Какво се променя тази година в списъка с въпроси за киберсигурност на вашия клиент?
Контролните списъци за кибербезопасност, които получателите изпращат на своите доставчици, ще се променят в два отношения. Първо, въпросите стават по-конкретни: вместо общ да/не въпрос относно политиката за сигурност, все повече получатели поискват кратко обоснование или доказателство за всеки предмет. Второ, тези списъци достигат по-широка група предприятия, включително предприятия, които сами не попадат директно под Директива NIS2.
Причината е проста. Предприятията, които попадат под директивата, трябва според текста на NIS2 да наблюдават и безопасността на своите доставчици. Това е интегрирано в своите собствени контролни списъци и така въпросът пристига на предприятия, които са по-надалеч в веригата. Дали това важи и за вашето предприятие, зависи от това кои са вашите клиенти и какво вам преподават; най-добре е да го попитате директно клиента или да проверите с няколко въпроса, които ви дават бързо разбиране.
Защо въпросите стават по-детайлни
Европейската директива NIS2 описва десет категории мерки, върху които трябва да работят организациите, които попадат под директивата, като управление на риска, политика за достъп и справяне със събитията. Получатели, които сами трябва да отговарят за тези мерки, могат да го направят само ако знаят и как своите доставчици се справят с тях. Това обяснява защо списъци, които преди задават един широк въпрос, сега поставят отделен въпрос за всяка категория, често с молба за кратко доказателство.
Този преход от общи въпроси към специфични въпроси за всяка мярка не е еднократно приспособление. Получатели адаптират своя собствен портал и формат, когато сами получават по-голяма яснота относно това, което се очаква от тях. За вас като доставчик това означава, че един и същи клиент може да изпрати малко по-различен список през следващата година, дори ако в съответната организация не се е променило нищо.
Кого засяга това тази година
Самата директива се насочва към организации в специфични сектори и от определена величина. Дали едно предприятие попада под нея, е описано в директивата и националния закон, който я транспонира; това е нещо, което трябва да проверите с юрист или органа по надзор, не нещо, което може да бъде определено само от контролен списък. Това, което е видимо в практиката: предприятия, които сами не попадат под директивата, също получават преподадени въпроси, защото техният клиент е длъжен да го направи.
Този каскадно-ефект е най-важната практическа промяна тази година. Монтажна компания, която поддържа софтуер за енергиен доставчик, или IT-услугодател, която работи за болница, може да получи по-детайлен контролен списък, без че собственото предприятие попада под директивата. Обосновката на десетте мерки и какво точно означават, е разработена в базата от знания с обяснение по теми.
Какво все още не е определено
Директивата първоначално трябваше да бъде транспонирана в октомври 2024 г. в националното законодателство на държавите-членки. В Нидерландия този законодателен процес все още е в ход, и точната форма и момента, в който националният закон влиза напълно в сила, все още не са окончателно определени в момента на написване. Това означава, че точните задължения за организации, които попадат под закона, и свързаните със задължения сроковете, могат все още да се променят. За актуално положение текстът на самата директива и информацията от органа по надзор са надлежния източник, не контролен списък или новинарска статия.
Как да действате без всяка година да започвате отново
Тъй като въпросите по купувач и по година могат да се променят донякъде, е полезно да фиксирате основната информация веднъж добре и да попълвате всеки нов список от там. Това предотвратява да начинате отново от нула при всеки нов список с въпроси, дори ако формулировката на въпроса е малко различна от миналата година. Как работи това в практиката, е описано на страницата откъде идва информацията.
Ако имате съмнения или конкретен въпрос в един список не е приложим или е приложим за вашето предприятие, това е нещо, което трябва да обсъдите със самия купувач или с консултант. Преглед на често задавани въпроси по отношение на такива списъци е на страницата често задавани въпроси относно списъци с въпроси.
Накрая
Същината на промяната тази година е не че възниква нова задължение, а че съществуващите задължения продължават по-далеч в цепочката и се поискват по-конкретно. Ако искате да знаете бързо как стои вашето предприятие в момента, направете безплатния бърз преглед или прочетете другите теми в базата знания.