klientas nori, kad mes pasirašytume saugumo pareiškimą, ar tai gali būti tik taip

Pasirašyti galima, bet perskaitykite, kas parašyta

Taip, klientas tai gali reikalauti — saugumo deklaracija nėra teisinė prievolė, bet sutartinis reikalavimas, kurį klientas gali keisti. Dalykas ne tas, ar jis gali tai reikalauti, o tas, ar deklaracija apima tai, ką jūs iš tikrųjų darote. Pasirašas po "mes atitinkame dešimt priemonių iš NIS2 21 straipsnio 2 dalies" arba po "mes atitinkame ISO 27001 standartą" yra sutartinės vertės žodinis pažadas, o ne pažymėjimas anketos klausime. Jei iškils ginčas — incidentas pas klientą, kuris grįžta prie jūsų — ta deklaracija bus pirmas dokumentas, kurį išims.

Todėl pirmiausia žiūrėkite į formatą. Ar deklaracija reikalauja taip/ne atsakymo kiekvienai priemonei, ar tai vienas tuščias teiginys "mes atitinkame NIS2 reikalavimus"? Pirmąją galite pagrįsti kiekvienu punktu; antroji dažnai yra platesnė nei tai, ką galite įrodyti, ypač jei jūs patys nuo direktyvos negalite nukrypti, bet esate tiekėjas subjekto, kuris gali ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį yra pirmasis klausimas, kurį atsakote sau. Niekada nepasirašykite tvirtinimo apie priemonę, kurios negalite parodyti, pavyzdžiui, ar yra procesas pažeidžiamumams aptikti — jei jos neturite, parašykite tai arba paprašykite konkrečios versijos.

Iš kur kyla atsakomybė

Pati deklaracija negauna savo galios iš Kibernetinio saugumo įstatymo — tas įpareigoja tik pačius paskirtuosius subjektus, o ne jų tiekėjus tiesiogiai — o iš sutarties, kurią pasirašote. NIS2 veikia per NIS2 21 straipsnio 2 dalį, kuris įpareigoja subjektus valdyti tiekimo grandinės rizikus; tai priežastis, kodėl tas subjektas tai reikalauja iš jūsų, o ne priežastis, kodėl jūs esate susieti. Tai, ką žadite, yra pačios deklaracijos tekste, o ne direktyvoje.