Ankieta bezpieczeństwa dla dostawcy — jak na nią odpowiedzieć

Przychodzi mail od klienta: „prosimy o wypełnienie ankiety bezpieczeństwa, termin do piątku”. W załączniku dwadzieścia pytań o rzeczy, o które nikt Was wcześniej nie pytał — uwierzytelnianie wieloskładnikowe, testy odtworzenia kopii, procedura incydentu. Odpowiedź trzeba podpisać, a od jej treści może zależeć przedłużenie umowy.

To nie kaprys działu zakupów. Klient robi to, bo musi. Ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe i ważne obowiązek zapewnienia bezpieczeństwa łańcucha dostaw — a Wy jesteście jego częścią.

Co robi to narzędzie

Przeprowadza przez osiemnaście pytań, które takie ankiety zawierają najczęściej, i buduje z Waszych odpowiedzi gotowy dokument do odesłania. Przy każdym pytaniu podaje literę przepisu, z której wynika, a przy każdej odpowiedzi innej niż twierdząca wyjaśnia, dlaczego kontrahent o to pyta i co ten brak dla niego oznacza.

• Odpowiedzi sformułowane językiem dokumentu — nie „tak/nie”, tylko zdania, które można podpisać i odesłać.
• Braki widoczne, nie ukryte — czerwony pasek przy pozycjach o dużej wadze, żółty przy częściowych. Razem z wyjaśnieniem, ile zwykle zajmuje ich zamknięcie.
• Zestawienie zamiast oceny — „odpowiedź twierdząca na 11 z 18 pytań”. Bez procentów i bez werdyktu, bo o tym, czy to wystarczy, decyduje kontrahent i rodzaj powierzonych mu danych.

Wszystko liczy się w przeglądarce. Nie zbieramy adresu e-mail, nie wymagamy rejestracji i nie zapisujemy ani jednej odpowiedzi.

Bezpieczeństwo łańcucha dostaw — skąd bierze się ta ankieta

Art. 8 ust. 1 pkt 2 lit. e ustawy wymienia bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT jako jeden z czternastu obszarów, które ma obejmować system zarządzania bezpieczeństwem informacji. Podmiot objęty przepisami nie może po prostu założyć, że jego dostawcy są bezpieczni — musi to sprawdzić i udokumentować.

Stąd ankiety. Firma, która ich nie rozsyła, nie ma czym wykazać, że zadbała o ten obszar. Dlatego pytania bywają szczegółowe i dlatego odpowiedź „u nas wszystko jest w porządku” nie wystarcza — potrzebny jest dokument, do którego można wrócić przy kontroli.

Ustawa idzie dalej i mówi, co dokładnie kontrahent ma ocenić. Art. 8 ust. 2 wymienia cztery rzeczy, które podmiot objęty przepisami musi uwzględnić, wdrażając zabezpieczenie łańcucha dostaw:

• podatności związane z dostawcą sprzętu lub oprogramowania,
• ogólną jakość produktów, usług i procesów ICT pochodzących od tego dostawcy,
• wyniki skoordynowanej oceny bezpieczeństwa przeprowadzonej przez Grupę Współpracy na poziomie unijnym (art. 22 ust. 1 dyrektywy 2022/2555),
• wyniki postępowania w sprawie uznania dostawcy za dostawcę wysokiego ryzyka (art. 67b ustawy).

Dwa pierwsze punkty dotyczą Was bezpośrednio i to one stoją za pytaniami w ankiecie. Kontrahent nie ocenia Waszej firmy z ciekawości — ma ustawowy obowiązek ocenić Wasze podatności i jakość tego, co dostarczacie, i wykazać, że to zrobił. Dlatego odpowiedź „u nas wszystko jest w porządku” nie zamyka jego obowiązku i nie zostanie przyjęta.

Warto o tym wiedzieć, bo zmienia to sposób odpowiadania. Kontrahent nie szuka dostawcy idealnego, tylko takiego, który wie, gdzie ma braki. Odpowiedź „nie mamy jeszcze uwierzytelniania wieloskładnikowego dla wszystkich kont, wdrożenie planujemy do końca kwartału” jest lepiej odbierana niż „tak” na wszystko, które rozsypie się przy pierwszym pytaniu o dowody.

Trzy pytania, na których najczęściej się potykamy

Termin powiadomienia o incydencie

Kontrahent objęty ustawą ma 24 godziny od wykrycia na wczesne ostrzeżenie do właściwego CSIRT i 72 godziny na pełne zgłoszenie (art. 11 ust. 1 pkt 4 i 4a). Jeśli dowie się od Was po dwóch dobach, jego termin już minął — a konsekwencje poniesie on. Dlatego coraz częściej wpisuje do umowy konkretną liczbę godzin i pyta o nią w ankiecie.

Podwykonawcy z dostępem do danych

Najczęstsza nieprawdziwa odpowiedź w całej ankiecie brzmi „nie korzystamy z podwykonawców”. Tymczasem dostawca hostingu, firma serwisująca sprzęt i zewnętrzny dział wsparcia to również podwykonawcy — jeśli mają dostęp do danych klienta. To wychodzi przy pierwszym audycie i kosztuje więcej niż szczera odpowiedź na starcie.

Testy odtworzenia kopii zapasowych

Pytanie brzmi nie „czy macie kopie”, tylko „kiedy ostatnio sprawdzaliście, że da się z nich odtworzyć dane”. Kopia niesprawdzona nie jest kopią, tylko założeniem — a doświadczony audytor pyta o datę ostatniego testu.

Co dalej po wypełnieniu

Dokument pokazuje stan deklarowany. Kontrahent, który potraktuje sprawę poważnie, poprosi o dowody: daty testów odtworzenia, wykaz uprawnień, dokumentację szkoleń. Sprawdzenie, czy stan faktyczny odpowiada deklaracjom, zanim zrobi to on, to audyt bezpieczeństwa IT.

Jeśli ankieta odsłoniła braki wymagające uporządkowania po stronie dokumentów, zacznij od polityki bezpieczeństwa informacji i procedury zgłaszania incydentu — obie przygotujesz tymi samymi narzędziami, bezpłatnie. A jeśli nie masz pewności, czy Twoja firma sama nie podlega przepisom, sprawdź to testem NIS2.