můj zákazník posílá rozsáhlý dotazník NIS2, zatímco to dříve nebylo, co s tím mám dělat

Váš zákazník si vezme svou povinnost v řetězci

To obvykle znamená, že váš zákazník sám spadá pod zákon o kybernetické bezpečnosti, a že jako podstatný nebo důležitý subjekt je povinen posoudit bezpečnost svých vlastních dodavatelů. Tato povinnost vychází z deseti opatření článku 21 odst. 2 směrnice NIS2, a jedno z nich se konkrétně týká bezpečnosti v řetězci: organizace musí vědět, jak bezpečné její dodavatelé jsou, a musí to moci prokázat. Váš zákazník si tedy otázku nepředává jen tak — sám je k tomu povinen, a v tento moment jste součástí jeho "řetězce". Proto seznam přichází právě teď, i když jste dodávali již roky bez toho, že by to kdy bylo požadováno: povinnost je pro něj nová, ne pro váš vztah.

Můžete očekávat kombinaci otázek, které se dříve týkaly zásad přístupu a správy podnikových prostředků otázek o postupu při bezpečnostních incidentech a otázek o schopnosti zotavení se z výpadku. Nemáte-li certifikaci ISO 27001, není to samo o sobě obvykle problém — směrnice nevyžaduje, aby byl každý dodavatel certifikován, vyžaduje, aby zákazník věděl jak na tom jste. Popis vašich vlastních opatření spolu s podklady, které máte, je pak platnou odpovědí. Pokud něco nemáte, odpovídáte, že to není; seznam obsahující pouze "ano" bez podkladového dokumentu vytváří při následné auditu vašeho zákazníka větší riziko než upřímné "ne, zatím ne".

Proč se to dostává k vám teď: článek 21 odst. 2

Povinnost posuzovat dodavatele je uvedena v článku 21 odst. 2 směrnice (EU) 2022/2555, a pro subjekty v Nizozemsku je vypracována v zákoně o kybernetické bezpečnosti, který vstoupí v platnost 15. srpna 2026. Zda váš zákazník sám spadá pod tento zákon, a tedy je povinen klást tyto otázky, můžete obvykle zjistit na základě velikosti a sektoru jeho podniku — něco, co je také důležité vědět zda vy sám jako subjekt spadáte pod směrnici.