NIS2 kohaldamisalast väljas, kuid Teie kliendid on selles: mida tarnijatelt küsitakse

Paljud väikesed tarkvaraettevõtted, IT-teenuse osutajad ja konsultatsioonifirmad jäävad alla NIS2 suuruskünnise. Nende kliendid sageli mitte. Art 21 lg 2 p d nõuab kohaldamisalasse kuuluvatelt organisatsioonidelt turvalisusega tegelemist suhetes otseste tarnijatega ning art 21 lg 3 kohustab neid arvestama iga tarnija turvanõrkusi, toodete kvaliteeti ja turvatavasid, sealhulgas turvalist arendust.

Mida kliendid tavaliselt küsivad

• Kas Teil on juhtkonna kinnitatud infoturbepoliitika?
• Kas mitmikautentimine on kohustuslik kõigile töötajatele, kellel on juurdepääs meie süsteemidele või andmetele?
• Kui kiiresti ja millise kanali kaudu teavitate meid intsidendist?
• Kuidas käsitlete oma toodete turvanõrkusi ja paikate oma taristut?
• Kas testite varukoopiaid? Milliseid taasteaegu saate lubada?
• Kas Teil on ISO/IEC 27001 või samaväärne sertifikaat või saame Teid auditeerida?
• Millised alltöövõtjad meie andmeid töötlevad ja kus?

Oodatavad lepingutingimused

Rakendusmääruses (EL) 2024/2690 on loetletud, mida tarnijatega sõlmitud lepingud peaksid vajaduse korral hõlmama: turvanõuded, töötajate koolitus ja taustakontroll, intsidentidest teavitamine põhjendamatu viivituseta, õigus auditeerida või saada auditiaruandeid, turvanõrkuste käsitlemine, allhanke reeglid ning andmete tagastamine ja kustutamine koostöö lõppemisel. Eestis peavad kliendid ka tagama, et nende süsteeme majutavad või käitavad teenuseosutajad teavitaksid neid intsidentidest 24 tunni jooksul.

Kuidas hästi vastata

Ausad ja konkreetsed vastused on paremad kui pikad poliitikad. Öelge, mis on juba praegu olemas ja mis on kavas koos kuupäevaga. Kontrollimeetmete ülepaisutamine tekitab lepingulise vastutuse, kui midagi läheb valesti.

Meie NIS2 hindamine tuvastab, kui olete kohaldamisalasse kuuluva üksuse asemel tarnija, ja koostab kliendile esitatava turvaalase kinnituse, milles on loetletud ainult Teie vastustega kinnitatud kontrollimeetmed ning ülejäänud on näidatud käimasolevate parendustena.