az ügyfél azt szeretné, hogy írjunk alá egy biztonsági nyilatkozatot, szabad-e azt

Az aláírás megengedett, de először olvassa el, mit tartalmaz

Igen, az ügyfél kérhet ilyet — a biztonsági nyilatkozat nem törvényi kötelezettség, hanem szerződéses követelmény, és az ügyfél szabadon előírhatja azt. A kérdés nem az, hogy kérheti-e, hanem az, hogy a nyilatkozat lefedi-e azt, amit valóban végeznek. Az aláírás a "megfelelünk a NIS2 21. cikk 2. bekezdésének tíz intézkedésének" vagy a "megfelelünk az ISO 27001-nak" alatt egy szerződéses értékű ígéret, nem pedig egy kérdőív pipája. Ha vita merül fel — az ügyfélnél történt incidens, amely Önökhöz vezethető vissza — ez a nyilatkozat az első dokumentum, amelyet előkerítik.

Ezért először vizsgálja meg a formátumot. A nyilatkozat intézkedésenként igen/nem választ kér, vagy egyetlen üres nyilatkozat: "megfelelünk a NIS2-nek"? Az első lehetőséget pontok szerint alapozhatja meg; az utóbbi gyakran szélesebb körű, mint amit indokolni tud, különösen akkor, ha Ön nem közvetlenül a direktíva hatálya alá tartozó, hanem annak olyan entitásának beszállítója, amely alatt tartozik — vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e akkor az első kérdés, amelyet samagának feltesz. Soha ne írjon alá olyan állítást egy intézkedésről, amelyet nem tud konkrét módon felmutatni, például hogy van-e eljárás a sebezhetőségek felderítésére — ha Önnek nincs ilyen, akkor ezt feltünteti, vagy módosított verziót kér.

Az Önös felelősség forrása

A nyilatkozat súlya nem a Kiberbiztonsági törvényből származik — ez csak az kijelölt entitásokat köti, nem azok beszállítóit közvetlenül — hanem az általa aláírt szerződésből. A NIS2 a 21. cikk 2. bekezdésén keresztül működik, amely entitásokat kötelezi a tokallancsban felmerülő kockázatok kezelésére; ez az oka annak, hogy az entitás ezt Önnél lekérdezi, de nem az oka annak, hogy Ön ahhoz kötött. Amit ígér, a nyilatkozat szövege tartalmazza, nem pedig a direktíva.