Stranka želi, da podpišemo izjavo o varnosti, je to dovolj

Podpisovanje je dovoljeno, vendar preberite, kaj je napisano

Da, to lahko zahteva stranka — izjava o varnosti ni zakonska obveznost, temveč pogodbena zahteva, in stranko je brez omejitev pustiti, da jo postavi. Bistvo ni ali jo sme zahtevati, temveč ali izjava zajema tisto, kar dejansko počnete. Podpis pod "mi izpolnjujemo deset ukrepov člena 21 odstavka 2 NIS2" ali pod "smo skladni z ISO 27001" je zaveza s pogodno vrednostjo, ne kljukica na vprašalniku. Če pride do spora — do incidenta pri stranki, ki se lahko sledi nazaj do vas — je ta izjava prvi dokument, ki se ga uporabi.

Oglejte si torej najprej obliko. Ali izjava zahteva da/ne za vsak ukrep ali je to ena prazna izjava "mi smo NIS2-skladni"? Prvo lahko utemeljite po točki; drugo je pogosto širše od tega, kar lahko dokažete, zlasti če sami ne padete pod direktivo, temveč kot dobavitelj entitete, ki jo izpolnjuje — ali podjetje samo spada pod Direktivo NIS2 je tedaj prvo vprašanje, ki si ga odgovorite. Nikoli ne podpišite zahtevka o ukrepu, ki ga ne morete nakazati, na primer ali obstaja postopek za odkrivanje ranljivosti — če ga nimate, to napišite ali zahtevajte specifizirano verzijo.

Od kod izvira odgovornost

Sama izjava svoje težo ne pridobiva iz Zakona o kibernetski varnosti — ta zavezuje le določene entitete same, ne njihovih dobaviteljev neposredno — temveč iz pogodbe, ki jo podpišete. NIS2 deluje preko člena 21 odstavka 2, ki zavezuje entitete, da upravljajo tveganja v lancu dobave; to je razlog, zakaj ta entiteta to pri vas preverja, ne razlog, zakaj ste vi na to vezani. Tisto, kar zagotavljate, je torej v besedilu same izjave, ne v direktivi.