Kaj zahteva naročnik storitev IKT po NIS2
Naročilec, ki sam spada pod obveznost skrbi NIS2, mora dokazati, da tudi obvladuje tveganja v svoji verigi dobaviteljev. Če ste pri takem naročilcu kot ponudnik storitve upravljanja na daljavo, gostovanja, upravljanja aplikacij ali tehnične podpore, se to vrača v pogodbo: zahteve glede tega, kdo ima dostop do sistemov, kako se dostop beležka in ali ste angažirali podizvajalce, ne da bi to vnaprej sporočili.
Zahteve se razlikujejo glede na naročilca in sektor, vendar se kar nekaj tem pojavlja zelo pogosto: upravljanje dostopa, beleženje upravljavskih dejanj, roki za obvestilo v primeru vašega incidenta in vpogled v to, kdo je še vključen v delo. Slednje — podizvajalci — je za številne ponudnike storitev IKT tisti predmet, pri katerem se vprašalnik najprej posveča.
Zakaj je to sedaj v pogodbi
Direktiva NIS2 v členu 21 zahteva od subjektov, ki so zavezani, da ocenijo tudi varnost svojih ponudnikov in pružalcev storitev. Naročilec, ki je sam zajet s preverko skladnosti, tega ne more dokazati s pisnim zagotovljem; potrebuje pisno pogodbo, ki jo lahko pokaže svojim lastnemu nadzornemu organu. Za vas kot ponudnika storitev IKT to pomeni: isto vprašanje se pojavi znova, le da je sedaj zapisano v dodatku ali prilogi k pogodbi namesto v ločenem e-mailu.
To je sprememba oblike, ne nujno vsebine. Marsikaj od tega, kar se zahteva, ste kot upravljavec verjetno že počeli. Novo je, da to morate moći dokazati, s datumom in imenom pri tem.
Dostop do sistemov naročilca: kaj se natanko zahteva
Naročilci vse pogosteje zahtevajo prikaz tega, kdo ima pri njih dostop, s katerimi pravicami in kako se dostop odvzame takoj, ko nekdo zapusti ekipo. Večfaktorska avtentikacija za upravljavski dostop je med tem pogosto zahtevana, prav tako dnevnik, ki zabeleži, kdaj in kdo je dostopal do sistema. Nekatere pogodbe zahtevajo tudi stalno stičko na vaši strani, tako da naročilec ni odvisen od tega, kdo je ta teden na delu.
Temeljna vprašanja naročilca so vedno enaka: ali lahko, če nekaj pošibuje, ugotovi, kdo je imel dostop in kdaj. To je tudi razlog, zakaj splošni odgovori, kot je "delujemo v skladu z najboljšimi praksami", redko zadostujejo — zahteva se konkreten dokazni material, ne namen.
Upravljanje na daljavo: dodaten poudarek na avtentikaciji in beleženju
Upravljanje na daljavo v številnih vprašalnikih dobi svoj odstavek, ravno zato ker lahko vsiljivec, ki se tam prebije, v enem koraku pride do več strank. Vprašanja se nanašajo na šifriranje povezave, na to, ali je dostop do upravljanja na daljavo ločen od običajnega omrežja vašega podjetja, in na to, kako hitro lahko zaustavite sejo, če sumite na zlorabo. Tudi tu velja: ne gre za oceno, kako dobra je vaša varnost, ampak za to, ali to lahko pokažete.
Kdor ta vprašanja dobi prvič, je pogosto prepričan, da gre za enkratno dejanje za enega naročilca. V praksi je dokazni material, ki ga zberete za enega naročilca, z manjšimi prilagoditvami mogoče uporabiti tudi za naslednjega. preberite teme po situaciji daje predstavo o tem, katera vprašanja se vrnejo pri katerem tipu storitve.
Podizvajalci: tveganje, ki ga ne obvladujete sami
Najtežji del za številne ponudnike ICT-storitev ni lastna varnost, temveč varnost strank, ki jih angažirajo: gostitelja, nadzorno storitev, prostega strokovnjaka. Naročnik, ki je sam odgovoren za sprejemanje varnostnih ukrepov, želi vedeti, ali uporabljate podizvajalce, kdo so, in ali izpolnjujejo primerljive zahteve. Nekateri pogodbi vas zavezujejo, da spremembe v tej verigi prijavite vnaprej, ali pa da enake varnostne zahteve pogodbenoright prenesete na svoje lastne dobavitelje.
Za majhno ICT-podjetje to ni vedno enostavno urediti, zlasti če podizvajalec sam ne ve, zakaj je vprašanje nenadoma postavljeno. Prvi korak je preprost pregled: kdo za vas opravi katere naloge in kakšne dogovore ste o tem dokumentirali. Brez tega pregleda je vsak nov vprašalnik znova preiskovalka delo.
Kaj lahko in česa ne morete zagotoviti
Smiselno je, da v pogodbo vključite le obljube, ki jih lahko tudi podkrepite. Naročnik, ki sprašuje o časih odziva v primeru varnostnega incidenta, storitvi 24/7 ali jamstvu, da se nikoli nič ne zgodi, v bistvu prosi za obljubo, ki jo le malo ponudnikov ICT-storitev lahko izpolni brez posebne, drage storitve, ki jo v ta namen vzpostavi. Odgovornost je vaša in po potrebi pravnika, da ocenite, katere klavzule so razumne in katere presegajo, kar zahteva varnostna dolžnost vašega naročnika.
Ali vaša organizacija neposredno spada pod varnostne obveznosti NIS2 — kot pomembna ali bistvena entiteta, ali prek verižnih odnosov — je mogoče preveriti z nekaj vprašanji. Ta razlika določa, ali samo pripravljate odgovore za svoje stranke, ali morate tudi sami voditi register.
Začetek
Za naročnika na koncu ne šteje vaša namera, temveč to, ali je odgovor na njegovo vprašanje pripravljen v trenutku, ko ga postavi. Tisti, ki ima enkrat na ukrep dokumentiran status, dokazilo in odgovornega, pri naslednjem vprašalniku ni treba znova iskati. Oglejte si kaj stanejo register in vprašalniki če želite to pripravo strukturno izvajati, ali pa najprej preberite pogosto zastavljena vprašanja o delovanju platforme.
Brez obveznosti začnite z brezplačno NIS2-preverjanjem, da vidite, ali je vaša organizacija sama odgovorna, dosežena prek verige ali nobena od obeh — in preberite več v bazi znanja o temah, ki veljajo za vašo panogo.