traže od nas kompletan sigurnosni politički dokument

Dijeljenje cijelog dokumenta o politici obično nije potrebno

Ne, u većini slučajeva to nije potrebno, a to također nije ono što klijent zapravo želi znati. Pitanje kao što je "pošalji svoju sigurnosnu politiku" gotovo je uvijek prijevod nečega specifičnije: klijent želi znati postoji li politika za analizu rizika, postoji li postupak za incidente, je li pristup dobro reguliran. To su deset mjera iz članka 21 stavka 2 direktive NIS2, i istu podpodjelu vidite u kontrolnim mjerama Priložka A standarda ISO/IEC 27001. Upitnik koji traži "cijelu politiku" obično to svejedno dijeli na podpitanja — prvo provjerite je li to slučaj prije nego što učitate kompletan dokument.

Rizik od slanja cijelog dokumenta o politici nije pravni već praktičan: često sadrži više nego što klijent treba — imena alata, interne postupke, podatke za kontakt osobljem. Tko radije odgovara po pitanju umjesto dijeljenja dokumenta, može to ograničiti sa gumbom za povjerljivost na ono što je zaista traženo. Ako se pitanje ipak odnosi na određenu temu, odgovor se često već nalazi negdje drugdje: ili politika pristupa je dokumentirana, ili postoji postupak za incidente, ili se povremeno provjerava. To je obično moguće konkretnije odgovoriti nego sa cijelim dokumentom.

Gdje iz toga slijedi: članak 21 stavak 2 i Prilog A

Članak 21 stavka 2 direktive NIS2 navodi deset konkretnih mjera — analizu rizika, rukovanje incidentima, kontinuitet poslovanja, upravljanje ranjivostima, politiku pristupa i drugo — bez zahtjeva da treća strana sama vidi temeljni dokument. ISO/IEC 27001 Priložak A koristi istu logiku: kontrolne mjere su revidirajuće po dijelovima, a ne kao jedan nedijeljen dokument o politici. Također imajte na umu da pitanje je li vlastita organizacija obuhvaćena direktivom NIS2 ili njezinom nacionalnom provedbom odvojeno od onoga što klijent traži u upitnicima — ta dva pitanja često se miješaju.