klient soovib, et me allkirjastaksime turvalisuse deklaratsiooni, kas see on lubatud

Allkirjastamine on lubatud, kuid loe läbi, mis seal kirjas on

Jah, klient võib seda küsida — turvalisuse deklaratsioon ei ole seaduslik kohustus, vaid lepinguline nõue, ja klient võib selle seada. Küsimus pole selles, kas tal on õigus seda küsida, vaid selles, kas deklaratsioon katab seda, mida te tegelikult teete. Allkiri järel "peame kinni NIS2 artikli 21 lõike 2 kümnest meetmest" või "oleme ISO 27001 kooskõlas" on lepingulise väärtusega lubadus, mitte küsimustiku märkeruut. Kui tekib vaidlus — intsidendi tulemusena kliendil, mis viib tagasi teieni — on see deklaratsioon esimene dokument, millele viidatakse.

Vaata seega kõigepealt vormi. Küsib deklaratsioon igale meetmele jah/ei vastust või on see üks tühi avaldus "oleme NIS2 kooskõlas"? Esimest saad igalt punktilt põhjendada; teine on sageli laiem kui see, mida saad tõestada, eriti kui sa ise direktiivi alla ei kuulu, vaid oled olem, kes selle alla kuulub, hankija — või ettevõte ise ei kuulu NIS2-direktiivi alla on esimene küsimus, millele ise vastust annad. Kunagi ei kirjuta alla väitele mõne meetme kohta, mida sa ei saa näidata, näiteks kas on protsess haavatavuste tuvastamiseks — kui see puudub, kirjutad selle juurde või palustad spetsifitseeritud versiooni.

Kust vastutus pärineb

Deklaratsiooni ise oma kaalu ei pea Küberturvalisuse seadusest — mis kohustab ainult nimetatud üksusi ise, mitte nende hankijaid otseselt — vaid lepingust, mille allkirjastad. NIS2 toimib artikli 21 lõike 2 kaudu, mis kohustab üksusi varustusahela riske juhtima; see on põhjus, miks see üksus seda sinult küsib, mitte põhjus, miks sa sellega seotud oled. See, mida lubad, seisab seega deklaratsiooni teksti ennast, mitte direktiivi.