Prečo dostávate tento dotazník
Ak váš podnik niečo dodáva organizácii, ktorá spadá pod Smernicu NIS2 — teda do podstatnej alebo dôležitej subjekty, ako sú energetické spoločnosti, nemocnice, veľké dopravné podniky alebo poskytovateľ digitálnej infraštruktúry — potom je ten zákazník povinný posúdiť svojich vlastných dodávateľov. Smernica totiž zavdzáva tento zákazník povinnosťou zmapovať si riziká vo svojom dodávateľskom reťazci, nielen svoje vlastné systémy. To je opisané v tom, čo sa často nazýva povinnosťou starostlivosti, ktorú nájdete v článku 21 tejto Smernice. Dotazník, ktorý vám prišiel, je praktickým dôsledkom toho: váš zákazník musí byť schopný preukázať, že vie, kto sú jeho dodávatelia a ako s bezpečnosťou zaobchdzajú.
Je dôležité si uvedomiť: skutočnosť, že dostávate dotazník, automaticky neznamená, že sami spadáte pod Smernicu NIS2. Väčšina podnikov, ktoré tak dostávajú zoznam, je to, čo sa nazýva dotknutá reťazcom — sami nespadajú pod zákon, ale stanú sa s ním konfrontovaní prostredníctvom zákazníka. Či je to tak v prípade vašej organizácie a aký presne typ dotknutosti to je, môžete skontrolovať pomocou krátke kontroly, ktorá zmapuje vašu situáciu.
Čo sa zvyčajne vyskytuje
Dotazníky, ktoré v súčasnosti kolujú, sa výrazne líšia v závislosti od autora — z úkonnosti zákona neexistuje povinný formát. Napriek tomu sa určité témy vyskytujú takmer vždy. Otázky o tom, kto je vo vašej organizácii zodpovedný za bezpečnosť informácií, či máte politiku na riešenie udalostí, ako regulujete prístup k systémom, či zamestnanci dostávajú školenia a či sami uplatňujete požiadavky voči svojim vlastným dodávateľom. Niektoré zoznamy ďalej pýtajú na certifikácie, na predchádzajúce udalosti alebo na to, ako pristupujete k aktualizáciám a plánom nápravy.
Základná myšlienka je vždy rovnaká: zákazník sa snaží získať predstavu o rizikách, ktoré sa k nemu môžu dostať prostredníctvom vašej dodávky. To nie je nedôvera voči vášmu podniku konkrétne, ale povinnosť, ktorú musí sám zákazník splniť. Chcete pochopiť, ktoré desať opatrení slúžia ako východisko v tejto súvislosti, nájdete to vysvetlenie v prehľade tém podľa situácie.
Čo si vyžaduje užitočnú odpoveď
Dobrá odpoveď na dotazník bezpečnosti informácií nemusí byť nevyhnutne taká, v ktorej všade vypĺňate 'áno'. Regulačné orgány a zákazníci sa zvyčajne pozerajú na konzistentnosť: súvisí vaše odpovede s tým, čo skutočne robíte, a môžete to podložiť? Neurčitý alebo príliš optimistický výplň pritiahne na dlhší čas viac otázok ako čestná odpoveď, ktorá pomenuje bod na zlepšenie s náležitým časovým plánom.
Pomáha mať na každú otázku tri veci jasne určené: aká je aktuálna situácia, kto vo vašej organizácii to môže potvrdiť a aký dôkazný dokument sa k tomu vzťahuje — politický dokument, snímka obrazovky nastavenia, prehľad školení. Podniky, ktoré nemusia tieto tri body za každú otázku nanovo hľadať, ale už ich majú zaznamenané v aktuálnom prehľade, zvyčajne zvládnu vyplniť dotazník do hodiny namiesto dni. Presne na to je určený dossier so stavom, dôkazom a vlastníkom na opatrenie.
Čo nemáte povinnosť robiť
Je dobré vedieť, že vyplnenie a odoslanie tohto dotazníka zostáva vašou vlastnou zodpovednosťou — služba vám môže pomôcť s prípravou a štruktúrovaním odpovedí, ale nikdy by nemala konať v inom mene pri zákazníkovi alebo regulačnom orgáne. Audit, pentest alebo certifikácia sú aj niečo iné ako vyplnenie dotazníka; to ostáva prácou pre špecializované subjekty, ak by na to zákazník konkrétne požiadal.
Ak máte pochybnosti, či sú otázky, ktoré dostávate, primeraná vo vzťahu k vašej veľkosti a úlohe, je to rozhovor, ktorý si najlepšie vedete priamo so zákazníkom, prípadne s právnikom, ak sú požiadavky fixované zmluvilne. Secria popisuje, čo hovorí Smernica a národná legislatíva, ale nerozhodoľ sa o jednotlivých zmluvách.
Pozrieť sa ďalej
Ak si chcete najskôr prečítať, odkiaľ pochádzajú tieto informácie a ako sa vedú, nájdete to na stránke o postupe platformy. Ak si ešte nevytvorili predstavu o svojej pozícii v dodávateľskom reťazci, začnite bezplatnou kontrolou — tá vám v rámci niekoľkých otázok poskytne indikáciu a logický ďalší krok bez toho, aby ste na to potrebovali účet.