client vrea ca noi să semnez o declarație privind securitatea e permis pur și simplu

Semnarea este permisă, dar citești cu atenție ce scrie acolo

Da, un client are dreptul să o ceară — o declarație de securitate nu este o obligație legală ci o cerință contractuală, și clientul este liber să o impună. Punctul nu este dacă are dreptul să o ceară, ci dacă declarația acoperă ceea ce faceți cu adevărat. O semnătură sub "respectăm cele zece măsuri ale articolului 21 alineatul 2 NIS2" sau sub "suntem conformi cu ISO 27001" este o angajament cu valoare contractuală, nu o bifă pe o listă de întrebări. Dacă apare o dispută — un incident la client care se urmărește înapoi la voi — acea declarație este primul document care se pune în evidență.

Priviți deci mai întâi la format. Declarația cere un da/nu pentru fiecare măsură, sau este un singur statement în alb "suntem conformi cu NIS2"? Primul lucru pe care îl puteți susține punct cu punct; al doilea este adesea mai larg decât ceea ce puteți dovedi, mai ales dacă voi nu cădeți sub directivă ci sunteți furnizor al unei entități care o face — dacă întreprinderea se încadrează sub Directiva NIS2 este atunci prima întrebare pe care vă o puneți singuri. Nu semnați niciodată o pretenție cu privire la o măsură pe care nu o puteți identifica, de exemplu dacă există un proces pentru detectarea vulnerabilităților — dacă nu aveți asta, atunci o notați asta sau cereți o versiune specificată.

De unde vine răspunderea

Declarația în sine nu-și obține puterea din Legea de securitate cibernetică — care obligă doar entitățile desemnate în sine, nu direct furnizorii lor — ci din contractul pe care îl semnați. NIS2 funcționează prin articolul 21 alineatul 2, care obligă entitățile să gestioneze riscurile din lanțul de aprovizionare; aceasta este motivul pentru care acea entitate o cere de la voi, nu motivul pentru care voi sunteți obligați. Ceea ce vă angajați, se găsește deci în textul declarației în sine, nu în directivă.