mój klient wysyła rozszerzoną listę pytań nis2, podczas gdy poprzednio nie było tak, co z tym zrobić
Twój klient przerzuca swoje zobowiązanie łańcuchowe
Zwykle oznacza to, że Twój klient sam podlega Ustawie o cyberbezpieczeństwie i że jako podmiot istotny lub ważny jest zobowiązany do oceny bezpieczeństwa swoich własnych dostawców. To zobowiązanie wynika z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2, a jeden z nich dotyczy bezpośrednio bezpieczeństwa łańcucha: organizacja musi wiedzieć, jak bezpieczni są jej dostawcy, i musi być w stanie to wykazać. Twój klient nie przerzuca tego pytania na byle co — sam jest do tego zobowiązany, a Ty w tym momencie jesteś częścią jego "łańcucha". Dlatego lista teraz przychodzi, nawet jeśli dostarczałeś od lat bez tego, by kiedykolwiek zostało zapytane: obowiązek jest dla niego nowy, a nie dla Twojej relacji.
Czego możesz się spodziewać, to kombinacja pytań, które wcześniej należały do polityki dostępu i zarządzania zasobami przedsiębiorstwa , pytania dotyczące procedury postępowania w przypadku incydentów bezpieczeństwa i pytania dotyczące zdolności do odzyskiwania po zakłóceniu. Jeśli nie posiadasz certyfikatu ISO 27001, zwykle nie stanowi to samo w sobie problemu — dyrektywa nie wymaga, aby każdy dostawca był certyfikowany, wymaga, aby klient wiedział jak się masz. Opis Twoich własnych środków, z załącznikami tam, gdzie je masz, jest wtedy prawidłową odpowiedzią. Tam, gdzie nic nie masz, odpowiadasz, że nic nie ma; lista zawierająca jedynie "tak" bez dokumentu w tle powoduje większe ryzyko podczas późniejszej audytu Twojego klienta niż uczciwe "nie, jeszcze nie".
Dlaczego to teraz do Ciebie trafia: artykuł 21 ust. 2
Obowiązek oceny dostawców znajduje się w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555 i jest wdrażany dla holenderskich podmiotów w Ustawie o cyberbezpieczeństwie, która wchodzi w życie 15 sierpnia 2026. Czy Twój klient sam podlega tej ustawie i dlatego jest zobowiązany do zadawania tych pytań, zwykle możesz sprawdzić poprzez wielkość i sektor jego przedsiębiorstwa — coś, co jest również istotne, aby wiedzieć czy ty sam jako podmiot podlegasz dyrektywie.
Ta odpowiedź dotyczy każdego rodzaju kwestionariusza, nie tylko pytań dotyczących cyberbezpieczeństwa od twojego klienta, odpowiedź udzielona. Pełne wyjaśnienie — ze źródłami, specyficznymi dla kraju szczegółami i powiązanymi tematami — znajduje się na portalu.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.