zákazník chce, aby jsme podepsali prohlášení o bezpečnosti, lze to tak prostě

Podepsat smím, ale přečtěte si nejdřív, co tam stojí

Ano, klient si to může vyžádat — prohlášení o bezpečnosti není právní povinností, ale smluvní požadavkem, a ten si klient může určit. Jde ne o to, zda si to může vyžádat, ale o to, zda prohlášení pokrývá to, co skutečně děláte. Podpis pod "splňujeme deset opatření článku 21 odstavec 2 NIS2" nebo pod "máme certifikaci ISO 27001" je závazek se smluvní hodnotou, ne zaškrtnutí v dotazníku. Pokud se objeví spor — incident u klienta, který vede zpět k vám — je toto prohlášení první dokument, který se vezme.

Podívejte se tedy nejdřív na formát. Vyžaduje prohlášení ano/ne pro každé opatření, nebo jde jen o jeden prázdný výrok "jsme v souladu s NIS2"? První možnost lze podepřít bod po bodu; druhá je často szerší než to, co můžete dokázat, zvlášť pokud sami spadáte pod směrnici jen jako dodavatel subjektu, který pod ni spadá — zda podnik sám spadá pod směrnici NIS2 je pak první otázka, kterou si pro sebe zodpovíte. Nikdy nepodepište tvrzení o opatření, které nemůžete prokázat, například nebo zda existuje proces pro detekci zranitelností — pokud to nemáš, napíšeš to nebo požádáš o specifikovanou verzi.

Odkud pochází odpovědnost

Samotné vysvětlení si svou váhu neodepisuje z Zákona o kybernetické bezpečnosti — ten zavazuje pouze určené subjekty, nikoli jejich dodavatele přímo — ale ze smlouvy, kterou podepisuješ. NIS2 funguje prostřednictvím čl. 21 odst. 2, který zavazuje subjekty řídit rizika v dodavatelském řetězci; to je důvod, proč tě daný subjekt na to ptá, ne důvod, proč jsi jím vázán. Co se zavazuješ, je tedy uvedeno v samotném textu vysvětlení, nikoli v směrnici.