Mans klients sūta plašu NIS2 jautājumā, savukārt tas iepriekš nebija tāds, ko ar to darīt

Jūsu klients pārslīdina savu piegādes ķēdes pienākumu

Tas parasti nozīmē, ka jūsu klients pats ir pakļauts Kiberdrošības likumam, un kā būtiska vai svarīga entītija viņš ir obligāts novērtēt savu piegādes partiju drošību. Šis pienākums izriet no desmit pasākumiem, kas noteikti NIS2 direktīvas 21. panta 2. punktā, un viens no tiem īpaši attiecas uz ķēdes drošību: organizācijai jāzina, cik drošas ir viņas piegādes ķēde, un viņai tas jāspēj pierādīt. Jūsu klients šo jautājumu neuzdod tikai tā — viņš tam ir obligāts pats, un jūs šajā brīdī esat viņa "ķēdes" daļa. Tāpēc saraksts tagad pienāk, pat ja jūs jau gadus ilgi piegādājāt bez tam, lai to jebkad jautātu: pienākums viņam ir jauns, nevis jūsu sadarbības attiecības.

Ko jūs varat sagaidīt, ir jautājumu kombinācija, kas agrāk bija saistīti ar piekļuves politiku un uzņēmuma līdzekļu pārvaldi jautājumi par procedūru drošības incidentu gadījumā un jautājumi par atjaunošanas spēju pēc traucējuma. Ja jums nav ISO 27001 sertifikata, tad tas pats par sevi parasti nav problēma — direktīva nepieprasa, lai katrs piegādātājs būtu sertificēts, viņa pieprasa, lai klients zinātu kā jums klājas. Jūsu pašu pasākumu apraksts ar pierādījumiem, kur tie jums ir, ir tad pamatots atbilde. Kur jums nav nekā, jūs atbildat, ka nekā nav; saraksts ar vienīgi "jā" bez pamatdokumenta rada lielāku risku jūsu klienta vēlākai revīzijai nekā godīgs "nē, vēl ne".

Kāpēc tas tagad pie jums ierodas: direktīvas 21. panta 2. punkts

Pienākums novērtēt piegādātājus ir noteikts Direktīvas (ES) 2022/2555 21. panta 2. punktā, un Nīderlandes entītēm tas ir detalizēti izstrādāts Kiberdrošības likumā, kas stājas spēkā 2026. gada 15. augustā. To, vai jūsu klients pats ir pakļauts šim likumam un tāpēc obligāts uzdot šos jautājumus, parasti var noskaidrot, apskatot viņa uzņēmuma apjomu un sektoru — tas ir arī svarīgi zināt vai jūs paši kā entītija esat pakļauti direktīvai.