Er kund skickar en säkerhetsfrågelista — vad nu?
Du omfattas inte själv, men du får ändå kraven. Varför det händer och vad ett bra svar är.
Varför du får denna lista
Din kund omfattas av NIS2 och har en zorgplicht. En av de tio åtgärderna i denna zorgplicht handlar uttryckligen om värdekedjan: han måste bedöma säkerheten hos sina leverantörer och tjänsteleverantörer, i den utsträckning de påverkar hans egna system.
Han kan inte hoppa över det. Hans egen tillsynsmyndighet kan fråga honom om det och hans styrelse är personligt ansvarig för det. Därför kommer frågeformuläret och därför pressar han på.
Vad det vanligtvis innehåller
Frågorna handlar nästan alltid om samma tio ämnen, eftersom de bygger på samma bestämmelse. Har du policy för informationssäkerhet, hur hanterar du incidenter, vad gör du för kontinuitet och säkerhetskopior, hur bedömer du dina egna leverantörer, hur hanterar du sårbarheter, mäter du om det fungerar, hur ser det ut med uppdateringar och medvetenhet, krypterar du data, vem får göra vad och använder du tvåfaktorsautentisering.
Formatet skiljer sig åt — en Excel-fil, ett Word-dokument, en portal där du måste logga in själv — men innehållet gör det inte. Det är precis därför det blir mycket mindre arbete andra gången.
Vad ett bra svar är
Ärligt och välunderbyggt. Delvis ordnat, här är policydokumentet, detta är planerat för tredje kvartalet: det är ett bättre svar än en bock vid allt. Din kund bedömer inte om du är perfekt, han bedömer om han löper en risk och om du vet var du står.
Vad du inte ska göra är att hitta på något. Ett svar som inte stämmer vid en kontroll kostar dig kontraktet och relationen. Det som inte finns rapporterar du som ännu inte ordnat, med ett datum.
Vanliga frågor
Måste jag fylla i detta?
Juridiskt sett inte, du har ingen egen skyldighet. Kommersiellt sett är det annorlunda: utan svar förlorar du kontraktet eller förnyelsen.
Får min kund fråga om allt detta?
Ja. Till skillnad från hållbarhetsfråglistor finns det ingen juridisk gräns för vad en kund får fråga vid NIS2. Det måste dock stå i proportion till den risk du utgör för honom.
Jag får en annan lista från varje kund.
Det stämmer, och det är det verkliga problemet. Ämnena är desamma, formen skiljer sig. Att bygga ett dossier en gång och ge svar därifrån är därför den enda arbetsbara vägen.
Detta är förklaring, ingen rådgivning om er egen situation. secria.eu bedömer er organisation inte och ger ingen försäkran.