NIS2 pro dodavatele: co po vás bude chtít zákazník, i když pod zákon sami nespadáte
Firmy pod zákonem o kybernetické bezpečnosti musí řídit bezpečnost svých dodavatelů. Proto přicházejí dotazníky a nové smluvní podmínky i firmám, na které zákon přímo nedopadá. Co obvykle chtějí a jak se připravit.
Zákon č. 264/2025 Sb. dopadá na tisíce českých firem přímo. Na další tisíce dopadá nepřímo: přes zákazníky. Firma v režimu NIS2 musí řídit rizika spojená s dodavateli, takže po nich začne chtít doklady o bezpečnosti. Pokud dodáváte služby, software nebo zboží firmě, výrobnímu podniku, nemocnici nebo dopravci, je dost pravděpodobné, že dotazník už vám přišel, nebo přijde.
Co zákazníci obvykle chtějí
- Bezpečnostní dotazník: zálohy a jejich obnova, řízení přístupů, dvoufázové přihlášení, aktualizace, školení lidí, kdo za bezpečnost odpovídá.
- Hlášení incidentů: smluvní povinnost dát vědět o bezpečnostním incidentu, který se zákazníka může týkat, často do 24 hodin. Zákazník sám musí hlásit NÚKIB, takže potřebuje informace rychle.
- Právo na audit: zákazník si vyhrazuje možnost bezpečnost u vás ověřit sám nebo přes třetí stranu.
- Pravidla pro přístupy: pokud se připojujete do jeho systémů, jakým způsobem, z jakých zařízení a kdo z vašich lidí.
- Doklady: certifikát ISO 27001 není povinný, ale otevírá dveře. Bez něj zákazník chce popis opatření a důkazy, že fungují.
Proč to nepodcenit
Zákazník, který pod zákon spadá, musí umět doložit, že dodavatele řídí. Pokud dotazník nevyplníte, vyplníte ho nepravdivě, nebo z odpovědí vyjde vysoké riziko, může vás vyřadit, nebo omezit, k čemu máte přístup. U veřejných zakázek se bezpečnostní požadavky čím dál častěji objevují přímo v zadávací dokumentaci.
Jak se připravit
- Sepište, co děláte dnes. Zálohy, přístupy, aktualizace, školení. Často je toho víc, než si myslíte, jen to nikde není napsané.
- Dohoňte řemeslné minimum. Zálohy, které jste zkusili obnovit, dvoufázové přihlášení všude, kde to jde, rušení přístupů po odchodu lidí, školení. To zastaví většinu běžných útoků a odpoví na většinu otázek v dotaznících.
- Určete, kdo za bezpečnost odpovídá a kdo hlásí incidenty zákazníkům.
- Mějte jednu sadu odpovědí. Dotazníky se opakují. Připravený popis opatření ušetří čas u každého dalšího zákazníka.
- Čtěte nové smlouvy. Lhůty pro hlášení incidentů a právo na audit jsou závazky; slibte jen to, co umíte dodržet.
S čím pomůžeme
Vyplníme s vámi dotazníky, doložíme opatření, která máte, a dotáhneme, co chybí, v rozsahu, který dává smysl pro vaši velikost. Pokud zjistíme, že pod zákon spadáte i přímo, řekneme vám to a pomůžeme s registrací u NÚKIB. První konzultace je zdarma.