Co se letos změní na seznamu otázek o kybernetické bezpečnosti vašeho zákazníka?
Dotazníky o kybernetické bezpečnosti, které kupující posílají svým dodavatelům, se budou měnit ve dvou ohledech. Za prvé budou otázky konkrétnější: místo obecné otázky ano/ne na téma bezpečnostní politiky budou stále více kupujících žádat krátké zdůvodnění nebo doklad na každé téma. Za druhé se tyto seznamy dostanou k širší skupině podniků, včetně podniků, které samy přímo nespadají pod direktivu NIS2.
Důvod je jednoduchý. Podniky, které spadají pod direktivu, musí podle textu NIS2 také posuzovat bezpečnost svých dodavatelů. To promítají do svých vlastních dotazníků a takto se otázka dostane k podnikům, které jsou dále v řetězci. Zda se to týká i vašeho podniku, závisí na tom, kdo jsou vaši zákazníci a co vám předávají; nejlépe se na to zeptejte přímo zákazníka nebo si to ověřte pomocí několika otázek, které vám rychle poskytnou přehled.
Proč jsou otázky podrobnější
Evropská směrnice NIS2 popisuje deset kategorií opatření, na kterých musí pracovat organizace, které pod direktivu spadají, například řízení rizik, zásady přístupu a řešení incidentů. Kupující, kteří si sami musí připustit odpovědnost za tato opatření, to mohou udělat pouze tehdy, pokud také vědí, jak s tím jejich dodavatelé pracují. To vysvětluje, proč seznamy, které dříve kladly jednu širší otázku, nyní kladou na každou kategorii samostatnou otázku, často s požadavkem na zaslání krátkého dokladu.
Tento posun od obecných otázek ke specifickým otázkám na každé opatření není jednorázová úprava. Kupující upravují svůj vlastní portál a formát podle toho, jak sami získávají větší jasnost ohledně toho, co se od nich očekává. Pro vás jako dodavatele to znamená, že stejný zákazník může příští rok poslat přibližně podobný seznam, i kdyby u vás samotných nic nezměnilo.
Kdo to letos zasáhne
Samotná směrnice se zaměřuje na organizace v určitých sektorech a od určité velikosti. Zda podnik spadá pod direktivu, je popsáno v samotné směrnici a v národním zákoně, který ji provádí; je to něco, co je třeba ověřit u právníka nebo orgánu dohledu, nikoli něco, co lze vyvozovat pouze z dotazníku. Co je v praxi patrné: i podniky, které samy nespadají pod direktivu, dostanou otázky předány dál, protože jejich zákazník musí.
Tento kaskádový efekt je nejdůležitější praktickou změnou letos. Instalační podnik, který vyvíjí software pro poskytovatele energií, nebo poskytovatel IT služeb, který pracuje pro nemocnici, může obdržet podrobnější dotazník, aniž by podnik samotný spadal pod direktivu. Podrobné vysvětlení pozadí deseti opatření a jejich přesného významu najdete v znalostní bázi s vysvětlením pro každé téma.
Co ještě není jasné
Směrnice měla být původně převzata do národní legislativy členských států v říjnu 2024. V Nizozemsku tento legislativní proces ještě probíhá a přesná podoba a lhůta, kdy bude národní zákon v plné platnosti, nebyly v době psaní artiklu ještě definitivně stanoveny. To znamená, že přesné povinnosti pro organizace, které spadají pod zákon, a související lhůty se mohou nyní ještě změnit. Pro aktuální stav je textem samotné směrnice a informacemi od orgánu dohledu určená správná zdroj, nikoli dotazník nebo článek v novinách.
Jak s tím pracovat, aniž byste každý rok začínali od nuly
Protože se otázky u jednotlivých odběratelů a v jednotlivých letech mohou mírně lišit, pomáhá zaznamenat si podkladové informace jednou správně a z nich pak vyplnit každý nový seznam. Tím se vyhnutete tomu, abyste u každého nového dotazníku začínali od nuly, a to i když je formulace otázky formulována trochu jinak než loni. Jak to v praxi funguje, je popsáno na stránce zdroji informací.
Máte-li pochybnosti nebo si nejste jisti, zda se konkrétní otázka v seznamu na váš podnik vztahuje či nikoliv, je to věc, kterou si můžete projednat přímo s odběratelem nebo s poradcem. Přehled často kladených otázek o takových seznamech naleznete na stránce často kladené otázky o dotaznících.
Nakonec
Jádrem změny letos není to, že by vznikla nová povinnost, ale že stávající povinnosti dále pronikat do řetězce a jsou konkrétněji zjišťovány. Chcete-li se rychle dozvědět, jak si váš podnik v tuto chvíli stojí, vyzkoušejte si bezplatný quick-scan nebo si přečtěte další témata v databázi znalostí.