Što se ove godine mijenja u listi za procjenu kibernetske sigurnosti vašeg klijenta?
Popisi o kibernetskoj sigurnosti koje kupci šalju svojim dobavljačima mijenjaju se na dva aspekta. Prvo, pitanja postaju konkretnije: umjesto općenitog da/ne pitanja o sigurnosnoj politici, sve više kupaca traži kratko obrazloženje ili dokazni materijal po temi. Drugo, ti popisi dosežu širu skupinu tvrtki, uključujući tvrtke koje same nisu izravno predmet NIS2 direktive.
Razlog je jednostavan. Tvrtke koje jesu predmet direktive moraju prema tekstu NIS2 također razmotriti sigurnost svojih dobavljača. To provlače kroz svoje vlastite popise za procjenu, i tako pitanje stignuto tvrtke koje su dalje u lancu. Primjenjuje li se to i na vašu tvrtku, ovisi o tome tko su vaši kupci i što vam prosleđuju; najbolje je da to direktno upitate kupca ili da provjerite pomoću nekoliko pitanja koja će vam brzo dati uvid.
Zašto pitanja postaju detaljnija
NIS2 direktiva Europske unije opisuje deset kategorija mjera s kojima se trebaju baviti organizacije koje su predmet direktive, kao što su upravljanje rizicima, politika pristupa i rukovanje incidentima. Kupci koji moraju dati odgovor za te mjere mogu to učiniti samo ako znaju kako se njihovi dobavljači s njima nose. To objašnjava zašto su popisi koji su prije postavljali jedno široko pitanje sada po kategoriji postavili odvojeno pitanje, često s traženjem da se priloži kratki dokazni materijal.
Taj pomak od općenitih pitanja prema specifičnim pitanjima po mjeri nije jednokratna prilagodba. Kupci prilagođavaju svoj vlastiti portal i format kako sami dobivaju veću jasnoću o tome što se od njih očekuje. Za vas kao dobavljača to znači da isti kupac sljedeće godine može poslati malo drugačiji popis, čak i ako se kod vas ništa nije promijenilo.
Koga to ove godine pogađa
Sama direktiva usmjerena je na organizacije u specifičnim sektorima i od određene veličine. Pada li tvrtka pod nju, opisano je u direktivi i nacionalnom zakonu koji je provodi; to je nešto što treba provjeriti kod pravnika ili nadzornog tijela, a ne nešto što se može zaključiti samo iz popisa za procjenu. Što je u praksi vidljivo: i tvrtke koje same nisu predmet direktive dobivaju proslijeđena pitanja jer njihov kupac mora.
Taj kaskadni učinak najveća je praktična promjena ove godine. Instalacijska tvrtka koja održava softver za dobavljača energije, ili IT pružatelj usluga koji radi za bolnicu, može dobiti detaljniji popis bez da sama poduzeća padne pod direktivu. Pozadina deset mjera i što točno znače opisana je u bazi znanja s objašnjenjem po temi.
Što još nije utvrđeno
Direktiva je trebala biti prenesena u nacionalno zakonodavstvo država članica u listopadu 2024. U Nizozemskoj se taj zakonodavni proces nastavlja, a točan oblik i vrijeme kada će nacionalni zakon u potpunosti stupi na snagu nisu bili konačno određeni u vrijeme pisanja. To znači da se točne obveze za organizacije koje su predmet zakona i vremenski rokovi koji s njima dolaze sada mogu još promijeniti. Za trenutno stanje tekst same direktive i informacije nadzornog tijela preporučeni su izvor, a ne popis za procjenu niti članak u novinama.
Kako se s time nositi bez da svake godine počnete iznova
Budući da se pitanja mogu malo razlikovati od kupca do kupca i od godine do godine, korisno je temeljne informacije zabilježiti samo jednom pravilno i odatle ispuniti svaki novi popis. To sprječava da počnete ispočetka pri svakoj novoj upitnici, čak i ako je formulacija pitanja malo drugačija od prošle godine. Kako to funkcionira u praksi, opisano je na stranici odakle dolaze informacije.
Ako sumnjate ili vam nije jasno je li neko specifično pitanje u popisu primjenjivo na vaše poduzeće ili nije, to je nešto što trebate raspraviti s samim kupcem ili s savjetnikom. Pregled često postavljanih pitanja o takvim popisima dostupan je na stranici Često postavljana pitanja o upitnicama.
Na kraju
Jezgra promjene ove godine nije što nastaje nova obaveza, već što postojeće obveze dalje ulaze u lanac i konkretnije se upituju. Želite li brzo saznati gdje se vaše poduzeće trenutno nalazi, napravite besplatnu quick-scan ili pročitajte druge teme u bazi znanja.