Zákazník chce, aby sme podpísali vyhlásenie o bezpečnosti, je to tak jednoduché

Podpisovanie je povolené, ale prečítajte si najskôr, čo je v ňom napísané

Áno, klient to môže požadovať — bezpečnostná výhlasenie nie je právna povinnosť, ale zmluvná požiadavka, ktorú má klient právo stanoviť. Nejde o to, či to môže požadovať, ale o to, či výhlasenie pokrýva to, čo skutočne robíte. Podpis pod "spĺňame desať opatrení článku 21 odseku 2 NIS2" alebo pod "spĺňame normu ISO 27001" je záväzok so zmluvnou hodnotou, nie zaškrtnutie v zozname otázok. Ak dôjde k sporu — k incidentu u klienta, ktorý sa vysledzuje späť k vám — je táto výhlasenie prvá vec, ktorá sa vezme.

Pozrite sa teda najskôr na formát. Požaduje výhlasenie áno/nie pre každé opatrenie, alebo ide o jedno prázdne vyhlásenie "spĺňame NIS2"? Prvé možete podložiť bod po bode; druhé je často širšie, ako čo možete dokázať, najmä ak sami nespadáte pod smernicu, ale ste dodávateľom subjektu, ktorý áno, alebo či podnik sám spadá pod smernicu NIS2 je potom prvá otázka, ktorú si sami odpoviedate. Nikdy nepodpisujte nárok na opatrenie, ktoré nemôžete preukázať, napríklad alebo existuje proces na zisťovanie zraniteľností — ak to nemáš, napíšeš to tam alebo si požiadaš špecifikovanú verziu.

Odkiaľ pochádza zodpovednosť

Samotné vyhlásenie si nezavisí na svojom závažnosti od zákona o kybernetickej bezpečnosti — ten zavdzuje iba určené subjekty samotné, nie priamo ich dodávateľov — ale od zmluvy, ktorú podpíšeš. NIS2 funguje prostredníctvom článku 21 odsek 2, ktorý zavdzuje subjekty riadiť si riziká v dodávateľskom reťazci; to je dôvod, prečo ti to subjekt dopytuje, nie dôvod, prečo si tomu viazaný ty. To, čo si záväzuješ, teda stojí v texte samotného vyhlásenia, nie v smernici.