Zakaj dobivate ta vprašalnik
Če vaše podjetje dobavlja kaj organizaciji, ki spada pod Direktivo NIS2 — bistveni ali pomembni subjekt, na primer energetska podjetja, bolnišnice, velika transportna podjetja ali digitalna infrastruktura — mora ta stranka oceniti svoje dobavitelje. Direktiva namreč to stranko obvezuje, da preuči tveganja v svoji dobavni verigi, ne le svojih lastnih sistemov. To je opisano v t. i. obveznosti za upravljanje tveganj, ki jo najdete v členu 21 direktive. Vprašalnik, ki ga prejmete, je praktična posledica tega: vaša stranka mora dokazati, da ve, kdo so njeni dobavitelji, in kako se ti lotevajo varnosti.
Pomembno je zavedati se: če dobite vprašalnik, to ne pomeni avtomatično, da ste sami podvrženi Direktivi NIS2. Večina podjetij, ki prejmejo tak seznam, je tisto, kar se običajno imenuje vpleteno preko dobavne verige — sama ne sodijo pod zakon, vendar so vključena vanj prek stranke. Ali je to za vašo organizacijo res in kakšna je natanko ta vrsta vpletenosti, lahko preverite s pomočjo kratke presoje, ki pojasni vašo situacijo.
Kaj se pojavljja v večini primerov
Vprašalniki, ki so trenutno v obtoku, se med seboj močno razlikujejo — zakon ne predpisuje obvezne oblike. Kljub temu se določena področja pojavljajo skoraj povsod. Vprašanja o tem, kdo je v vaši organizaciji odgovoren za varnost informacij, ali imate politiko za obravnavo varnostnih incidentov, kako urejate dostop do sistemov, ali zaposleni dobivajo usposabljanje in ali vi sami postavljate zahteve svojim dobaviteljem. Nekateri seznami dodatno sprašujejo po certifikatih, prejšnjih incidentih ali kako upravljate s posodobitvami in načrti okrevanja.
Osnovna zamisel je vedno enaka: stranka poskuša si oblikovati sliko tveganj, ki bi lahko prišla do nje prek vaše dobave. To ni nezaupanje do vašega podjetja posebej, temveč obveznost, ki jo mora stranka sama izpolniti. Če želite razumeti deset ukrepov, ki so pri tem izhodišče, jih najdete v pregledu vsebin po situaciji.
Kaj zahteva uporabnega odgovora
Dober odgovor na vprašalnik o varnosti ni nujno tisti, v katerem povsod označite »ja«. Nadzorni organi in stranke navadno gledajo na doslednost: se vaši odgovori ujemajo s tem, kaj dejansko počnete, in ga lahko dokazujete? Vaguen ali preveč optimističen odgovor dolgoročno povzroči več vprašanj kot pošten odgovor, ki navede izboljšavo s časovnim rokom.
Koristno je za vsako vprašanje jasno imeti tri stvari: kakšna je trenutna situacija, kdo v vaši organizaciji to lahko potrdi in kakšen dokument k temu spada — politični dokument, posnetek zaslona nastavitve, pregled usposabljanja. Podjetja, ki te tri točke ne morajo ponovno iskati za vsako vprašanje, temveč jih že imajo zabeležena v tekočem pregledu, lahko običajno izpolnijo vprašalnik v nekaj minutah namesto dni. To je natanko namen dossierja s stanjem, dokazom in lastnikom na ukrep.
Kaj vam ni treba početi
Dobro je vedeti, da ostane izpolnjevanje in pošiljanje tega vprašalnika vaša lastna odgovornost — storitev vam lahko pomaga pri pripiravi in strukturiranju odgovorov, vendar nikoli ne sme delovati v vašem imenu pri stranki ali nadzorniku. Tudi revizija, penetracijski test ali certifikacija niso isto kot izpolnjevanje vprašalnika; to je delo za posebne strokovne službe, če vas stranka specifično prosi.
Če dvomite, ali so vprašanja, ki jih dobijate, razumna glede na vašo velikost in vlogo, je to pogovor, ki ga najbolje vodite neposredno s stranko, po potrebi s pravnikom, če se zahteve formalno zapisujejo v pogodbi. Secria opisuje, kaj pravijo direktiva in nacionalna zakonodaja, vendar se ne odloča o posameznih pogodbah.
Nadaljujte
Če želite najprej vedeti, od kod izvirajo te informacije in kako se vzdržujejo, to preberite na strani o delovanju platforme. Če še nimate predstave o svojem lastnem položaju v verigi vrednosti, začnite s prosto preverico — ta vam v nekaj vprašanjih da indikacijo in logičen naslednji korak, brez da bi za to potrebovali račun.