sprašujejo po našem celovitem varnostnem pravilniku kot dokument

Deljenje celotnega dokumenta pravilnika je običajno nepotrebno

Ne, v večini primerov to ni potrebno in tudi ni tisto, kar želja客 pravzaprav ve. Vprašanje, kot je »pošlji svoj varnostni pravilnik«, je skoraj vedno prevod nečesa bolj specifičnega: stranka želi vedeti, ali obstaja pravilnik za analizo tveganja, ali obstaja postopek za incidente ali ali je dostop dobro urejen. To so deset ukrepov iz člena 21(2) direktive NIS2, in isto razdelitev lahko vidiš v nadzornih ukrepih Dodatka A standarda ISO/IEC 27001. Vprašalnik, ki zahteva »celoten pravilnik«, to običajno še vedno razcepi na podvprašanja — zato najprej preveri, ali je to primer, preden naloženoš celoten dokument.

Tveganje, da pošleš celoten dokument pravilnika, ni pravno, temveč praktično: običajno vsebuje več, kot ga potrebuje stranka — imena orodij, notranje postopke, podatke za stik osebja. Kdor raje odgovori na vsakim vprašanjem posebej, namesto da deli dokument, lahko to z gumbom za zaupnost omeji na tisto, kar je dejansko zahtevano. Če vprašanje natanko naslablja podtemo, je odgovor pogosto že negdje drugje mogoče najti: ali je pravilnik dostopa opredelen, ali obstaja postopek za incidente, ali se periodično preverja. To je običajno bolj konkretno odgovoriti kot s celotnim dokumentom.

Od koder to sledi: člen 21(2) in Prilog A

Člen 21(2) direktive NIS2 navaja deset konkretnih ukrepov — analizo tveganja, obravnavo incidentov, kontinuiteto poslovanja, upravljanje ranljivosti, pravilnik dostopa in drugo — ne da bi zahteval, da tretja stran sama vidi temeljni dokument. ISO/IEC 27001 Dodatek A deluje po isto logiko: nadzorni ukrepi so revidirani po posameznih delih, ne kot eno nerazdeljeno pravilo pravilnika. Pomni tudi, da vprašanje, ali podjetje spada pod direktivo NIS2 ali njeno nacionalno preusmerjanje stoji ločeno od tega, kaj stranka zahteva v vprašalniku — ti dve stvari se pogosto zamešata.