požadují naši kompletní bezpečnostní politiku jako dokument

Sdílení úplného dokumentu zásad obvykle není nutné

Ne, ve většině případů to není nutné, a ani to není to, co si zákazník vlastně chce znát. Otázka typu "zašlete svou zásadu bezpečnosti" je téměř vždy přeformulováním něčeho konkrétnějšího: zákazník chce vědět, zda existuje zásada pro analýzu rizik, zda existuje postup řešení incidentů, nebo zda je přístup dobře upraven. To jsou deset opatření z článku 21 odst. 2 směrnice NIS2, a stejné rozdělení vidíte v kontrolních opatřeních přílohy A normy ISO/IEC 27001. Dotazník, který žádá "úplné zásady", to obvykle stejně rozdělí na dílčí otázky — nejdříve se tedy podívejte, zda je to případ, než nahrajete úplný dokument.

Riziko odeslání úplného dokumentu zásad není právní, ale praktické: často obsahuje více, než zákazník potřebuje — názvy nástrojů, interní postupy, kontaktní údaje zaměstnanců. Pokud někdo raději odpovídá na jednotlivé otázky místo sdílení dokumentu, může to pomocí tlačítka důvěrnosti omezit na to, co se skutečně požaduje. Pokud se otázka týká konkrétního dílčího tématu, odpověď se často již nachází jinde: nebo zásada přístupu je stanovenanebo zda existuje postup pro incidenty, nebo zda je pravidelně testována. To je obvykle konkrétněji zodpovídatelné než s úplným dokumentem.

Odkud to vyplývá: článek 21 odstavec 2 a Příloha A

Článek 21 odst. 2 NIS2 jmenuje deset konkrétních opatření — analýza rizik, řešení incidentů, kontinuita podnikání, správa zranitelností, zásady přístupu a další — aniž by vyžadoval, aby třetí strana sama nahlédla do podkladového dokumentu. ISO/IEC 27001 Annex A pracuje se stejnou logikou: kontrolní opatření jsou auditovatelná po částech, nikoli jako jeden neoddělitelný dokument zásad. Vezměte také v úvahu, že otázka, zda vlastní podnik podléhá NIS2 nebo jeho národnímu transpozičnímu právnímu předpisu je nezávislá na tom, co si zákazník v dotazníku vyžaduje — tyto dvě věci se často zaměňují.