Haben Sie einen NIS2-Fragebogen erhalten?
Ihr Kunde fällt unter NIS2 und muss die Risiken seiner Lieferanten beherrschen. Deshalb bittet er Sie zu zeigen, wie Sie seine Daten und Ihre Systeme schützen. Dieser Leitfaden erklärt, warum, was gefragt wird und wie Sie einmal antworten.
Warum Sie ihn erhalten
Die NIS2-Richtlinie verpflichtet die erfassten Einrichtungen, ihre Lieferkette abzusichern (Artikel 21 Absatz 2 Buchstabe d). Sie müssen die spezifischen Schwachstellen jedes unmittelbaren Lieferanten und die Qualität seiner Cybersicherheitspraxis berücksichtigen (Artikel 21 Absatz 3). Der Fragebogen ist der Weg, auf dem Ihr Kunde das tut. Ihn zu erhalten bedeutet nicht, dass die Richtlinie für Sie gilt.
Was Sie gefragt werden
Fragebögen folgen fast immer den zehn Maßnahmen aus Artikel 21 Absatz 2. Zu jeder: was sie am besten beantwortet.
Risikoanalyse und Sicherheitsrichtlinien
Eine Informationssicherheitsrichtlinie und eine Risikoanalyse, auch kurze.
Behandlung von Vorfällen
Ein Verfahren: wer einen Vorfall erkennt, wer entscheidet, wer den Kunden informiert und wie schnell.
Kontinuität, Sicherungen und Krisenmanagement
Ihre Backup-Richtlinie und Ihr Wiederherstellungsplan, mit dem Datum des letzten Tests.
Lieferanten und die Lieferkette
Die Liste Ihrer Unterauftragsverarbeiter, mit Zweck und Region.
Aufbau und Pflege von Systemen, einschließlich Schwachstellen
Wie Sie Patches einspielen und wie man Ihnen eine Schwachstelle melden kann.
Wie Sie prüfen, dass die Maßnahmen wirken
Was Sie prüfen und wie oft: jährliche Überprüfung, Audit, Penetrationstest.
Grundhygiene und Schulung
Ihre Grundregeln (Updates, Passwörter, Phishing) und die Schulung der Mitarbeitenden.
Kryptografie
Was verschlüsselt ist, bei der Übertragung und im Ruhezustand, und wie.
Personen, Zugriff und Werte
Wer worauf Zugriff hat, wie Zugriffe vergeben und entzogen werden, und Ihr Inventar der Assets.
Authentifizierung und gesicherte Kommunikation
Wo Multi-Faktor-Authentifizierung Pflicht ist und welche Kommunikationsmittel Sie nutzen.
Die Antwortvorlage folgt diesen zehn Maßnahmen, ein Abschnitt je Maßnahme. Mit der Antwortvorlage beginnen
Einmal antworten, nicht für jeden Kunden
Derselbe Fragebogen kommt wieder, von einem anderen Kunden und in einem anderen Format. Veröffentlichen Sie Ihre Antworten und Dokumente in einem Trust Center: Sie schicken einen Link, statt eine Tabelle auszufüllen. Was nicht öffentlich sein soll, öffnet sich nur auf Anfrage, und jede Version bleibt datiert.
Fallen Sie selbst unter NIS2?
Das hängt von Ihrem Sektor und Ihrer Größe ab, und jeder Mitgliedstaat setzt die Richtlinie auf seine Weise um. In Belgien bietet das Zentrum für Cybersicherheit Belgien (CCB) einen NIS2-Anwendbarkeitstest an: Das ist die Quelle, die Sie prüfen sollten.
Website des CCB (öffnet in einem neuen Tab)Häufige Fragen
- Brauche ich eine Zertifizierung, um zu antworten?
- Nein. Ein Kunde kann eine verlangen, aber die Richtlinie schreibt sie Lieferanten nicht vor. Entscheidend ist, dass Sie zeigen können, was Sie tun, mit Dokumenten belegt.
- Und CyberFundamentals?
- In Belgien stützen sich viele Kunden auf das CyberFundamentals-Rahmenwerk des CCB und können Sie nach einer Stufe fragen: Basic, Important oder Essential. CyberFundamentals erklärt
- Müssen meine Antworten öffentlich sein?
- Nein. Eine Datenschutzerklärung oder eine Liste der Unterauftragsverarbeiter kann es sein; ein Penetrationstest oder ein Notfallplan öffnet sich nur für die Personen, denen Sie Zugriff geben.