meie klient kuulub NIS2 alla ja seab nüüd meile nõudmisi, mida see tähendab

Teie klient edastab teile artikli 21 kümmekond meetmet

See tähendab, et te muutute kettelähenemise osaks, mida NIS2 artikkel 21 lõige 2 ette näeb. Üksus, kes kuulub NIS2 reguleerimisalasse, peab ise võtma "tarnijate ahela turvameetmed" — selle lõike punkti (d) — ja teie klient teeb seda, esitades nõudmised, mida ta endale seab, ka teile. Te ei muutu seega ise NIS2-kohustusega tarnijaks selle küsimustiku tõttu; te saate oma kliendi kohustuse tagajärje oma plaadile. Kas te kuulute muidu ka richtlini reguleerimisalasse, on eraldi küsimus — te vastute sellele eraldi, näiteks selgituse kaudu või ettevõte ise ei kuulu NIS2-direktiivi alla.

Praktikas tõlgendab küsimustik artikli 21 lõike 2 eraldi küsimusteks: kas teile on olemas riskianalüüs ja infoturbe poliitika, kuidas käsitlete intsidente, kuidas on lood varukoopiate ja taastamisega, kuidas haldate juurdepääsu ja kasutate mitmetasandilist autentimist, ja — määrus, mida teie klient teile nüüd kohaldab — kas te esitate oma tarnijatele ka nõudmisi. Kõigist nendest punktidest on teadmispangas eraldi selgitus, näiteks riskianalüüsi ja infoturbesüsteemide turvameetmete poliitika ja tarnimisele seatud nõuded omaenda tarnijatele. Kui teil on juba ISO 27001 sertifikaat, siis see katab suure osa neist küsimustest korraga.

Kus see suunises kajastub: artikli 21 lõige 2

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 toob kümnest meetmest täpselt nimetatud, alustades riskianalüüsi poliitikat (a) kuni toodete ja teenuste hankimise turvalisus ja tarnijasuhe (d), kuni juurdepääsukontroll ja mitmeteguriline autentimine (j). Hollandi küberturvalisuse seadus rakendab seda direktiivi riigi õigusesse ja jõustub 15. augustil 2026; kuni selleks kuupäevaks võib teie klient juba oma ettevalmistust teile ülekanda, isegi kui seadus ei kehti veel. Kellele on see, kes kümmet meetme tunneb ISO/IEC 27001 eraldi Annex A-kontrollidena, võib paljud vastused otse olemasoleva ISMS-ilt üle võtta.