Čo sa tento rok mení v zozname otázok o kybernetickej bezpečnosti vášho zákazníka?
Zoznamy otázok o kybernetickej bezpečnosti, ktoré odriny posielajú svojim dodávateľom, sa menia v dvoch bodoch. Po prvé, otázky sa stávajú konkrétnejšími: namiesto všeobecnej áno/nie otázky o bezpečnostnej politike čoraz viac odberateľov požaduje krátke zdôvodnenie alebo dôkazný dokument ku každej téme. Po druhé, tieto zoznamy dosahujú širšiu skupinu podnikov, vrátane podnikov, ktoré sami priamo nespadajú pod smernice NIS2.
Dôvod je jednoduchý. Podniky, ktoré spadajú pod smernicu, musia podľa znenia NIS2 pozerať aj na bezpečnosť svojich dodávateľov. To presadzujú v svojich vlastných zoznamoch otázok, a tak sa otázka dostáva k podnikom, ktoré sú ďalej v reťazci. To, či to platí aj pre váš podnik, závisí od toho, ktorí sú vašimi klientmi a čo vám prostredníctvom nich pýtajú; najlepšie si to ujasnite priamo so svojím klientom alebo si to overte pomocou niekoľkých otázok, ktoré vám rýchlo poskytnú prehľad.
Prečo sa otázky stávajú podrobnejšími
Európska smernica NIS2 opisuje desať kategórií opatrení, na ktorých musia pracovať organizácie, ktoré smernica pokrýva, ako sú riadenie rizík, politika prístupu a zaobchádzanie s incidentmi. Odberatelia, ktorí musia zodpovedať za tieto opatrenia, to môžu urobiť len vtedy, ak vedia aj to, ako sa s nimi ich dodávatelia vyrovnávajú. To vysvetľuje, prečo zoznamy, ktoré predtým položili jednu širokú otázku, teraz položia samostatnú otázku pre každú kategóriu, často s požiadavkou na zaslanie krátkeho dôkazného dokumentu.
Tento posun od všeobecných otázok k špecifickým otázkam pre každé opatrenie nie je jednorazová úprava. Odberatelia upravujú svoj vlastný portál a formát v závislosti od toho, ako sami získavajú väčšiu jasnosť o tom, čo sa od nich očakáva. Ako dodávateľ to pre vás znamená, že ten istý klient vám o rok neskôr môže poslať mierne iný zoznam, a to aj keď sa u vás nič nezmenilo.
Koho to tento rok zasiahne
Samotná smernica sa zameriava na organizácie v špecifických odvetviach a od určitej veľkosti. To, či podnik pod ňu spadá, je opísané v smernici a v národnom zákone, ktorý ju transpozuje; to je niečo, čo je potrebné skontrolovať u právnika alebo dohľadného orgánu, a nie niečo, čo sa dá odvodiť len zo zoznamu otázok. Čo je však prakticky viditeľné: aj podniky, ktoré sami nespadajú pod smernicu, dostávajú otázky, lebo ich klient to musí.
Tento kaskádový efekt je najvýznamnejšou praktickou zmenou tohto roka. Inštalačný podnik, ktorý spravuje softvér pre dodávateľa energie, alebo poskytovateľ IT služieb, ktorý pracuje pre nemocnicu, môže dostať podrobnejší zoznam otázok bez toho, aby vlastná organizácia samotná spadala pod smernicu. Pozadie desiatich opatrení a ich presný význam je rozpracované v databázu znalostí s vysvetlením podľa témy.
Čo zatiaľ nie je stanovené
Smernica mala byť pôvodne transpozovaná do národného práva členských štátov v októbri 2024. V Holandsku je tento legislatívny proces stále v priebehu a v čase písania nebola presne definovaná forma a moment, kedy vstúpi národný zákon v plnej miere do platnosti. To znamená, že presné povinnosti pre organizácie, ktoré spadajú pod zákon, a lehoty s ním spojené, sa zatiaľ môžu zmeniť. Za aktuálny stav sú relevantným zdrojom text samotnej smernice a informácie od dohľadného orgánu, nie zoznam otázok alebo novinový článok.
Ako s tým pracovať bez toho, aby ste každý rok začínali znova
Pretože sa otázky pre jednotlivých odbercov a jednotlivé roky môžu mierne líšiť, pomáha to zaznamenať si základné informácie raz poriadne a z nich vypĺňať každý nový zoznam otázok. Tým sa zabránite tomu, aby ste pri každom novom zozname otázok začínali odznova, aj keď je formulácia otázok mierne odlišná ako minulý rok. Ako to v praxi funguje, je opísané na stránke kde informácie pochádzajú.
Ak máte pochybnosti, či sa určitá otázka v zozname týka vášho podniku alebo nie, je to niečo, čo by ste mali prebrať s odberateľom samotným alebo s poradcom. Prehľad často kladených otázok o takýchto zoznamoch nájdete na stránke často kladené otázky o zoznamoch otázok.
Nakoniec
Podstata zmeny v tomto roku nie je v tom, že by vznikla nová povinnosť, ale v tom, že existujúce povinnosti sa ďalej rozširujú v reťazci a sú konkrétnejšie vyvažované. Ak chcete rýchlo vedieť, v akom stave sa vaš podnik v súčasnosti nachádza, vykonajte bezplatnú rýchlu kontrolu alebo si prečítajte ďalšie témy v knowledge base.