Kaj se je leto spremenilo pri vprašalniku kybernetske varnosti vašega odjemalca?
Vprašalniki o kibernetski varnosti, ki jih odjemalci pošiljajo svojim dobaviteljem, se spreminjajo na dveh področjih. Prvič, vprašanja postajajo konkretnejša: namesto splošnega vprašanja da/ne o varnostni politiki vse več odjemalcev zahteva kratek opis ali dokaz na posamezno temo. Drugič, ti seznami dosegajo širšo skupino podjetij, tudi podjetja, ki sama niso neposredno zajeta v direktivo NIS2.
Razlog je preprost. Podjetja, ki so zajeta v direktivo, morajo po besedilu direktive NIS2 pogledati tudi varnost svojih dobaviteljev. To prenašajo v svoje lastne vprašalnike, zato vprašanje prispe do podjetij, ki so naprej v verigi. Ali to velja tudi za vaše podjetje, je odvisno od tega, kdo so vaši odjemalci in kaj vam postavljajo; to boste najbolje razjasnili z vašim odjemalcem ali preverili s pomočjo nekaj vprašanj, ki vam hitro dajo vpogled.
Zakaj vprašanja postajajo podrobnejša
Evropska direktiva NIS2 opisuje deset kategorij ukrepov, na katere morajo delovati organizacije, ki so zajete v direktivo, kot so upravljanje tveganja, politika dostopa in obravnava incidentov. Odjemalci, ki morajo sami poročati o teh ukrepih, to lahko naredijo le, če vedo, kako se z njimi soočajo njihovi dobavitelji. To pojasnjuje, zakaj seznami, ki so prej postavili eno široko vprašanje, zdaj postavljajo posebno vprašanje po kategoriji, pogosto z zahtevo, da se pošlje kratek dokaz.
Ta sprememba od splošnih vprašanj k specifičnim vprašanjem za vsak ukrep ni enkratna prilagoditev. Odjemalci prilagajajo svoj portal in format, ko sami dobivajo več jasnosti o tem, kaj se od njih pričakuje. Za vas kot dobavitelja to pomeni, da lahko isti odjemalec naslednje leto pošlje malo drugačen seznam, čeprav se pri vas samih nič ni spremenilo.
Koga to letos zadeva
Sama direktiva se osredotoča na organizacije v določenih sektorjih in od določene velikosti naprej. Ali podjetje spada pod direktivo, je opisano v direktivi in nacionalnem zakonu, ki jo prenaša; to je treba preveriti pri pravniku ali nadzornem organu, ne pa se izvleči le iz vprašalnika. Kar je v praksi opazno: tudi podjetja, ki sami niso zajeta v direktivo, dobijo vprašanja, ker to mora storiti njihov odjemalec.
Ta kaskadni učinek je največja praktična sprememba letos. Instalacijsko podjetje, ki vzdržuje programsko opremo za energetskega podjetja, ali ponudnik IT-storitev, ki dela za bolnišnico, lahko prejme podrobnejši vprašalnik, čeprav samo podjetje ne spada pod direktivo. Ozadje desetih ukrepov in kaj natanko pomenijo, je navedeno v bazi znanja z razlago po temah.
Kaj še ni odločeno
Direktiva je morala biti sprva prenesena v nacionalno zakonodajo držav članic oktobra 2024. V Nizozemski je ta zakonodajni proces še v teku in natančna oblika ter čas, ko bo nacionalni zakon v celoti veljal, sta ob času pisanja še nista končno določena. To pomeni, da se natančne obveznosti za organizacije, ki spadajo pod zakon, in časovne roke, ki jih spremljajo, lahko še spremenijo. Za aktualno stanje je besedilo direktive same in informacije nadzornega organa pravi vir, ne vprašalnik ali članek iz novic.
Kako se s tem soočiti brez da začnete znova vsako leto
Ker se vprašanja za vsakega prejemnika in za vsako leto lahko nekoliko spremenijo, je koristno, da temeljna informacija raz enkrat pravilno dokumentirate in od tam naprej izpolnite vsak nov seznam vprašanj. To preprečuje, da bi se pri vsakem novem vprašalniku znova začeli od začetka, tudi če je formulacija vprašanja malo drugače oblikovana kot prejšnje leto. Kako to v praksi deluje, je opisano na strani od kje prihajajo informacije.
Če imate dvome ali dvomite, ali je določeno vprašanje na seznamu relevantno za vaše podjetje ali ne, je to nekaj, o čemer se je vredno pogovoriti s samim prejemnikom ali s svetovalcem. Pregled pogosto zastavljenih vprašanj o tovrstnih seznamih je na strani pogosto zastavljenih vprašanj o vprašalnikih.
Nazadnje
Jedro spremembe letos ni to, da nastane nova obveznost, ampak da obstoječe obveznosti naprej delujejo v verigo in se konkretneje sprašujejo. Če želite hitro vedeti, v kakšnem stanju je vaše podjetje trenutno, naredite brezplačen hitri pregled ali preberite druge teme v bazi znanja.