az ügyfelem olyan széles körű NIS2 kérdőívet küld, amely korábban nem volt ilyen, mit tegyek

Az ügyfele áthárítja a lánc kötelezettségét rá

Ez általában azt jelenti, hogy az ügyfele maga a Kiberbiztonsági törvény hatálya alá tartozik, és mint alapvető vagy fontos entitás köteles felmérni saját beszállítóinak biztonságát. Ez a kötelezettség a NIS2-irányelv 21. cikkének (2) bekezdésében szereplő tíz intézkedésből ered, és az egyik kifejezetten a lánc biztonságára vonatkozik: a szervezetnek tudnia kell, hogy beszállítói mennyire biztonságosak, és ezt alá kell tudnia támasztani. Az ügyfele tehát nem csak úgy továbbítja a kérdőívet — erre maga is köteles, és Ön abban a pillanatban az ő "lánc" részévé válik. Ezért érkezik meg most a lista, még ha már évek óta szállít anélkül, hogy valaha megkérdezték volna: a kötelezettség számára új, nem az Ön kapcsolata számára.

Amit várhatnak, az kérdések kombinációja, amelyek korábban az hozzáférési szabályzat és az üzleti eszközök kezelése terén vannak, kérdések a biztonsági incidensek kezeléséről szóló eljárásról és kérdések a zavarok utáni helyreállítási képességről. Ha nincs ISO 27001-tanúsítványa, az önmagában általában nem jelent problémát — az irányelv nem követeli meg, hogy minden beszállító tanúsított legyen, hanem azt követeli meg, hogy az ügyfél tudja hogyan áll az Ön helyzete. A saját intézkedések leírása, bizonyítékokkal ott, ahol vannak, akkor egy érvényes válasz. Ahol nincs semmije, azt válaszolja, hogy nincs; egy kizárólag "igen" válaszokból álló lista alátámasztó dokumentáció nélkül az ügyfele későbbi auditjánál több kockázatot jelent, mint egy becsületes "nem, még nem".

Miért érkezik ez most Önhöz: a 21. cikk (2) bekezdése

A beszállítók felmérésének kötelezettsége az (EU) 2022/2555 irányelv 21. cikkének (2) bekezdésében található, és a Kiberbiztonsági törvénybenlészármazottodik le a holland entitások számára, amely 2026. augusztus 15-én lép hatályba. Az ügyfele maga a törvény hatálya alá tartozik-e, és ezért kötelezett ezeket a kérdéseket feltenni, általában az üzleti vállalkozás mérete és szektora alapján állapítható meg — ez szintén lényeges információ annak ismeretéhez, hogy Ön maga mint entitás az irányelv hatálya alá tartozik-e.