klijent želi da potpiši izjavu o zaštiti smijemo li to jednostavno

Potpisivanje je dozvoljeno, ali pročitaj šta piše

Da, klijent može to tražiti — izjava o sigurnosti nije zakonska obaveza već ugovorna obaveza, i klijent je slobodan da je postavi. Suština nije da li je može tražiti, već da li izjava pokriva ono što zaista radite. Potpis pod "vladamo deset mera člana 21 stav 2 NIS2" ili pod "usklađeni smo sa ISO 27001" je obaveza sa ugovornom vrednošću, ne samo polje za štikliranje na listi pitanja. Ako dođe do spora — incidenata kod klijenta koji se može povezati sa vama — ta izjava je prvi dokument koji će se uzeti.

Proverite prvo oblik. Traži li izjava da/ne po svakoj meri, ili je to jedno prazno iskaz "usklađeni smo sa NIS2"? Prvo možete potkrepiti po tački; drugo je često šire nego što možete dokazati, posebno ako sami ne podlegate direktivu već ste kao snabdevač entiteta koji je jeste — jesu li poduzećem predmet Direktive NIS2 je tada prvo pitanje na koje odgovorite sebi. Nikada ne potpisujte tvrdnju o meri koju ne možete pokazati, na primer ili postoji postupak za otkrivanje ranjivosti — ako to nemate, napišite to ili zatražite konkretizovanu verziju.

Odakle dolazi odgovornost

Sama izjava ne crpi svoju težinu iz Zakona o sajberbezbednosti — koji obavezuje samo same odeljene entitete, ne njihove snabdevače direktno — već iz ugovora koji potpisujete. NIS2 deluje preko člana 21 stav 2, koji obavezuje entitete da upravljaju rizicima u lancu snabdevanja; to je razlog zašto vas taj entitet to pita, ne razlog zašto vi ste obavezani. Ono što se zakonom, stoji u samom tekstu izjave, ne u direktivi.