moj odjemalec prosi, da izpolnim vprašalnik o varnosti kako naj ravnam

Vprašalnik o varnosti je ponavadi signal iz verige dobaviteljev, ne pa zakonska obveza

Vprašalnik od stranke pomeni praviloma, da stranka sama spada pod uredbo NIS2 in je dolžna oceniti svoje dobavitelje. To se zgodi tudi, če prejemajoča organizacija sama sploh ni zavezana: stranka mora svoje dobaviteljske verige jasno kartirati, vprašalnik pa je posledica tega. Ta položaj — prejemanje vprašanj brez tega, da bi sam padal pod zakon — je pogost pri mnogih podjetjih iz sektorja MKB in je podrobneje razložen na strani o zakaj dobavitelji dobivajo zahteve za varnost brez tega, da bi bili sami zavezani.

Vprašalnik se praviloma ukvarja z istimi temami: nadzor dostopa, politika popravkov, zaznavanje incidentov, varnostne kopije, upravljanje dobaviteljev in oseba, odgovorna za varnost v organizaciji. Kdor te teme še nima urejene ali dokumentirane, bi jih moral prej urediti, preden odgovori na vprašalnik — sicer nastane mozaik posameznih odgovorov, ki jih je pri naslednjemu vprašalniku treba znova zbrati. Dober prvi korak je ugotoviti katerih deset ukrepov se uporablja kot osnovaker se skoraj vsak vprašalnik v bistvu na njih naslanja, in določiti kje začeti če še ni dokumentiranega nič.

Zakaj stranke to točno tako sprašujejo: člen 21 odstavek 2 uredbe NIS2

Obveza ocenjevanja dobaviteljev izhaja iz člena 21 odstavka 2 uredbe NIS2, ki vključuje deset ukrepov, ki jih mora sprejeti zavezana organizacija — vključno s posebno zaščito dobaviteljske verige. Bistvena ali pomembna subjekta, ki sta želja izpolniti ta ukrep, to lahko dokažeta le s preverjanjem svojih dobaviteljev, vprašalnik o varnosti pa je za to običajno sredstvo. V slovenski preureditvi, Zakonu o kibernetski varnosti, se ta obveza pojavi za organizacije, ki v Sloveniji spadajo pod zakon. Tisti, ki želi preveriti, ali se ta obveza neposredno uporablja tudi za njegove lastne organizacije, to lahko preuči s pomočjo vprašanja kako ugotoviti, ali podjetje spada pod NIS2.