Mūsu klients ietilpst NIS2 un tagad izvirza prasības mums, ko tas nozīmē

Jūsu klients iesniedz jums desmit pasākumus no 21. panta

Tas nozīmē, ka jūs kļūstat par daļu no piegādes ķēdes pieejas, ko paredz NIS2 21. panta 2. punkts. Entītei, kas pakļaujas NIS2, pašai jāveic "piegādes ķēdes drošības pasākumi" — šī punkta (d) — un to dara jūsu klients, norādot prasības, ko tas ir izvirzījis sev, arī jums. Tāpēc jūs paši neper kļūstat NIS2 saistīti ar šo anketu; jūs saņemat atsitumu no jūsu klienta pienākuma. Tas, vai jūs paši pakļauties direktīvai, ir atsevišķ jautājums — uz to jūs atbildat atsevišķi, piemēram, ar paskaidrojumu par vai uzņēmums atsevišķi ietilpst NIS2 direktīvas darbības jomā.

Praksē anketā 21. panta 2. punkts tiek pārveidots atsevišķos jautājumos: vai jums ir riska analīze un informācijas drošības politika, kā jūs apstrādājat incidentus, kā ir ar dublējumiem un atgūšanu, kā jūs pārvaldāt piekļuvi un izmantojat daudz faktoru autentifikāciju, un — noteikums, ko jūsu klients uz jums tagad piemēro — vai jūs paši izvirzāt prasības saviem piegādātājiem. Katram no šiem punktiem zināšanu bankā ir atsevišķs paskaidrojums, piemēram, riska analīzes un informācijas sistēmu drošības politika un drošības prasības saviem piegādātājiem. Ja jums jau ir ISO 27001 sertifikāts, tas vienlaicīgi sedz lielu daļu no šiem jautājumiem.

Kur tas ir norādīts direktīvā: 21. panta 2. punkts

Direktīvas (ES) 2022/2555 21. panta 2. punkts nosaka desmit pasākumus burtiskli, no riska analīzes politikas (a) līdz produktu un pakalpojumu iegādes un piegādātāja relāciju drošībai (d), līdz piekļuves pārvaldībai un daudz faktoru autentifikācijai (j). Nīderlandes Kiberdrošības likums transpozē šo direktīvu valsts tiesībās un stājas spēkā 2026. gada 15. augustā; līdz tam datumam jūsu klients jau var savu sagatavošanos uz jums novirzīt, pat bez tam, ka likums jau spēkā. Kurš desmit pasākumus atzīst kā atsevišķas ISO/IEC 27001 Pielikuma A vadības, var daudzu atbilžu vietu pārnest no esošas ISMS.