Hvad ændres der i år på kundens cybersikkerhedsspørgeskema?
De cybersikkerhedsspørgeskemaer, som aftagere sender til deres leverandører, ændres på to områder. For det første bliver spørgsmålene mere konkrete: i stedet for et generelt ja/nej-spørgsmål om sikkerhedspolitik beder flere og flere aftagere om en kort begrundelse eller et bevisstykke pr. emne. For det andet når disse lister en bredere gruppe virksomheder, også virksomheder, der ikke selv direkte falder ind under NIS2-direktivet.
Årsagen til det er simpel. Virksomheder, der falder ind under direktivet, skal ifølge teksten i NIS2 også se på sikkerheden hos deres leverandører. Det sætter de igennem i deres egne spørgeskemaer, og således når spørgsmålet virksomheder, der står længere nede i kæden. Hvorvidt det også gælder for jeres virksomhed, afhænger af, hvem jeres kunder er, og hvad de stiller til jer; det kan I bedst afklare ved at spørge kunden selv eller kontrollere det ved hjælp af nogle få spørgsmål, der giver jer hurtigt indblik.
Hvorfor spørgsmålene bliver mere detaljerede
EU-direktivet NIS2 beskriver ti kategorier af foranstaltninger, som organisationer, der falder ind under direktivet, skal arbejde med, såsom risikostyring, adgangskontrol og håndtering af hændelser. Aftagere, der selv skal redegøre for disse foranstaltninger, kan kun gøre det, hvis de også ved, hvordan deres leverandører håndterer dem. Det forklarer, hvorfor lister, der tidligere stillede ét bredt spørgsmål, nu stiller ét separat spørgsmål pr. kategori, ofte med anmodning om at medsende en kort dokumentation.
Denne skift fra generelle spørgsmål til specifikke spørgsmål pr. foranstaltning er ikke en engangsændring. Aftagere tilpasser deres egen portal og format, efterhånden som de selv får større klarhed over, hvad der forventes af dem. For jer som leverandør betyder det, at den samme kunde året efter kan sende en lidt anderledes liste, selv om der ikke er ændret noget hos jer.
Hvem dette år rammer
Selve direktivet henvender sig til organisationer inden for specifikke sektorer og fra en bestemt størrelse. Hvorvidt en virksomhed falder ind heri, er beskrevet i direktivet og den nationale lov, der implementerer det; det er noget at kontrollere med en juridisk rådgiver eller tilsynsmyndigheden, ikke noget, der alene kan udledes af et spørgeskema. Hvad der i praksis dog er mærkbart: også virksomheder, der ikke selv falder ind under direktivet, får spørgsmål videregivet, fordi deres kunde skal.
Denne kaskadelivnvirkning er den vigtigste praktiske ændring i år. En installatørvirksomhed, der vedligeholder software for en energileverandør, eller en it-tjenesteudbyder, der arbejder for et hospital, kan modtage et mere detaljeret spørgeskema uden at virksomheden selv falder ind under direktivet. Baggrunden for de ti foranstaltninger og hvad de præcis betyder, er udarbejdet i videnbasisen med forklaringer pr. emne.
Hvad der endnu ikke står fast
Direktivet skulle oprindeligt være implementeret i national lovgivning i medlemsstaterne i oktober 2024. I Danmark kører denne lovgivningsproces stadig, og den præcise form og det tidspunkt, hvor den nationale lov fuldt ud træder i kraft, lå på skrivetidspunktet stadig ikke endeligt fast. Det betyder, at de præcise forpligtelser for organisationer, der falder ind under loven, og de tidsfristerne, der hører dertil, stadig kan ændres. For den aktuelle status er teksten i selve direktivet og informationen fra tilsynsmyndigheden den angivne kilde, ikke et spørgeskema eller en nyhedsartikel.
Hvordan I håndterer dette uden at starte forfra hvert år
Fordi spørgsmålene kan variere lidt fra køber til år, hjælper det at fastslå den bagvedliggende information én gang ordentligt og derfra udfylde hver ny liste. Det forhindrer, at du skal begynde forfra ved hver ny spørgeskema, selv hvis spørgsmålet er formuleret lidt anderledes end i fjor. Hvordan det fungerer i praksis, er beskrevet på siden hvor informationen kommer fra.
Hvis du er i tvivl om, hvorvidt et specifikt spørgsmål på en liste er relevant for din virksomhed eller ej, er det noget, du bør drøfte med køberen selv eller med en rådgiver. Et overblik over ofte stillede spørgsmål om den slags lister findes på siden ofte stillede spørgsmål om spørgeskemaer.
Endelig
Kernen i ændringen i år er ikke, at der opstår en ny forpligtelse, men at eksisterende forpligtelser udbredes længere gennem kæden og bliver spurgt på mere konkret vis. Vil du hurtigt vide, hvor din virksomhed er nu, skal du tage den gratis hurtig-scan eller læse de øvrige emner i videnbanken.