nasz klient podlega NIS2 i teraz stawia nam wymagania, co to oznacza

Twój klient przekazuje ci dziesięć środków z artykułu 21

Oznacza to, że stanie się częścią podejścia łańcuchowego określonego w artykule 21 ust. 2 NIS2. Podmiot podlegający NIS2 musi sam podjąć "środki bezpieczeństwa w łańcuchu dostaw" — lit. (d) tego ustępu — i czyni to twój klient, nakładając wymagania, które sam sobie stawia, również na ciebie. Nie stajesz się więc sam odpowiedzialny na mocy NIS2 z powodu tej listy kontrolnej; przechodzi na ciebie skutek obowiązku twojego klienta. To, czy sam podlegasz tej dyrektywie, to osobna kwestia — odpowiadasz na nią niezależnie, na przykład w wyjaśnieniu dotyczącym czy przedsiębiorstwo samo podlega dyrektywie NIS2.

W praktyce lista kontrolna przekłada artykuł 21 ust. 2 na oddzielne pytania: czy prowadzisz analizę ryzyka i masz politykę bezpieczeństwa informacji, jak traktujesz zdarzenia, jak wygląda sytuacja z kopiami zapasowymi i odzyskiwaniem, jak zarządzasz dostępem i czy używasz uwierzytelniania wieloskładnikowego, a — przepis, który twój klient teraz do ciebie stosuje — czy sam stawiasz wymagania swoim dostawcom. Dla każdego z tych punktów istnieje oddzielne wyjaśnienie w bazie wiedzy, takie jak polityka analizy ryzyka i bezpieczeństwa systemów informatycznych i wymagania bezpieczeństwa dla własnych dostawców. Jeśli masz już certyfikat ISO 27001, to pokrywa wiele z tych pytań za jednym razem.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dosłownie dziesięć środków, od polityki analizy ryzyka (lit. a) do bezpieczeństwa przy nabywaniu produktów i usług oraz relacji dostawcy (lit. d), aż do kontroli dostępu i uwierzytelniania wieloskładnikowego (lit. j). Holenderska ustawa o cyberbezpieczeństwie transpozycji tę dyrektywę do prawa krajowego i wchodzi w życie 15 sierpnia 2026 r.; do tego czasu twój klient może już przerzucić na ciebie swoją własną przygotowanie, nawet bez tego, że prawo już obowiązuje. Kto rozpoznaje dziesięć środków jako osobne kontrole Załącznika A ISO/IEC 27001, może wiele odpowiedzi przenieść bezpośrednio z istniejącego ISMS.