mój klient wysyła rozszerzoną listę pytań nis2, podczas gdy poprzednio nie było tak, co z tym zrobić
Twój klient przerzuca swoje zobowiązanie łańcuchowe
Zwykle oznacza to, że Twój klient sam podlega Ustawie o cyberbezpieczeństwie i że jako podmiot istotny lub ważny jest zobowiązany do oceny bezpieczeństwa swoich własnych dostawców. To zobowiązanie wynika z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2, a jeden z nich dotyczy bezpośrednio bezpieczeństwa łańcucha: organizacja musi wiedzieć, jak bezpieczni są jej dostawcy, i musi być w stanie to wykazać. Twój klient nie przerzuca tego pytania na byle co — sam jest do tego zobowiązany, a Ty w tym momencie jesteś częścią jego "łańcucha". Dlatego lista teraz przychodzi, nawet jeśli dostarczałeś od lat bez tego, by kiedykolwiek zostało zapytane: obowiązek jest dla niego nowy, a nie dla Twojej relacji.
Czego możesz się spodziewać, to kombinacja pytań, które wcześniej należały do polityki dostępu i zarządzania zasobami przedsiębiorstwa , pytania dotyczące procedury postępowania w przypadku incydentów bezpieczeństwa i pytania dotyczące zdolności do odzyskiwania po zakłóceniu. Jeśli nie posiadasz certyfikatu ISO 27001, zwykle nie stanowi to samo w sobie problemu — dyrektywa nie wymaga, aby każdy dostawca był certyfikowany, wymaga, aby klient wiedział jak się masz. Opis Twoich własnych środków, z załącznikami tam, gdzie je masz, jest wtedy prawidłową odpowiedzią. Tam, gdzie nic nie masz, odpowiadasz, że nic nie ma; lista zawierająca jedynie "tak" bez dokumentu w tle powoduje większe ryzyko podczas późniejszej audytu Twojego klienta niż uczciwe "nie, jeszcze nie".
Dlaczego to teraz do Ciebie trafia: artykuł 21 ust. 2
Obowiązek oceny dostawców znajduje się w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555 i jest wdrażany dla holenderskich podmiotów w Ustawie o cyberbezpieczeństwie, która wchodzi w życie 15 sierpnia 2026. Czy Twój klient sam podlega tej ustawie i dlatego jest zobowiązany do zadawania tych pytań, zwykle możesz sprawdzić poprzez wielkość i sektor jego przedsiębiorstwa — coś, co jest również istotne, aby wiedzieć czy ty sam jako podmiot podlegasz dyrektywie.
Ta odpowiedź obowiązuje dla każdego typu kwestionariusza, nie tylko dla pytań dotyczących zrównoważonego rozwoju od twojego klienta, udzielone. Pełne wyjaśnienie — ze źródłami, szczegółowościami specyficznymi dla poszczególnych krajów i powiązanymi tematami — znajduje się na portalu koordynacyjnym.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.