clientul nostru se află sub NIS2 și acum ne pune cerințe, ce înseamnă asta

Clientul dumneavoastră vă transmite cele zece măsuri din articolul 21

Asta înseamnă că deveniți parte a abordării lanțului care articolul 21 alineatul 2 din NIS2 prescrie. O entitate care se încadrează sub NIS2 trebuie să ia ea însăși "măsuri de securitate în lanțul de aprovizionare" — punctul (d) din acel alineat — și clientul dumneavoastră face asta prin punerea și la dumneavoastră a cerințelor pe care și le pune. Nu deveniți deci înșivă obligat de NIS2 prin acest chestionar; voi preluați reflectarea obligației clientului dumneavoastră pe scaunul dumneavoastră. Indiferent dacă voi înșivă vă încadrați sub directivă, este o întrebare aparte — pe care o răspundeți separat, de exemplu cu explicația despre dacă întreprinderea se încadrează sub Directiva NIS2.

În practică, chestionarul traduce articolul 21 alineatul 2 în întrebări separate: aveți analiză de risc și politică pentru securitatea informațiilor, cum tratați incidentele, cum stă cu copiile de rezervă și recuperarea, cum gestionați accesul și folosiți autentificarea cu mai mulți factori, și — determinarea pe care clientul dumneavoastră chiar acum o aplică la dumneavoastră — puneți condiții și dumneavoastră propriilor furnizori. Pentru fiecare dintre acele puncte există o explicație separată în baza de cunoștințe, cum ar fi politică pentru analiza riscului și securitatea sistemelor informatice și cerințe de securitate pentru propriii furnizori. Dacă aveți deja un certificat ISO 27001, acela acoperă o mare parte din aceste întrebări deodată.

Unde se află aceasta în directivă: articolul 21 alineat 2

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră literal cele zece măsuri, de la politică pentru analiza riscului (a) până la securitate la achiziția de produse și servicii și relația cu furnizorii (d), până la gestionarea accesului și autentificarea cu mai mulți factori (j). Legea olandeză de securitate cibernetică transpune această directivă în dreptul național și intră în vigoare pe 15 august 2026; până la acea dată, clientul dumneavoastră poate deja să vă pună pe dumneavoastră propria sa pregătire, nici măcar fără ca legea să se aplice deja. Cine recunoaște cele zece măsuri ca comenzi Annex A separate din ISO/IEC 27001, poate prelua multe răspunsuri direct dintr-un ISMS existent.