Odběratel po vás chce bezpečnostní dotazník. Co s tím?

NIS2 se vás netýká, ale zákazník chce vyplnit dotazník nebo podepsat bezpečnostní dodatek. Co v nich bývá, co znamenají otázky a na co si dát pozor.

Zákon o kybernetické bezpečnosti se vaší firmy netýká. Ověřili jste si to, máte dvacet lidí, do žádného regulovaného odvětví nespadáte. A přesto vám přišel od odběratele excel s třiceti otázkami o zálohách a heslech, nebo rovnou dodatek ke smlouvě.

Není to omyl a nemá smysl ho ignorovat. Tohle je druhá vlna NIS2 a dopadne na řádově víc firem než ta první.

Proč to chtějí

Firmy, které v režimu jsou, mají mezi povinnostmi řízení bezpečnosti dodavatelů. Musí do smluv vložit bezpečnostní ujednání, mít právo na audit, sjednané reakční doby na incidenty a přenést požadavky dál na subdodavatele.

Nedělají to proto, aby vás trápily. Dělají to proto, že jinak to mají jako nesplněnou povinnost oni. A protože kontrolovat desítky dodavatelů jednotlivě nejde, rozešlou všem stejný dotazník.

Vy sami povinní nejste. Ale zakázku máte podmíněnou.

Dvě různé věci, které nemíchat

Dotazník je excel nebo formulář, dvacet až padesát otázek. Otravné, ale neškodné. Buď odpověď máte, nebo nemáte.

Bezpečnostní dodatek ke smlouvě je něco úplně jiného. Je to obchodní závazek, stejně jako SLA. A tady se dá udělat chyba, která bolí.

Co bývá v dotazníku

Otázky se opakují napříč obory, protože všichni vycházejí ze stejných požadavků. Typicky se ptají na:

• přístupy: máte vícefaktorové ověřování? kdo má administrátorská práva? jak rychle odeberete přístup člověku, který odejde?
• zálohy: jak často zálohujete, kam, a kdy jste naposledy zkusili obnovu?
• aktualizace: jak dlouho trvá, než nasadíte bezpečnostní záplatu?
• incidenty: máte postup? kdy a jak nás budete informovat?
• lidi: školíte zaměstnance? testujete phishing?
• subdodavatelé: kdo další má přístup k našim datům nebo systémům?
• dokumentace: máte bezpečnostní politiku? můžete ji poslat?

Otázka na test obnovy je ta zákeřná. Zálohuje skoro každý. Obnovu zkusil málokdo.

Na co si dát pozor v dodatku

Tady bych zpomalila a četla pořádně. Nejčastější položky, které mají reálný dopad:

Lhůta na oznámení incidentu. Bývá tam 24 hodin, někdy 12. Znamená to, že musíte incident nejen zjistit, ale i vyhodnotit a nahlásit. Máte na to někoho o víkendu?

Reakční doby. Nepodepisujte kratší, než jaké reálně zvládnete. Snadno se stane, že v dodatku slíbíte rychlejší reakci, než máte ve vlastní servisní smlouvě s vaším IT dodavatelem.

Právo na audit. Odběratel si vyhradí právo přijít k vám a zkontrolovat, jak to máte. Někdy i bez ohlášení. Stojí za to si vyjednat rozumnou lhůtu a rozsah.

Přenos na subdodavatele. Zavážete se, že stejné podmínky vymůžete po svých dodavatelích. Pokud používáte cloudové služby nebo externí správu IT, je to závazek, který za vás musí splnit někdo další.

Sankce a exit klauzule. Za jakých podmínek s vámi můžou okamžitě skončit.

Naše doporučení: dodatek nechte přečíst stejně pečlivě jako cenovou nabídku. Není to formalita na konci smlouvy, je to ujednání o tom, co budete dlužit, když se něco stane.

Připravte si odpovědi jednou a používejte je pořád

Dotazníky se ptají na totéž. Vyplatí se jednou sepsat bezpečnostní profil dodavatele, jednu až dvě stránky, které pošlete, kdykoli se někdo zeptá:

• co máte nasazené u sebe (MFA, šifrování, antivir, firewall)
• jak řešíte přístupy do systémů zákazníků
• jak a kam zálohujete a kdy jste naposledy testovali obnovu
• co uděláte při incidentu a v jaké lhůtě dáte vědět
• kdo jsou vaši subdodavatelé s přístupem k datům
• kdo je u vás za bezpečnost odpovědný

Druhá, důležitější část té přípravy je seznam věcí, na které byste dnes museli odpovědět „ne“. Ten si nikam neposílejte, ale vědět o něm dřív než zákazník se vyplatí.

Nejde jen o NIS2

Stejné otázky vám budou klást ještě ze dvou stran:

Pojišťovny. Kybernetické pojištění se bez vyplněného dotazníku nesjedná a odpovědi ovlivňují cenu i to, co pojišťovna v případě škody uzná.

Zadavatelé veřejných i větších soukromých zakázek. Bezpečnostní příloha se stává standardní součástí zadání.

Takže i kdyby NIS2 nebyl, ta příprava se zaplatí jinde.

A ještě jedna věc, o které se moc nemluví

Když dodáváte službu, u které máte přístup do systémů zákazníka (IT správa, vzdálená podpora, přístup do skladového systému), jste pro toho zákazníka nejcitlivější dodavatel, jakého má. Ne proto, že byste byli nespolehliví, ale protože jedním kompromitovaným nástrojem se dá dostat ke všem jeho datům najednou.

To je důvod tomu věnovat pozornost nezávisle na tom, jestli to po vás někdo zrovna vyžaduje. Ten dotazník je jen připomínka.

Většina odpovědí v dotazníku stojí na věcech, které se dají doložit jen tehdy, když je někdo průběžně hlídá: evidence techniky, přístupová práva, testované zálohy, reakční doby. Jak vypadají naše servisní smlouvy a reakční doby, je vypsané na stránce technické podpory.

Tento článek není právní poradenství. Konkrétní smluvní ujednání si nechte posoudit právníkem. Jde o závazek, ne o formulář.

Nezávazná poptávka  ← Zpět na blog