilor, dar nu ar trebui niciodată să depună în numele dvs. la un client sau la o autoritate de supraveghere. De asemenea, un audit, un test de penetrare sau o certificare sunt altceva decât completarea unui chestionar; aceasta rămâne lucrul unor părți specializate, dacă un client solicită în mod specific.
Dacă vă îndoiți că întrebările pe care le primiți sunt rezonabile în raport cu volumul și rolul dvs., aceasta este o conversație pe care este mai bine să o purtați direct cu clientul, eventual cu implicarea unui jurist dacă cerințele sunt stabilite contractual. Secria descrie ceea ce spun directiva și legislația națională, dar nu judecă contractele individuale.
Privire mai amplă
Dacă doriți mai întâi să aflați de unde provin aceste informații și cum sunt menținute, citiți despre aceasta pe pagina privind modul de funcționare al platformei. Dacă nu aveți încă o imagine clară a propriei dumneavoastră poziții în lanțul de aprovizionare, începeți cu verificarea gratuită — aceasta vă oferă, în urma a câteva întrebări, o indicație și un pas logic următor, fără a fi nevoie de un cont.