klient chce, abyśmy podpisali oświadczenie o bezpieczeństwie, czy można to po prostu zrobić

Podpisanie wolno, ale przeczytaj najpierw, co tam jest napisane

Tak, klient może to żądać — oświadczenie o bezpieczeństwie nie jest obowiązkiem ustawowym, ale wymogiem umownym, a klient ma prawo go postawić. Chodzi nie o to, czy może go postawić, ale o to, czy oświadczenie pokrywa to, co faktycznie robicie. Podpis pod „spełniamy dziesięć środków z art. 21 ust. 2 NIS2

Najpierw sprawdź zatem format. Czy deklaracja wymaga potwierdzenia tak/nie dla każdego środka, czy jest to jedno puste stwierdzenie "jesteśmy zgodne z NIS2"? Pierwsze możesz uzasadnić punkt po punkcie; drugie jest często szersze niż to, co możesz udowodnić, szczególnie jeśli sam nie podlegasz dyrektywie, ale jesteś dostawcą podmiotu, który jej podlega — czy przedsiębiorstwo samo podlega dyrektywie NIS2 jest zatem pierwszym pytaniem, które zadajesz sobie. Nigdy nie podpisuj roszczenia dotyczącego środka, którego nie potrafisz wykazać, na przykład czy istnieje proces wykrywania luk w zabezpieczeniach — jeśli jej nie masz, dopisujesz to lub poprosisz o wersję sprecyzowaną.

Skąd pochodzi odpowiedzialność

Sama deklaracja nie czerpie swojej wagi z ustawy o cyberbezpieczeństwie — ta zobowiązuje tylko wyznaczone jednostki, nie ich dostawców bezpośrednio — ale z umowy, którą podpisujesz. NIS2 działa poprzez artykuł 21 ust. 2, który zobowiązuje jednostki do zarządzania ryzykami w łańcuchu dostaw; to jest powód, dla którego ta jednostka to od ciebie pyta, a nie powód, dla którego ty jesteś tym zobowiązany. To, co się zobowiązujesz, znajduje się więc w tekście samej deklaracji, a nie w dyrektywie.