Váš zákazník posiela zoznam otázok o bezpečnosti — čo teraz?
Nespadáte pod to sami, ale požiadavky na vás platia. Prečo sa to deje a čo je dobrá odpoveď.
Prečo dostávate tento zoznam
Váš zákazník podlieha NIS2 a má zákonné povinnosti. Jeden z desiatich opatrení v rámci týchto povinností sa výslovne týka dodávateľského reťazca: musí posúdiť bezpečnosť svojich dodávateľov a poskytovateľov služieb v rozsahu, v akom ovplyvňujú jeho vlastné systémy.
Nemôže to preskočiť. Svoj dohľadný orgán o tom môže požiadať a jeho vedenie za to nesie osobnú zodpovednosť. Odtiaľ pochádza dotazník a trvanie.
Čo sa zvyčajne vyskytuje
Otázky sa takmer vždy týkajú rovnakých desiatich oblastí, pretože sa opierajú o tú istú právnu normu. Máte politiku v oblasti bezpečnosti informácií, ako riešite incidenty, čo robíte pri kontinuite a zálohovaní, ako posúdite svojich vlastných dodávateľov, ako pristupujete k chybám, meriate, či to funguje, ako je to s aktualizáciami a vedomím, šifrujete údaje, kto má prístup k čomu, a používate dvojfaktorovú autentifikáciu.
Formát sa líši — tabuľka Excel, dokument Word, portál, do ktorého sa musíte prihlásiť — obsah sa však nemení. Práve preto je to druhýkrát oveľa menej práce.
Čo je dobrá odpoveď
Čestná a zdôvodnená. Čiastočne vyriešená, tu je politický dokument, toto je naplánované na tretí štvrťrok: to je lepšia odpoveď ako fajka pri všetkom. Váš zákazník neposúďuje, či ste dokonalí, posúďuje, či si nemôže dovoliť riziko a či viete, kde stojíte.
Čo by ste nemali robiť, je vymýšľať si. Odpoveď, ktorá sa pri kontrole nepotvrdí, vás stojí zmluvu a vzťah. Čo neexistuje, prihlasujete ako zatiaľ nevyriešené, s dátumom.
Často kladené otázky
Musím to vyplniť?
Z právneho hľadiska nie, sami nemáte žiadnu povinnosť. Z obchodného hľadiska je to iné: bez odpovede si prídete zmluvu alebo jej predĺženie.
Smie to môj zákazník všetko spýtať?
Áno. Na rozdiel od dotazníkov o udržateľnosti neexistuje pri NIS2 žiadny zákonný limit na to, čo si môže zákazník dovoliť spýtať. Avšak musí to byť v pomere k riziku, ktoré preň predstavujete.
Od každého zákazníka dostanem iný zoznam.
To je správne, a to je ten skutočný problém. Témy sú rovnaké, forma sa líši. Vytvoriť jedenkrát dossier a z neho vyvodzovať odpovede je preto jedinou funkčnou cestou.
Ide o vysvetlenie, nie o poradenstvo vzťahujúce sa na vašu konkrétnu situáciu. secria.eu vaši organizáciu neposúdila a neposkytuje záväzné vyjadrenie.