Ce cere o entitate care contractează servicii ICT după NIS2
Un mandant care se află el însuși sub obligația de diligență NIS2 trebuie să demonstreze că gestionează și riscurile din lanțul său de aprovizionare. Dacă furnizați gestionare la distanță, găzduire, gestionare de aplicații sau un birou de asistență unui asemenea mandant, aceasta va apărea în contract: cerințe privind cine are acces la sisteme, cum este înregistrat acel acces și dacă folosiți subcontractanți fără a-l notifica dinainte.
Cerințele în sine diferă în funcție de mandant și de sector, dar o serie de subiecte revin aproape întotdeauna: gestionarea accesului, înregistrarea acțiunilor de gestionare, termene de notificare în caz de incident din partea dvs., și vizibilitate asupra cine mai este implicat în lucru. Acest ultim aspect — subcontractanții — este pentru mulți furnizori de servicii ICT subiectul în care chestionarul se oprește cel mai mult.
De ce apare acum în contract
Directiva NIS2 obligă organizațiile supuse reglementării, conform articolului 21, să evalueze și securitatea furnizorilor și prestatorilor de servicii ai acestora. Un mandant care este el însuși supus auditului nu poate demonstra aceasta cu o promisiune verbală; are nevoie de un acord scris pe care să-l poată prezenta propriului organ de supraveghere. Pentru dvs., ca prestator de servicii ICT, aceasta înseamnă: aceeași întrebare revine, doar că acum este stabilită într-un addendum sau anexă la contract, în loc să fie într-un e-mail separat.
Aceasta este o schimbare de formă, nu neapărat de conținut. Mult din ceea ce se cere, ați fi probabil făcut deja ca administrator. Noul element este că trebuie să puteți dovedi aceasta, cu o dată și un nume.
Accesul la sisteme clienți: ce exact se cere
Mandanții solicită din ce în ce mai des o imagine de ansamblu asupra cine are acces la ei, cu ce drepturi și cum este revocat acel acces imediat ce cineva pleacă din echipă. Autentificarea multifactor pentru accesul de gestionare este deja o cerință frecventă, la fel ca un jurnal care înregistrează când și de cine a fost accesat un sistem. Unele contracte cer, în plus, un punct de contact fix din partea dvs., pentru ca mandantul să nu depindă de cine face serviciu acea săptămână.
Întrebarea de bază a mandantului este mereu aceeași: poate el, dacă ceva merge greșit, stabili cine a avut acces unde și când. Aceasta este și motivul pentru care răspunsurile generice cum ar fi "lucrez conform celor mai bune practici" sunt rareori suficiente — se cere o dovadă concretă, nu o intenție.
Gestionare la distanță: atenție suplimentară pentru autentificare și înregistrare
Gestionarea la distanță primește în multe chestionare un paragraf separat, tocmai pentru că un atacator care intră acolo poate ajunge, într-o singură etapă, la mai mulți clienți. Întrebările se referă apoi la criptarea conexiunii, la faptul dacă accesul la gestionarea la distanță este separat de rețeaua obișnuită a companiei dvs., și la cât de repede puteți încheia o sesiune dacă suspectați abuz. Și aici se aplică: nu e vorba despre o evaluare a cât de bună este securitatea dvs., ci dacă o puteți arăta.
Cine primește pentru prima dată întrebări de acest fel, le percepe adesea ca o acțiune unică pentru un singur client. În practică, dovezile pe care le adunați pentru un mandant, cu mici ajustări, pot fi folosite și pentru următorul. citiți subiectele pe situație oferă o imagine asupra ce întrebări se repetă pentru ce tip de prestare de servicii.
Subcontractanți: riscul pe care nu-l controlați singur
Cea mai dificilă parte pentru mulți furnizori de servicii IT nu este securitatea proprie, ci cea a entităților pe care ei le angajează: o parte de găzduire, un serviciu de monitorizare, un specialist freelancer. Un client care este el însuși sub obligații de protecție cibernetică dorește să știe dacă utilizați subcontractanți, cine sunt aceștia și dacă îndeplinesc cerințe comparabile. Unele contracte vă obligă să anunțați în avans orice schimbări în lanțul de aprovizionare, sau să transmiteți aceleași cerințe de securitate din punct de vedere contractual către propriii dumneavoastră furnizori.
Pentru o mică companie IT, aceasta nu este întotdeauna ușor de organizat, mai ales dacă subcontractantul însuși nu înțelege de ce această întrebare este pusă brusc. Un prim pas este o simplă prezentare generală: cine face ce pentru dumneavoastră și ce înțelegeri ați consemnat în scris. Fără această prezentare generală, fiecare nouă listă de întrebări devine din nou o muncă de investigație.
Ce puteți și nu puteți garanta
Este prudent să includeți în contract doar promisiuni pe care le puteți susține. Un client care întreabă despre timpii de răspuns la un incident, un serviciu 24/7 sau o garanție că nimic nu va merge prost, cere de fapt o promisiune pe care puțini furnizori de servicii IT o pot îndeplini fără a stabili un serviciu separat și scump pentru acest lucru. Este responsabilitatea dumneavoastră și, dacă este necesar, a unui jurist să evaluați care clauze sunt rezonabile și care depășesc ceea ce obligația de protecție cibernetică a clientului cere de fapt.
Dacă propria dumneavoastră organizație cade direct sub obligația de protecție cibernetică din NIS2 — ca entitate esențială sau importantă, sau prin intermediul lanțului de aprovizionare — este o chestiune pe care o puteți examina cu câteva întrebări. Această distincție determină dacă doar pregătiți răspunsuri pentru clienții dumneavoastră, sau dacă trebuie să mențineți și dumneavoastră un dosar propriu.
Porniți
Pentru client, în final, nu contează intenția dumneavoastră, ci dacă răspunsul la întrebarea sa este gata în momentul în care o pune. Oricine a consemnat odată pentru fiecare măsură un status, o dovadă și un responsabil, nu trebuie să caute din nou la următoarea listă de întrebări. Vedeți cât costă dosarul și listele de întrebări dacă doriți să abordați această pregătire în mod structural, sau citiți mai întâi întrebările frecvente despre cum funcționează platforma.
Începeți fără angajament cu verificarea gratuită NIS2 pentru a vedea dacă organizația dumneavoastră este ea însăși supusă obligațiilor, afectată prin lanț de aprovizionare, sau nici una din cele două — și citiți mai departe în baza de cunoștințe despre subiectele care se aplică sectorului dumneavoastră.