Twój klient pyta o NIS2, nawet jeśli ty sam nie podlegasz tej dyrektywie
Otrzymujesz listę kontrolną bezpieczeństwa, ponieważ twój klient musi ją przesłać, a nie dlatego, że ty sam podlegasz dyrektywie. To zmienia to, czego się od ciebie oczekuje.
Dlaczego otrzymujesz tę listę
Dyrektywa (UE) 2022/2555 — NIS2 — zobowiązuje organizacje w określonych sektorach do kontrolowania bezpieczeństwa ich łańcucha dostaw. Muszą zatem stawiać wymagania swoim dostawcom, a te wymagania trafiają do ciebie jako lista kontrolna.
Nie podlegasz sam tej dyrektywie. Ale nie możesz pominąć pytań: twój klient musi być w stanie wykazać, że je zadał.
O co pyta lista
Czy istnieje polityka dotycząca analizy ryzyka i bezpieczeństwa systemów informatycznych. Czy istnieje procedura obsługi incydentów. Czy istnieją kopie zapasowe i przepisy awaryjne umożliwiające przywrócenie świadczenia usług.
I — a to pytanie jest często niedoceniane — czy ty sam stawiasz wymagania dotyczące bezpieczeństwa swoim własnym dostawcom. Łańcuch się rozciąga, a to pytanie przekazuje ci on tak, jak twój klient przekazał ci je.
Tak bez uzasadnienia się nie liczy
W tych listach częściej prosi się o dokument niż w pozostałych dwóch: politykę, procedurę, raport testowy przepisów awaryjnych. Zaznaczone pole bez załącznika wraca w drugiej rundzie.
Kto za tym stoi
supplia.eu jest usługą Point2Create BV, Energieweg 1, 3133 EB Vlaardingen (KvK 63324547). Pytania można kierować na office@supplia.eu.