Vprašalnik za varnost stranke: kaj morate storiti?

## Zakaj prejemete ta vprašalnik Če vaše podjetje kaj dobavlja organizaciji, ki jo zajema Direktiva NIS2 — bistveni ali pomembni subjekt, kot so energetska podjetja, bolnišnice, velika transportna podjetja ali digitalna infrastruktura — mora ta odjemalec svoje dobavitelje oceniti. Direktiva namreč zahteva od tega odjemalca, da preslika tveganja v svoji nabavni verigi, ne le svojih lastnih sistemov. To je opisano v tem, kar se pogosto imenuje obveznost za zagotavljanje varnosti, ki se nahaja v členu 21 direktive. Vprašalnik, ki vam je dostavljen, je praktična posledica tega: vaš odjemalec mora biti sposoben dokazati, da ve, kdo so njegovi dobavitelji in kako ravnajo z varnostjo. Važno je vedeti: dejstvo, da prejemete vprašalnik, ne pomeni avtomatično, da sami spadate pod Direktivo NIS2. Večina podjetij, ki prejemejo tak seznam, je tisto, kar se običajno imenuje »prizadeta s strani dobavne verige« — sama ne sodijo pod zakon, vendar so z njim soočena preko odjemalca. Ali je to za vašo organizacijo res in kakšna je ta prizadetost, lahko preverite z [[LINK:/nis2-check|kratko preverico, ki vam preslika vašo situacijo]]. ## Kaj se v njih običajno nahaja Vprašalniki, ki se trenutno pojavljajo, se med seboj precej razlikujejo — iz zakona ni predpisane oblike. Vendar se določene teme skoraj vedno pojavijo. Vprašanja o tem, kdo v vaši organizaciji je odgovoren za varnost informacij, ali imate politiko za ravnanje z varnostnimi prekrški, kako urejate dostop do sistemov, ali so zaposleni usposobljeni in ali tudi sami postavljate zahteve svojim dobaviteljem. Nekateri seznami poleg tega sprašujejo o certifikatih, o prejšnjih varnostnih prekršenih ali o tem, kako ravnate z posodobitvami in načrti za sanacijo. Prevladujoča zamisel je vedno enaka: odjemalec poskuša pridobiti sliko tveganj, ki bi se prek vaše dobave lahko pojavila pri njem. To ni nezaupanje do vašega podjetja kot takega, ampak obveznost, ki jo mora sam izpolniti. Želite li razumeti, kateri deset ukrepov je tu osnova, jih boste našli na [[LINK:/onderwerpen|pregledu tem glede na situacijo]]. ## Kaj zahteva uporabno odgovor Dobra odgovor na vprašalnik za varnost ni nujno odgovor, pri katerem povsod vpišete »da«. Nadzorniki in odjemalci navadno gledajo konsistentnost: ali se vaši odgovori ujemajo s tem, kar dejansko delate, in jo lahko dokazujete? Vagan ali preoptimističen odgovor na dolgi rok povzroči več vprašanj kot pošten odgovor, ki navede točko za izboljšanje s prikazanim rokom. Pomaga, da za vsako vprašanje jasno imate tri stvari: kaj je trenutna situacija, kdo v vaši organizaciji to lahko potrdi in kateri dokument se temu pojdi — politični dokument, posnetek zaslona nastavitve, seznam usposabljanj. Podjetja, ki vsakič znova ne morajo iskati te tri točke za posamezno vprašanje, temveč so jih že zbrana v tekoči pregledi, lahko vprašalnik običajno izpolnijo v eni uri namesto v več dneh. Natanko za to je predvideno dossier s stanjem, dokazom in lastnikom na ukrep. ## Kaj vam ni treba delati Dobro je vedeti, da ostaja izpolnitev in pošiljanje tega vprašalnika vaša lastna odgovornost — storitev vam lahko pomaga pri pripravi in strukturiranju odgovorov, vendar se nikoli ne sme predložiti namesto vas pri odjemalcu ali nadzorniku. Tudi revizija, test penetracije ali certifikacija je nekaj drugega kot izpolnjevanje vprašalnika; to ostaja delo za specializirane stranke, če to specifično zahteva odjemalec. Če ste prepričani, ali so vprašanja, ki jih prejemete, smiselna v primerjavi s vašo velikostjo in vlogo, je to pogovor, ki ga bolje vodite neposredno z odjemalcem, po potrebi s pravnikom, če se zahteve zavežejo pogodbenega. Secria opisuje, kaj določata direktiva in nacionalna zakonodaja, vendar se ne odloča o posamičnih pogodbah. ## Naprej Če želite najprej vedeti, od kje te informacije prihajajo in kako se vzdržujejo, to preberite na [[LINK:/hoe-het-werkt|strani o delovanju platforme]]. Če še nimate slike svojega položaja v verigi, začnite s prosto preverico — v nekaj vprašanjih vam da nakazilo in logičen naslednji korak, brez da bi za to potrebovali račun.