Kas ettevõttel on poliitika riskianalüüsi ja infosüsteemide turvalisuse kohta?

Riskianalüüsi poliitiika on aluseks teistele üheksale meetmele

Jah, enamiku juhtumite puhul on siin midagi öelda, sest riskianalüüs on nimetatud esimese meetmena artikli 21 lõike 2 punktis NIS2 ja on seega aluseks ülejäänud poliitikale. Küsimus ei kontrolli ainult seda, kas dokument "riskipoliitika" olemas on, vaid kas ettevõtte teostab süstemaatiliselt analüüsi, millised infosüsteemid ja protsessid on haavatavad ning millised meetmed nendele vastu võetakse. Klient, kes seda küsimust esitab, tahab tegelikult teada, kas turvameetmed on loodud riskihinnangu alusel või juhuslikult.

Praktikas on seda välja sageli raske vastata lihtsa jah/einega, sest riskianalüüs tavaliselt eraldi poliitikadokument pole, vaid on põimitud teiste osadega: on pääsupoliitika määratletud, sealhulgas ärivahenditest hoolitsemise kord, kas on olemas protsess haavatavuste avastamiseks ja parandamiseks, ja kas turbemeetmete tõhusust kontrollitakse perioodiliselt. Ilma dokumendita, mis riskihindamist kirjeldab — isegi kui see on lihtne sisemine ülevaade — ei saa "jah" siin põhjendatud olla. Kui see osa puudub, siis "ei" või "osaliselt" on aus vastus, võimalikult selgitusega, millised osad on juba olemas.

Kust see täpselt artikli 21 lõike 2 alusel tuleb

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktis a mainitakse "riskianalüüsi ja infoturbesüsteemide kaitse poliitikat" kümnest kohustusliku meetme esimesena ja on seega sellele küsimusele kõige otsem viide. Direktiiv ise ei täpsusta, kuidas riskianalüüsi tuleb seadistada — see detail jäetakse rahvuslike rakendamisreeglite või normide nagu ISO 27001 kanda, mis muide erineb sellest poliitikakküsimusest: vt kas ettevõte on ISO 27001-sertifitseeritud. Kes soovib kontrollida, kas ettevõte ise direktiivi alla kuulub, leiab selle punktis kas ettevõte ise kuulub NIS2-direktiivi või selle rahvusliku rakendamise alla.