Hvorfor spørreskjemaene kommer
NIS2 trådte i kraft gjennom nasjonal lovgivning over hele EU fra oktober 2024. Det omfatter energi, transport, bank, helse, vann, digital infrastruktur, offentlig forvaltning, produksjon av visse varer, mat, digitale tjenesteleverandører og mer, og det krever at omfattede virksomheter håndterer sikkerheten i leverandørkjeden: at de vurderer sikkerheten hos sine direkte leverandører og tjenesteleverandører. Den praktiske formen for den vurderingen er et spørreskjema, og det går til hver leverandør med tilgang til virksomhetens systemer eller data.
Hva et NIS2-formet spørreskjema spør om
Direktivet lister opp tiltakene omfattede virksomheter må ta, og spørreskjemaene følger listen: risikoanalyse og sikkerhetspolicyer; hendelseshåndtering; forretningskontinuitet, sikkerhetskopier og krisehåndtering; sikkerhet i leverandørkjeden, som betyr spørsmål om dine egne leverandører; sikkerhet ved anskaffelse, utvikling og vedlikehold av systemer, inkludert sårbarhetshåndtering; hvordan du vurderer effekten av tiltakene dine; cyberhygiene og opplæring; kryptografi; personellsikkerhet og tilgangskontroll; og flerfaktorautentisering og sikker kommunikasjon.
Hendelsesspørsmålene er de som skiller seg ut. En omfattet virksomhet må gi tidlig varsel til myndigheten sin innen 24 timer etter at den ble kjent med en betydelig hendelse, så den vil spørre om du varsler den raskt nok, gjennom hvilken kanal, og med hvilken informasjon. Ha et svar klart med en tid og en navngitt kontakt.
Å svare som leverandør
Svar som på ethvert sikkerhetsspørreskjema: kontrollen, eieren, frekvensen, dokumentasjonen. To tillegg gir tillit hos NIS2-granskere. For det første en tydelig forpliktelse om hendelsesvarsling: «vi varsler berørte kunder innen X timer etter at en hendelse som berører deres data er bekreftet, på e-post til den navngitte sikkerhetskontakten, med en oppfølging innen 72 timer». For det andre din egen leverandørliste: kundens plikt følger kjeden, så de vil spørre hvem som leverer hosting, e-post og AI til deg, og hvordan du vurderer dem.
De samme svarene, én overskrift til
Tiltakene NIS2 lister opp, overlapper nesten fullstendig med kontrollene i ISO 27001 og sikkerhetskriteriet i SOC 2. Et bibliotek med ett godkjent svar per kontroll besvarer et NIS2-spørreskjema også; det som endres, er vekten på varsling, kontinuitet og leverandører. Responsemate skriver utkast til hvert spørreskjema fra det ene biblioteket og viser hvor svarene dine er tynne, som for NIS2 vanligvis er radene om varsling og leverandører. Slik holder kunnskapsbasen svarene oppdaterte.
Vanlige spørsmål
Gjelder NIS2 for oss hvis vi er en liten programvareleverandør?
Vanligvis ikke direkte. NIS2 omfatter vesentlige og viktige virksomheter i de opplistede sektorene over en størrelsesterskel. Men hvis kundene dine er omfattet, må de håndtere risikoen du utgjør, og spørreskjemaet deres er måten de gjør det på. Å stå utenfor NIS2 fritar deg ikke fra spørreskjemaet.
Hva spør et NIS2-spørreskjema om som andre ikke gjør?
Mer om hendelsesvarsling (kan du varsle kunden raskt nok til at de rekker sin egen 24-timers plikt til tidlig varsling), om forretningskontinuitet og krisehåndtering, og om dine egne leverandører, fordi direktivet følger kjeden.