Co się w tym roku zmienia w liście kontrolnej dotyczącej cyberbezpieczeństwa Waszego klienta?
Listy kontrolne dotyczące cyberbezpieczeństwa, które odbiorcy wysyłają do swoich dostawców, zmieniają się w dwóch aspektach. Po pierwsze, pytania stają się bardziej konkretne: zamiast ogólnego pytania tak/nie na temat polityki bezpieczeństwa coraz więcej odbiorców prosi o krótkie uzasadnienie lub dokument dowodowy dla każdego zagadnienia. Po drugie, listy te docierają do szerszej grupy przedsiębiorstw, w tym do przedsiębiorstw, które same nie podlegają bezpośrednio dyrektywie NIS2.
Powód jest prosty. Przedsiębiorstwa podlegające dyrektywie muszą zgodnie z tekstem NIS2 również zwracać uwagę na bezpieczeństwo swoich dostawców. Przekazują to w swoich własnych listach kontrolnych, i w ten sposób pytanie trafia do przedsiębiorstw znajdujących się dalej w łańcuchu dostaw. Czy dotyczy to również Waszego przedsiębiorstwa, zależy od tego, kim są Wasi klienci i jakie pytania przekazują Wam; najlepiej jest zapytać o to bezpośrednio klienta lub sprawdzić za pomocą kilku pytań, które szybko Wam dadzą wgląd.
Dlaczego pytania stają się bardziej szczegółowe
Europejska dyrektywa NIS2 opisuje dziesięć kategorii środków, nad którymi muszą pracować organizacje podlegające dyrektywie, takie jak zarządzanie ryzykiem, polityka dostępu i postępowanie z incydentami. Odbiorcy, którzy sami muszą zdać relację z tych środków, mogą to zrobić tylko wtedy, gdy wiedzą również, jak ich dostawcy postępują w tej kwestii. To wyjaśnia, dlaczego listy, które wcześniej zadawały jedno szerokie pytanie, teraz zadają osobne pytanie dla każdej kategorii, często z prośbą o przesłanie krótkiego dokumentu dowodowego.
Ta zmiana od pytań ogólnych do pytań dotyczących konkretnych środków nie jest zmianą jednorazową. Odbiorcy dostosowują własny portal i format w miarę, jak sami uzyskują więcej jasności na temat tego, co się od nich oczekuje. Dla Ciebie jako dostawcy oznacza to, że ten sam klient może w następnym roku wysłać nieco inną listę, nawet jeśli u Ciebie nic się nie zmieniło.
Kto tego dotyczy w tym roku
Sama dyrektywa dotyczy organizacji w określonych sektorach i powyżej określonej wielkości. Czy przedsiębiorstwo do niej podlega, opisane jest w dyrektywie i w krajowym prawie, które ją transpozycje; to jest coś, co należy sprawdzić u prawnika lub organu nadzoru, a nie coś, co można wnioskować wyłącznie z listy kontrolnej. To, co jest widoczne w praktyce: również przedsiębiorstwa, które same nie podlegają dyrektywie, otrzymują pytania przekazane dalej, ponieważ ich klient musi to zrobić.
Ten efekt kaskadowy jest najważniejszą praktyczną zmianą tego roku. Przedsiębiorstwo instalacyjne zajmujące się oprogramowaniem dla dostawcy energii, lub usługodawca IT pracujący dla szpitala, może otrzymać bardziej szczegółową listę kontrolną bez tego, że samo przedsiębiorstwo podlega dyrektywie. Uzasadnienie dziesięciu środków i ich dokładne znaczenie opisane jest w bazy wiedzy z wyjaśnieniami dla każdego tematu.
Co jeszcze nie jest ustalone
Dyrektywa powinna być pierwotnie transponowana do krajowego ustawodawstwa państw członkowskich w październiku 2024 roku. W Niderlandach ten proces legislacyjny trwa, a dokładna forma i moment, w którym krajowe prawo będzie w pełni obowiązywać, nie były w momencie pisania ostatecznie ustalone. Oznacza to, że dokładne obowiązki dla organizacji podlegających ustawie, oraz terminy z nimi związane, mogą się jeszcze zmienić. Aby uzyskać aktualny stan, tekst samej dyrektywy i informacje organu nadzoru są właściwym źródłem, a nie lista kontrolna ani artykuł prasowy.
Jak sobie z tym radzić bez zaczynania od nowa każdego roku
Ponieważ pytania dla każdego odbiorcy i każdego roku mogą się nieznacznie zmienić, warto zarejestrować informacje podstawowe raz na dobre i na tej podstawie wypełnić każdą nową listę. Zapobiega to konieczności rozpoczynania od zera przy każdej nowej liście pytań, nawet jeśli sformułowanie pytań różni się od ubiegłego roku. Jak to działa w praktyce, opisano na stronie skąd pochodzą informacje.
Jeśli mają Państwo wątpliwości lub uważają, że konkretne pytanie z listy nie ma zastosowania do Pana/Pani przedsiębiorstwa, należy to omówić z samym odbiorcą lub z doradcą. Przegląd najczęściej zadawanych pytań dotyczących takich list znajduje się na stronie często zadawane pytania dotyczące list pytań.
Na koniec
Istota zmiany w tym roku to nie pojawienie się nowego obowiązku, ale to, że istniejące obowiązki rozciągają się dalej w łańcuch dostaw i są pytane bardziej konkretnie. Jeśli chcą Państwo szybko wiedzieć, gdzie Pana/Pani przedsiębiorstwo znajduje się w tej chwili, przeprowadź darmowe szybkie skanowanie lub przeczytaj inne tematy w bazie wiedzy.