Mitä sinun tulee tietää NIS2:n kymmenestä toimenpiteestä?
NIS2-direktiivi kuvaa kymmenen erilaista toimenpidettä, joilla organisaatiot voivat osoittaa digitaalisen turvallisuutensa. Kyse ei ole kymmenestä erillisestä säännöstä, jotka sinun tulee rastittaa yksi kerrallaan, vaan kymmenestä alueesta, joilla organisaatiolla tulee olla politiikka ja menettelyt. Monet ostajat ottavat nämä alueet kirjaimellisesti käyttöön kyberturvallisuuskysymyslistassaan, koska heidän on puolestaan pystyttävä osoittamaan, että heidän toimittajansa tekevät jotakin tällä saralla.
Se, sovelletaanko direktiiviä suoraan organisaatioosi, riippuu siitä, millä alalla toimit ja kuinka suuri organisaatiosi on. Monet pienemmät yritykset eivät kuulu suoraan NIS2:n piiriin, mutta saavat kuitenkin kysymykset lähetettyä, koska heidän asiakkaansa kuuluu ja ketju on velvoitettu kysymään eteenpäin. Juuri tämä ero suoraan direktiivin piiriin kuulumisen ja jonkun toisen vastuun osan olemisen välillä aiheuttaa paljon sekaannusta.
Mitä kymmenen alue käsittelevät
Direktiivi mainitsee muun muassa riskien arvioinnin ja tietoturvan politiikan, poikkeamien käsittelyn, liiketoiminnan jatkuvuuden ja kriisienhallinnan häiriötilanteissa sekä toimitusketjun turvallisuuden. Lisäksi se mainitsee turvallisuuden hankinnassa, kehittämisessä ja verkko- ja tietojärjestelmien ylläpidossa, politiikan toimenpiteiden vaikuttavuuden arviointiin sekä kyberterveydenhoidon perusperiaatteet ja henkilöstön tietoisuuskoulutuksen. Viimeiset alueet käsittelevät salakirjoitukseen ja salauksen käyttöä koskevaa politiikkaa, henkilöstön turvallisuutta ja pääsynhallintoa, liiketoimintaomaisuuden hallintaa sekä monivaiheisen todentamisen tai vastaavien turvallisen viestinnän ratkaisujen käyttöä.
On tärkeää ymmärtää, että nämä ovat politiikan alueita, eivät tarkistuslista, jossa on yksi oikea täyttö. Kymmenen työntekijän asennusyritys todennäköisesti täyttää jokaista näistä alueista yksinkertaisemmin kuin sadan työntekijän IT-palveluntarjoaja. Valvontaviranomaiset katsovat, ovatko toimenpiteet sopusoinnussa organisaation riskien kanssa, eivätkä käytä kaikkia koskevaa kiinteää mallia.
Miksi asiakkaasi kysyy tästä
Jos ostajasi kuuluu NIS2:n soveltamisalaan, hänen on pystyttävä osoittamaan, että myös hänen toimittajansa kiinnittävät huomiota näihin alueisiin. Siksi kysymyslistat usein käsittelevät kirjaimellisesti kymmenen aluetta: onko sinulla poikkeamamenettely, käytätkö monivaiheista todentamista, onko sinulla politiikka toimittajillesi. Sinulle kysymyslistan vastaanottajana tämä merkitsee usein sitä, että samat kymmenen aihetta tulevat hieman eri sanamuodossa jokaisen listan lähettävän asiakkaan lähettämissä.
Ja tämä on myös heti suurin käytännön ongelma: ei kysymysten sisältö, vaan toistuvuus. Samaa tietoa salasanakäytännöistä, varmuuskopion menettelystä ja poikkeamien käsittelystä kysytään kymmenessä eri muodossa, kymmenellä eri portaalilla. Supplia on rakennettu vähentämään tätä toistuvaa työtä: vastaat näihin aiheisiin kerran omassa ketjutiedostossasi, ja järjestelmä tunnistaa samankaltaiset kysymykset jokaisen uuden asiakkaan listassa. Vahvistat jokaisen vastauksen itse kyllä tai ei ennen kuin se lähetetään asiakkaasi portaaliin; Supplia ei arvioi mitään eikä kirjaudu sinne itse.
Kuinka pitää tämän hallinnassa
Se auttaa, että et aloita itse kymmenestä alueesta, vaan siitä, mitä sinulla on jo: salasanakäytäntö, varmuuskopiosuunnitelma, luettelo siitä, kenen on pääsy mihin järjestelmiin. Monet näistä dokumenteista ovat olemassa, mutta ne ovat hajallaan kansioissa ja päissä. Niiden järjestäminen on usein enemmän työtä kuin varsinaisten uusien toimenpiteiden ottaminen käyttöön. aihekohtaisista selityksistä tietopankista käy kymmenen aluetta läpi yksi kerrallaan, ja se, mitä niihin liittyy.
Jos haluat nopeasti tietää, mitkä näistä alueista näyttävät olevan jo kunnossa tilanteessasi ja mitkä tarvitsevat huomiota, tunnistussarja antaa muutamalla kysymyksellä alustavan viitteen. Niille, jotka haluavat tietää, mistä Suppliassa oleva tieto tulee ja miten sitä ylläpidetään, se sivulla, jossa kuvataan menettelyämme selittää sen.
Se, sovelletaanko NIS2:ta teidän erityistapauksessanne ja mitkä toimenpiteet täsmälleen soveltuvat, on parasta käydä läpi juristin tai toimivaltaisen valvontaviranomaisen kanssa. Tämä artikkeli kuvaa direktiiviä yleisesti ja ei korvaa kyseistä neuvontaa.
Tunnistatteko asiakkaan lähettämät kysymykset, mutta haluatte ensin nähdä, kuinka täyttäminen käytännössä toimii? Lue usein kysytyt kysymykset täyttämisestä ja lähettämisestä tai aloita ilmainen pika-analyysi nähdäksenne, mitkä aiheet koskevat yritystänne.