Krátka odpoveď: váš odberateľ je regulovaný zákonom o kybernetickej bezpečnosti a ten mu ukladá zmluvne ošetriť bezpečnosť u dodávateľov. Nerobí to preto, že by vám neveril. Robí to preto, že inak mu hrozí pokuta. A vy z toho vyviaznete podstatne lacnejšie, ako sa na prvý pohľad zdá – ak si najprv ujasníte jednu vec.
Prečo vám to prišlo
Od januára 2025 platí novela zákona o kybernetickej bezpečnosti. Firmy, ktoré pod ňu spadajú, majú podľa § 19 ods. 2 povinnosť mať s dodávateľmi, ktorí majú vplyv na ich bezpečnosť, písomné zmluvy s bezpečnostnými podmienkami.
To znamená, že váš odberateľ musí od vás niečo získať a doložiť. Ak to nespraví, je to jeho porušenie zákona – nie vaše. Preto ten tlak a preto tie termíny.
Dotazníky bývajú dvoch druhov:
- krátky – pár otázok o tom, či máte zálohy, dvojfaktorové prihlásenie a postup pri incidente,
- dlhý – dvadsať až päťdesiat strán, spravidla odvodený z ISO 27001, s otázkami na segmentáciu siete, riadenie zmien, klasifikáciu údajov a podobne.
Ten dlhý vznikol tak, že si ho odberateľ stiahol alebo mu ho pripravil poradca. Väčšina jeho otázok sa na vás nevzťahuje.
Prvá vec, ktorú si musíte ujasniť
Ste sami regulovaným subjektom, alebo je to len zmluvná požiadavka?
Toto rozhoduje o tom, či vám stačí pár opatrení, alebo potrebujete celý program prípravy na zákon.
Ste regulovaný subjekt, ak máte 50 a viac zamestnancov alebo obrat nad 10 miliónov eur a zároveň podnikáte v jednom zo 16 sektorov podľa príloh zákona (výroba, doprava, potravinárstvo, chémia, zdravotníctvo, energetika, odpady, digitálna infraštruktúra a ďalšie).
Ak áno, tak sa vás zákon týka priamo a dotazník od odberateľa je len prvá vlaštovka – máte vlastné povinnosti vrátane registrácie na NBÚ, dokumentácie a školení.
Ak nie – a to je väčšina firiem, ktoré dotazník dostanú – zákon vám neukladá nič. Vaša povinnosť je čisto zmluvná. To je dobrá správa a hneď vysvetlíme prečo.
Čo to znamená v praxi
Rozdiel je zásadný:
| Regulovaný subjekt | Len zmluvná povinnosť | |
|---|---|---|
| Registrácia na NBÚ | povinná | nie |
| Manažér kybernetickej bezpečnosti | povinný | nie |
| Dokumentácia podľa § 28 vyhlášky | v plnom rozsahu | len to, čo chce odberateľ |
| Audit alebo samohodnotenie | povinné | nie |
| Hlásenie incidentov na NBÚ | povinné | nie (ale spravidla odberateľovi áno) |
| Pokuta od štátu | do 7 mil. € | žiadna |
| Čo hrozí | pokuta | strata zákazky |
Ak nie ste regulovaný subjekt, nepotrebujete kompletný balík. Potrebujete presne to, čo od vás žiada odberateľ – a nič viac.
Pozor na predajcov, ktorí tento rozdiel nerobia. Je bežné, že firme, ktorá dostala dotazník, ponúknu celý drahý program prípravy na zákon, hoci jej stačila dokumentácia a tri technické opatrenia. Nie je to podvod – je to lenivosť pri kvalifikácii zákazky. Ale platíte to vy.
Ako dotazník vyplniť
1. Prečítajte si ho celý skôr, než začnete odpovedať. Zistíte, že tretina otázok sa opakuje inými slovami a ďalšia tretina sa na vás nevzťahuje (napríklad otázky na vývoj softvéru, keď softvér nevyvíjate).
2. Na neaplikovateľné otázky odpovedzte „netýka sa“ a zdôvodnite to. Nenechávajte prázdne polia. Prázdne pole vyzerá, že ste to nezvládli. Veta „netýka sa – nevyvíjame vlastný softvér“ vyzerá, že rozumiete otázke.
3. Neklamte. Toto nie je test, ktorý treba prejsť na sto percent. Odberateľ chce vedieť, na čom je, a väčšina odberateľov akceptuje odpoveď „zatiaľ nemáme, plánujeme do konca prvého štvrťroka“. Čo neakceptuje, je zistenie po incidente, že ste zaškrtli áno a nebola to pravda.
4. Ku každému „nie“ napíšte termín. Dotazník s desiatimi „nie“ a desiatimi termínmi je lepší ako dotazník s desiatimi „áno“, ktoré neobstoja.
5. Nechajte si kópiu a dátum. Za rok príde ďalší dotazník a bude sa hodiť vedieť, čo ste odpovedali minule.
Čo od vás spravidla chcú
| Požiadavka | Čo to znamená |
|---|---|
| Dvojfaktorové prihlásenie | zapnúť ho na e-mail a kľúčové systémy |
| Ochrana domény (SPF, DKIM, DMARC) | aby sa nikto nemohol vydávať za vás |
| Zálohovanie s overenou obnovou | nielen zálohovať, ale raz to aj vyskúšať |
| Postup pri incidente | písomný dokument, kto komu volá |
| Bezpečnostná politika | základný rámec pravidiel |
| Školenie zamestnancov | s dokladom, že prebehlo |
| Kontrola prístupových práv | kto má prístup k čomu a prečo |
Firma so 60 zamestnancami to spravidla zvládne za šesť týždňov – a vyjde ju to oveľa lacnejšie než balík pre regulovaný subjekt. V drvivej väčšine prípadov to úplne stačí.
Čo urobiť, keď termín nestíhate
Ozvite sa odberateľovi skôr, než termín uplynie. Znie to samozrejme, no väčšina firiem mlčí a dúfa.
Odberateľ potrebuje hlavne preukázať, že sa dodávateľom venuje. Odpoveď „tu je vyplnený dotazník, tieto tri veci máme, na týchto štyroch pracujeme a máme na ne termín do 30. novembra“ je pre neho použiteľná. Ticho použiteľné nie je – a je to najčastejší dôvod, prečo dodávateľ z výberu vypadne.
Zhrnutie
- Zistite, či ste regulovaný subjekt, alebo je to len zmluvná požiadavka. Toto rozhoduje o všetkom ostatnom.
- Dotazník vyplňte celý a pravdivo, s termínmi tam, kde niečo chýba.
- Nekupujte kompletný balík, ak ho nepotrebujete.
- Komunikujte s odberateľom, aj keď nestíhate.
Ak si nie ste istí, do ktorej skupiny patríte, máme na to bezplatnú previerku – osem otázok, štvrťhodina, na konci písomné vyhodnotenie. Ak z nej vyjde, že ste regulovaný subjekt, povieme vám to. Ak vyjde, že nie ste, povieme vám to tiež – aj keď je to pre nás menšia zákazka.
Spustiť bezplatnú previerku Poslať nám dotazník na posúdenie