Ce se schimbă în acest an în lista de verificare a securității cibernetice a clientului dumneavoastră?
Listele de verificare a securității cibernetice pe care beneficiarii le trimit furnizorilor lor se vor modifica în două aspecte. În primul rând, întrebările devin mai concrete: în loc de o întrebare generală da/nu despre politica de securitate, din ce în ce mai mulți beneficiari solicită o justificare scurtă sau o dovadă per subiect. În al doilea rând, aceste liste ajung la un grup mai larg de companii, inclusiv la companii care nu se încadrează direct sub directiva NIS2.
Motivul este simplu. Companiile care se încadrează sub directivă trebuie, conform textului NIS2, să se uite și la securitatea furnizorilor lor. Ele transmit acest lucru mai departe prin propriile liste de verificare, și astfel întrebarea ajunge la companiile care se află mai departe în lanț. Dacă aceasta se aplică și companiei dumneavoastră depinde de cine sunt clienții dumneavoastră și ce vă întreabă; cel mai bine este să clarificați acest lucru direct cu clientul sau să verificați cu câteva întrebări care vă vor oferi rapid o înțelegere.
De ce întrebările devin mai detaliate
Directiva europeană NIS2 descrie zece categorii de măsuri la care trebuie să lucreze organizațiile care se încadrează sub directivă, cum ar fi gestionarea riscurilor, politica de acces și gestionarea incidentelor. Beneficiarii care trebuie să raporteze asupra acestor măsuri pot face acest lucru doar dacă știu și cum se ocupă furnizorii lor de acestea. Aceasta explică de ce listele care inițial puneau o singură întrebare largă, acum pun o întrebare separată per categorie, adesea cu solicitarea de a atașa o scurtă dovadă.
Această trecere de la întrebări generale la întrebări specifice per măsură nu este o ajustare unică. Beneficiarii și-au adaptat propriul portal și format pe măsură ce ei înșiși obțin mai multă claritate cu privire la ceea ce se așteaptă de la ei. Pentru dumneavoastră, ca furnizor, aceasta înseamnă că același client poate trimite anul viitor o listă ușor diferită, chiar dacă la compania dumneavoastră nu s-a schimbat nimic.
Cine este afectat în acest an
Directiva în sine se adresează organizațiilor din sectoare specifice și cu o anumită dimensiune. Dacă o companie se încadrează sub aceasta, este descris în directivă și în legea națională care o transpune; aceasta este ceva de verificat cu un avocat sau autoritatea de supraveghere, nu ceva ce se poate deduce doar dintr-o listă de verificare. Ceea ce este totuși vizibil în practică: și companiile care nu se încadrează direct sub directivă primesc întrebări transmise mai departe pentru că clientul lor trebuie.
Acest efect în cascadă este cea mai importantă schimbare practică a acestui an. O companie de instalații care efectuează întreținere software pentru un furnizor de energie, sau un furnizor de servicii IT care lucrează pentru un spital, poate primi o listă de verificare mai detaliată fără ca propria întreprindere să se încadreze sub directivă. Contextul celor zece măsuri și ce înseamnă ele exact, este elaborat în banca de cunoștințe cu explicații pe subiecte.
Ce nu este încă stabilit
Directiva trebuia inițial transpusă în octombrie 2024 în legislația națională a statelor membre. În Țările de Jos procesul legislativ este încă în curs, iar forma exactă și momentul în care legea națională intră complet în vigoare nu erau încă definitive la data redactării. Aceasta înseamnă că obligațiile exacte pentru organizațiile care se încadrează sub lege și termenele asociate pot încă să se schimbe. Pentru informații actuale, textul directivei în sine și informațiile de la autoritatea de supraveghere sunt sursa recomandată, nu o listă de verificare sau un articol de știri.
Cum să vă ocupați de aceasta fără a începe de la zero în fiecare an
Deoarece întrebările pe care le primesc clienții pot varia ușor de la an la an, este util să documentați informațiile de bază o singură dată și apoi să le utilizați pentru a completa fiecare nouă listă. Aceasta previne să trebuiți să reluați totul de la zero ori de câte ori primesc o nouă chestionar, chiar dacă formularea întrebărilor diferă ușor de cea din anul precedent. Modul în care funcționează acest lucru în practică este descris pe pagină. de unde provin informațiile.
Dacă aveți îndoieli sau o întrebare specifică dintr-o listă nu vi se pare că se aplică întreprinderii dumneavoastră, aceasta este ceva ce ar trebui discutat cu clientul însuși sau cu un consilier. O trecere în revistă a întrebărilor frecvente despre acest tip de liste se găsește pe pagină. întrebări frecvente despre chestionare.
În final
Esența schimbării din acest an nu este că apare o nouă obligație, ci că obligațiile existente se răspândesc mai departe în lanț și sunt solicitate în mod mai concret. Dacă doriți să aflați rapid unde se află în acest moment întreprinderea dumneavoastră, faceți diagnoza rapidă gratuită sau citiți alte subiecte din baza de cunoștințe.