Kwestionariusz bezpieczeństwa od kontrahenta zwykle przychodzi nagle, ma kilkadziesiąt pytań i termin na wczoraj. Dobra wiadomość: prawie wszystkie takie ankiety pytają o to samo — i da się do nich przygotować raz, a odpowiadać wielokrotnie.
Dlaczego kontrahent w ogóle o to pyta
Większa organizacja odpowiada za bezpieczeństwo swojego łańcucha dostaw i przenosi wymagania na dostawców — umową, procedurą zakupową albo właśnie kwestionariuszem. Drugim źródłem jest obowiązek weryfikacji podmiotu przetwarzającego przed powierzeniem danych.
Ważne rozróżnienie: to kontrahent podlega swoim wymaganiom, nie Ty. Ty odpowiadasz na pytania zgodnie ze stanem faktycznym i wykazujesz, że współpraca z Tobą nie tworzy dla niego ryzyka.
O co pytają najczęściej
- Organizacja — kto odpowiada za ochronę danych, czy wyznaczono inspektora, czy są polityki i kto je zatwierdził.
- Dostęp — kto ma dostęp do danych, czy są upoważnienia, co dzieje się przy odejściu pracownika.
- Systemy — gdzie dane są przechowywane, czy są kopie zapasowe, czy testowano odtworzenie, jak zabezpieczone są urządzenia przenośne.
- Incydenty — czy istnieje procedura, kto zgłasza, w jakim czasie, czy jest rejestr naruszeń.
- Podwykonawcy — komu przekazujesz dane dalej i na jakiej podstawie.
- Ciągłość działania — co się dzieje, gdy kluczowy system albo osoba wypada.
Zasada nadrzędna: nie zaznaczaj „tak”, jeśli nie masz dowodu
Ankieta bywa załącznikiem do umowy. Deklaracja niezgodna ze stanem faktycznym potrafi wrócić przy pierwszym incydencie — jako zarzut wprowadzenia w błąd, a czasem jako podstawa odpowiedzialności kontraktowej.
Uczciwa odpowiedź „nie, ale wdrożenie planujemy do [data]” jest w praktyce przyjmowana znacznie lepiej niż odkryte później „tak”, za którym nic nie stoi.
Przygotuj raz, używaj wielokrotnie
Zbuduj jeden zestaw dowodów i trzymaj go w jednym miejscu:
- Rejestr czynności przetwarzania — pokazuje, że wiesz, jakie dane masz.
- Polityka ochrony danych i procedura postępowania z incydentem.
- Wzory upoważnień i ewidencja osób dopuszczonych do przetwarzania.
- Lista dostawców i umowy powierzenia.
- Opis zabezpieczeń: kopie zapasowe, szyfrowanie nośników, kontrola dostępu.
- Potwierdzenia szkoleń zespołu.
Przy kolejnej ankiecie odpowiadasz w godzinę zamiast w tydzień — bo materiał już jest, a zmienia się tylko forma pytania.
Czego nie robić
- Nie kopiuj odpowiedzi od innej firmy — opisują cudzą organizację.
- Nie odsyłaj ankiety bez czytania załączonej umowy: to w niej są sankcje.
- Nie obiecuj certyfikatów ani standardów, których nie posiadasz.
- Nie zostawiaj pustych pól — brak odpowiedzi bywa liczony jako odpowiedź negatywna.
Ankieta już leży na biurku i termin goni? Zobacz, jak pomagam dostawcom i podwykonawcom.