Moj klien pošilja obsežen vprašalnik NIS2, čeprav sprva tega ni bilo, kaj naj s tem storim

Vaš stranki preusmeri svojo obveznost v verigi

To običajno pomeni, da vaš stranki sam spada pod Zakon o kibernetski varnosti in da je kot bistveni ali pomembni subjekt dolžan oceniti varnost svojih lastnih dobaviteljev. Ta obveznost izhaja iz desetih ukrepov člena 21(2) Direktive NIS2, in eden od njih se posebej nanaša na varnost v verigi: organizacija mora vedeti, kako varni so njeni dobavitelji, in mora to moći dokazati. Vaš stranki torej ne preusmeri tega vprašanja samo tako — sam je dolžan to storiti, in v tem trenutku ste del njegove "verige". Zato je seznam sedaj prisoten, čeprav ste že leta dobavljali, ne da bi se to kdaj vprašalo: za njega je obveznost nova, ne pa za vašo razmerje.

Kaj lahko pričakujete, je kombinacija vprašanj, ki se nanašajo na politiko dostopa in upravljanje sredstev podjetja vprašanja o postopku pri varnostnih incidentih in vprašanja o sposobnosti za okrevanje po prekinitvi delovanja. Če nimate certifikata ISO 27001, to samo po sebi običajno ni problem — direktiva ne zahteva, da je vsak dobavitelj certificiran, zahteva pa, da stranki ve kako je pri vas. Opis vaših lastnih ukrepov, s potrebnimi dokumenti, kjer jih imate, je potem veljaven odgovor. Kjer nimate ničesar, odgovorite, da nimate ničesar; seznam samih "da" brez temeljnega dokumenta pri kasnejšem revizijskem pregledu vašega stranka ustvari večje tveganje kot pošten "ne, še ne".

Zakaj vam to zdaj prihaja: člen 21(2)

Obveznost ocene dobaviteljev je navedena v členu 21(2) Direktive (EU) 2022/2555 in se za nizozemske subjekte razdelava v Zakonu o kibernetski varnosti, ki začne veljati 15. avgusta 2026. Ali vaš stranki sam spada pod ta zakon in je zato dolžan ta vprašanja zastavljati, lahko običajno preverite glede na velikost in panogo njegovega podjetja — nekaj, kar je tudi relevantno, da veste ali vi sami kot subjekt spadate pod direktivo.