moj klijent šalje opširan NIS2 popis pitanja iako to prije nije bilo, što trebam učiniti s time

Vaš klijent prebacuje svoju obvezu lanca

To obično znači da Vaš klijent sam spada pod Zakon o kibernetskoj sigurnosti, i da je kao bitna ili važna entitet obvezan ocijeniti sigurnost svojih vlastitih dobavljača. Ta obaveza proizlazi iz deset mjera članka 21. stavka 2. Direktive NIS2, a jedna od njih se posebno bavi sigurnosti lanca: organizacija mora znati koliko su sigurni njezini dobavljači, i mora to moći dokazati. Vaš klijent dakle ne prosleđuje to pitanje jednostavno tako — sam je to dužan učiniti, a vi ste u tom trenutku dio njegova "lanca". Zato sada dolazi popis, čak i ako ste godinama isporučavali bez da je to ikada zatraženo: obaveza je za njega nova, ne za vašu poslovnu vezu.

Što možete očekivati je kombinacija pitanja koja se prije odnose na politiku pristupa i upravljanje poslovnom imovinom pitanja o postupku pri incidentima sigurnosti i pitanja o sposobnosti oporavka nakon prekida. Ako nemate ISO 27001-certifikat, to samo po sebi obično nije problem — direktiva ne zahtijeva da svaki dobavljač bude certificiran, zahtijeva da klijent zna kako stojite. Opis vaših vlastitih mjera, s dokazima gdje ih imate, tada je validan odgovor. Gdje nemate ništa, odgovarate da nema ničega; popis s samim "da" bez podloge stvara pri kasnijoj reviziji vašeg klijenta veći rizik nego pošten "ne, još ne".

Zašto ovo sada dolazi kod vas: članak 21. stavak 2.

Obaveza ocjenjivanja dobavljača nalazi se u članku 21. stavku 2. Direktive (EU) 2022/2555, i razrađena je za nizozemske entitete u Zakonu o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026. Možete obično provjeriti spada li vaš klijent sam pod taj zakon, te je dakle obvezan postaviti ta pitanja, kroz veličinu i sektor njegove tvrtke — nešto što je također relevantno znati spada li i sam kao entitet pod direktivu.