Hvorfor spørgeskemaerne kommer
NIS2 trådte i kraft gennem national lovgivning i hele EU fra oktober 2024. Det omfatter energi, transport, bankvirksomhed, sundhed, vand, digital infrastruktur, offentlig administration, fremstilling af visse varer, fødevarer, digitale udbydere og mere, og det kræver, at omfattede organisationer håndterer forsyningskædesikkerhed: at de vurderer sikkerheden hos deres direkte leverandører og tjenesteudbydere. Den praktiske form for den vurdering er et spørgeskema, og det kommer til alle leverandører med adgang til organisationens systemer eller data.
Hvad et spørgeskema bygget op om NIS2 spørger om
Direktivet oplister de foranstaltninger, omfattede enheder skal træffe, og spørgeskemaerne følger listen: risikoanalyse og sikkerhedspolitikker, hændelseshåndtering, forretningskontinuitet, backups og krisestyring, forsyningskædesikkerhed, hvilket betyder spørgsmål om dine egne leverandører, sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, herunder håndtering af sårbarheder, hvordan du vurderer effekten af dine foranstaltninger, cyberhygiejne og træning, kryptografi, personalesikkerhed og adgangskontrol samt multifaktorgodkendelse og sikker kommunikation.
Spørgsmålene om hændelser er de særlige. En omfattet enhed skal give et tidligt varsel til sin myndighed inden for 24 timer efter at have fået kendskab til en væsentlig hændelse, så den vil spørge, om du vil underrette den hurtigt nok, gennem hvilken kanal og med hvilke oplysninger. Hav et svar med en tidsfrist og en navngiven kontaktperson.
At svare som leverandør
Svar som på ethvert sikkerhedsspørgeskema: kontrollen, ejeren, frekvensen, dokumentationen. To tilføjelser skaber tillid hos dem, der gennemgår NIS2. For det første en tydelig forpligtelse til at give besked om hændelser: "vi underretter berørte kunder inden for X timer efter bekræftelse af en hændelse, der påvirker deres data, via e-mail til den navngivne sikkerhedskontakt, med en opfølgning inden for 72 timer". For det andet din egen leverandørliste: kundens forpligtelse følger kæden, så de vil spørge, hvem dine leverandører af hosting, e-mail og AI er, og hvordan du vurderer dem.
De samme svar, én overskrift mere
De tiltag, NIS2 oplister, overlapper næsten helt med kontrollerne i ISO 27001 og sikkerhedskriteriet i SOC 2. Et bibliotek med ét godkendt svar pr. kontrol besvarer også et NIS2-spørgeskema. Det, der ændrer sig, er vægten på underretning, kontinuitet og leverandører. Responsemate laver udkast til hvert spørgeskema ud fra det ene bibliotek og viser, hvor dine svar er svage, hvilket for NIS2 typisk er rækkerne om underretning og leverandører. Sådan holder vidensbasen svarene aktuelle.
Spørgsmål, folk stiller
Gælder NIS2 for os, hvis vi er en lille softwareleverandør?
Som regel ikke direkte. NIS2 omfatter væsentlige og vigtige enheder i de angivne sektorer over en størrelsesgrænse. Men hvis dine kunder er omfattet, skal de håndtere den risiko, du udgør, og deres spørgeskema er den måde, de gør det på. At være uden for NIS2 fritager dig ikke for spørgeskemaet.
Hvad spørger et NIS2-spørgeskema om, som andre ikke gør?
Mere om hændelsesnotifikation, om du kan give kunden besked hurtigt nok til, at kunden kan opfylde sin egen pligt til tidlig varsling inden for 24 timer, om forretningskontinuitet og krisestyring og om dine egne leverandører, fordi direktivet følger kæden.