Môj klient posiela rozsiahly zoznam otázok NIS2, pričom to tak nebolo, čo s tým mám robiť

Váš klient presúva svoju povinnosť reťazca ďalej

To zvyčajne znamená, že váš klient sám podlieha Zákonu o kybernetickej bezpečnosti a ako podstatná alebo dôležitá entita je povinný posúdiť bezpečnosť svojich vlastných dodávateľov. Táto povinnosť vychádza z desiatich opatrení článku 21 odsek 2 Smernice NIS2 a jedno z nich sa konkrétne vzťahuje na bezpečnosť reťazca: organizácia musí poznať, aká je bezpečnosť jej dodávateľov, a musí to vedieť preukázať. Váš klient teda nezasúva túto otázku len tak — je k tomu sám povinný a vy ste v tom momente súčasťou jeho „reťazca". Preto zoznam teraz áno prichádza, aj keď ste dodávali už roky bez toho, aby ste to kedy boli požiadaní: povinnosť je pre neho nová, nie pre vášho vzťah.

Čo môžete očakávať, je kombinácia otázok, ktoré doteraz patrili k politike prístupu a správe podnikových aktív otázky o postupu pri bezpečnostných incidentoch a otázky o schopnosti obnovenia po prerušení. Ak nemáte certifikát ISO 27001, to samo o sebe zvyčajne nie je problém — smernica nevyžaduje, aby bol certifikovaný každý dodávateľ, vyžaduje, aby klient pozná ako na tom sú. Opis vašich vlastných opatrení spolu s podľadajúcimi dokladmi, pokiaľ ich máte, je potom platnou odpoveďou. Ak nemáte nič, odpovedia ste, že nič nie je; zoznam, ktorý obsahuje iba "áno" bez podkladového dokumentu, predstavuje pri neskoršej audite vášho klienta väčšie riziko než poctivé "nie, zatiaľ nie".

Prečo to teraz prichádza k vám: článok 21 odsek 2

Povinnosť vyhodnotenia dodávateľov je stanovená v článku 21 odsek 2 Smernice (EÚ) 2022/2555 a je pre holandské subjekty konkretizovaná v zákone o kybernetickej bezpečnosti, ktorý nadobúda účinnosť 15. augusta 2026. Či váš klient sám podlieha tomuto zákonu a je teda povinný klásť tieto otázky, zvyčajne môžete zistiť na základe veľkosti a sektora jeho podniku — niečo, čo je tiež relevantné vedieť alebo či vy sami ako subjekt podliehate smernici.