dokumentumként kérik az összes biztonsági irányelvünket

A teljes szabályzatdokumentum megosztása általában nem szükséges

Nem, a legtöbb esetben erre nincs szükség, és ez nem is az, amit a kliens valójában szeretne tudni. Az olyan kérdés, mint a "küldje el biztonsági szabályzatát", szinte mindig egy konkrétabb dolog fordítása: a kliens tudni szeretné, hogy létezik-e szabályzat a kockázatelemzésről, van-e incidensmenetrend, vagy megfelelően szabályozott-e a hozzáférés. Ezek a NIS2 21. cikk 2. bekezdésének tíz intézkedése, és ugyanez az alfelosztás visszajelenik az ISO/IEC 27001 A. mellékletének ellenőrzési intézkedéseiben. Egy olyan kérdőív, amely az "teljes szabályzatot" kéri, általában ezt még mindig részkérdésekre bontja — ezért először ellenőrizze, hogy ez-e a helyzet, mielőtt egy teljes dokumentumot feltöltene.

A teljes szabályzatdokumentum elküldésének kockázata nem jogi, hanem praktikus: gyakran több adatot tartalmaz, mint amennyire a kliensnek szüksége van — eszközök nevei, belső eljárások, személyzet elérhetőségei. Aki inkább kérdésről kérdésre szeretne válaszolni, ahelyett, hogy dokumentumot osztana meg, a bizalmiasság-gombbal erre korlátozhatja azt, amit valóban megkérdeztek. Ha a kérdés mégis egy adott alszakterületre vonatkozik, a választ gyakran máshol már meg lehet találni: vagy a hozzáférési szabályzat le van rögzítve, vagy van-e eljárás az incidensekhez, vagy időszakonként tesztelik. Ez általában konkrétabban megválaszolható, mint egy teljes dokumentummal.

Ennek alapja: 21. cikk 2. bekezdés és A melléklet

A NIS2 21. cikk 2. bekezdése tíz konkrét intézkedést említ — kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, sebezhetőségkezelés, hozzáférési szabályzat és más — anélkül, hogy megkövetelné, hogy harmadik fél maga lássa az alapul szolgáló dokumentumot. Az ISO/IEC 27001 A. melléklete ugyanezzel a logikával működik: az ellenőrzési intézkedések tantárgyonként auditálhatók, nem egyetlen megosztott szabályzatdokumentumként. Vegye figyelembe azt is, hogy az a kérdés, hogy a saját szervezet a NIS2 vagy annak nemzeti átültetése alá tartozik-e független attól, amit a kliens egy kérdőívben megkérdez — ezt a két dolgot gyakran összetévesztik.