klients vēlas, lai mēs parakstām drošības paziņojumu, vai to var vienkārši darīt

Var parakstīt, bet iepriekš izlasi, kas tur rakstīts

Jā, klients to var prasīt — drošības deklarācija nav likumdošanas prasība, bet līguma nosacījums, un klients ir brīvs to noteikt. Jautājums nav tas, vai viņš to var prasīt, bet vai deklarācija aptver to, ko jūs faktiski darāt. Paraksts zem "mēs atbilstam desmit pasākumiem saskaņā ar NIS2 21. panta 2. punktu" vai "mēs atbilstam ISO 27001" ir apņemšanās ar līguma vērtību, nevis atzīme ankietā. Ja rodas strīds — incidents pie klients, kas mūs skar — šī deklarācija ir pirmais dokuments, kas tiek ņemts rokā.

Vispirms apskatiet formātu. Deklarācija prasa jā/nē katram pasākumam, vai tā ir viena tukša deklarācija "mēs atbilstam NIS2"? Pirmo varētu pamatot pa punktiem; otrā bieži vien ir plašāka nekā tas, ko jūs varētu pierādīt, īpaši ja jūs paši neesat pakļauti direktīvai, bet esat tās entītijas piegādātājs, kas tā ir — vai uzņēmums atsevišķi ietilpst NIS2 direktīvas darbības jomā ir pirmais jautājums, ko jūs sev atbildat. Nekad nepazīmējiet prasību par pasākumu, ko jūs nevarat norādīt, piemēram, vai ir process ievainojamības atklāšanai — ja jums tā nav, tad to pierakstiet vai lūdziet specifikānu versiju.

No kurienes nāk atbildība

Deklarācija pati par sevi savu svaru nesemina no Kiberdrošības likuma — tas obligē tikai pašas noteiktās entītijas, nevis tieši to piegādātājus — bet no līguma, ko jūs parakstāt. NIS2 darbojas, izmantojot 21. panta 2. punktu, kas obligē entītijas vadīt riskus piegādes ķēdē; šī ir iemesla dēļ, kāpēc šī entītija to jums prasa, nevis iemesls, kāpēc jūs tam esat obligāti. Tas, ko jūs apņematies, ir norādīts pašā deklarācijas tekstā, nevis direktīvā.