Postoji li postupak za rukovanje sigurnosnim incidentima?

Rukovanje incidentima je jedna od deset obaveznih mjera

Da, i to pitanje specifično testira drugu od deset mjera iz članka 21(2) NIS2: "rukovanje incidentima" je doslovno navedeno kao vlastita kategorija pored analize rizika. Tko dobije ovo pitanje, mora ne samo reći da postupak postoji, već i pokazati što se nalazi u njemu: kako se incident prijavljuje, tko ga preuzima, koji se koraci poduzimaju i kako se evidentira što se dogodilo. Postupak bez vlasnika ili bez utvrđenih koraka neće uvjeriti revizora, čak i ako dokument postoji.

Konkretan dokaz je obično opis postupka ili runbook, sa klasifikacijom incidenata (težina, utjecaj), mjestom prijavljivanja ili kontaktnom osobom, te korakom za vrednovanje nakon završetka. Vrednovanje nije dekorativno: bez stalnog načina za zabilježiti i sačuvati događaje u sustavima, nema osnove za rekonstrukciju incidenta ili dokaz da je obrađen. Ako postupak nedostaje, tada je "ne, u razvoju" iskreitiji odgovor nego izmisliti postupak koji ne postoji — pitanja u popisu traže što postoji, ne namjeru.

Kako se ovo povezuje sa kontinuitetom i analizom rizika

Članak 21(2) navodi deset mjera kao cjelinu, i rukovanje incidentima nije izdvojeno od ostatka. Incident koji utječe na pružanje usluge često aktivira točku o sigurnosnim kopijama i nužnom pružanju usluge za oporavak pružanja usluge; postupak rukovanja incidentima koji se ne poziva na plan oporavka je nepotpun. Rukovanje incidentima je također završna stavka politike za analizu rizika i zaštitu informacijskih sustava: analiza rizika predviđa što može biti loše, rukovanje incidentima uređuje što se dogodi ako do toga ipak dođe. Klijen koji postavlja pitanje o postupku implicitno provjerava jesu li ta dva međusobno usklađena.