Varför frågeformulären kommer
NIS2 trädde i kraft genom nationell lagstiftning i hela EU från oktober 2024. Det omfattar energi, transport, bank, hälso- och sjukvård, vatten, digital infrastruktur, offentlig förvaltning, tillverkning av vissa varor, livsmedel, digitala leverantörer med mera, och det kräver att omfattade organisationer hanterar säkerheten i leveranskedjan: att bedöma säkerheten hos sina direkta leverantörer och tjänsteleverantörer. Den praktiska formen för den bedömningen är ett frågeformulär, och det går ut till varje leverantör med åtkomst till organisationens system eller data.
Vad ett NIS2-präglat frågeformulär frågar om
Direktivet räknar upp de åtgärder omfattade enheter måste vidta, och frågeformulären följer listan: riskanalys och säkerhetspolicyer; incidenthantering; kontinuitet, säkerhetskopior och krishantering; säkerhet i leveranskedjan, vilket betyder frågor om dina egna leverantörer; säkerhet vid anskaffning, utveckling och underhåll av system, inklusive sårbarhetshantering; hur du bedömer åtgärdernas effektivitet; cyberhygien och utbildning; kryptografi; personalsäkerhet och åtkomstkontroll; samt flerfaktorsautentisering och säker kommunikation.
Incidentfrågorna är de utmärkande. En omfattad enhet måste ge sin myndighet en tidig varning inom 24 timmar efter att den fått kännedom om en betydande incident, så den kommer att fråga om du underrättar den snabbt nog, via vilken kanal och med vilken information. Ha ett svar med en tid och en namngiven kontakt.
Att svara som leverantör
Svara som på vilket säkerhetsfrågeformulär som helst: kontrollen, ägaren, frekvensen, underlaget. Två tillägg skapar förtroende hos NIS2-granskare. För det första ett tydligt åtagande om incidentrapportering: ”vi underrättar berörda kunder inom X timmar efter att en incident som påverkar deras data bekräftats, via e-post till den utsedda säkerhetskontakten, med en uppföljning inom 72 timmar”. För det andra din egen leverantörslista: kundens skyldighet följer kedjan, så de kommer att fråga vilka dina leverantörer av hosting, e-post och AI är och hur du bedömer dem.
Samma svar, en rubrik till
Åtgärderna NIS2 räknar upp överlappar nästan helt med kontrollerna i ISO 27001 och säkerhetskriteriet i SOC 2. Ett bibliotek med ett godkänt svar per kontroll besvarar även ett NIS2-frågeformulär; det som ändras är tyngdpunkten på incidentrapportering, kontinuitet och leverantörer. Responsemate skriver utkast till varje frågeformulär från det enda biblioteket och visar var dina svar är tunna, vilket för NIS2 oftast är raderna om rapportering och leverantörer. Så håller kunskapsbasen svaren aktuella.
Vanliga frågor
Gäller NIS2 oss om vi är en liten programvaruleverantör?
Oftast inte direkt. NIS2 omfattar väsentliga och viktiga enheter i uppräknade sektorer över en storleksgräns. Men om dina kunder omfattas måste de hantera risken du utgör, och deras frågeformulär är sättet de gör det på. Att stå utanför NIS2 besparar dig inte frågeformuläret.
Vad frågar ett NIS2-frågeformulär som andra inte gör?
Mer om incidentrapportering (kan du meddela kunden snabbt nog för att de ska hinna med sin egen skyldighet att ge tidig varning inom 24 timmar), om kontinuitet och krishantering, och om dina egna leverantörer, eftersom direktivet följer kedjan.