clientul nostru trimite un chestionar nis2 extins în timp ce mai înainte nu era așa, ce trebuie să fac

Clientul dumneavoastră vă transmite obligația sa din lanț

Aceasta înseamnă de obicei că clientul dumneavoastră însuși se încadrează sub Legea privind securitatea cibernetică, și că el, ca entitate esențială sau importantă, este obligat să evalueze securitatea propriilor furnizori. Această obligație provine din cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2, și una dintre ele se referă specific la securitatea lanțului: organizația trebuie să știe cât de securizați sunt furnizorii săi și trebuie să poată dovedi acest lucru. Clientul dumneavoastră nu transmite deci pur și simplu întrebarea — el însuși este obligat să o facă, și în acel moment sunteți parte din "lanțul" său. De aceea lista vine acum, deși ați furnizat de ani de zile fără ca acest lucru să fi fost vreodată cerut: obligația este nouă pentru el, nu pentru relația dumneavoastră.

Ceea ce puteți aștepta este o combinație de întrebări care se referă la politica de acces și gestiunea activelor de afaceri , întrebări despre procedura în caz de incidente de securitate și întrebări despre capacitatea de recuperare după o perturbare. Dacă nu dețineți o certificare ISO 27001, aceasta de obicei nu este o problemă în sine — directiva nu cere ca fiecare furnizor să fie certificat, ea cere ca clientul să știe cum stați. O descriere a măsurilor dumneavoastră proprii, cu documente justificative acolo unde le dețineți, este atunci un răspuns valid. Acolo unde nu aveți nimic, răspundeți că nu aveți nimic; o listă doar cu "da" fără un document suport generează la o audit ulterioară a clientului dumneavoastră mai mult risc decât un sincer "nu, încă nu".

De ce ajunge asta la dumneavoastră acum: articolul 21 alineatul 2

Obligația de a evalua furnizorii se află în articolul 21 alineatul 2 din Directiva (UE) 2022/2555, și este transpusă pentru entitățile din Olanda în Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026. Dacă clientul dumneavoastră însuși se încadrează sub acea lege, și prin urmare este obligat să pună aceste întrebări, de obicei puteți verifica pe baza mărimii și sectorului întreprinderii sale — ceva care este relevant și de știut dacă voi înșivă ca entitate vă încadrați sub directivă .