Ima li poduzeće politiku za analizu rizika i zaštitu informacijskih sustava?

Politika analize rizika je temelj ostalih devet mjera

Da, u većini slučajeva ovdje se može nešto reći, jer se analiza rizika kao prva mjera spominje u članku 21. stavak 2. Direktive NIS2 i tako je temelj na kojem počiva ostatak politike. Pitanje ne testira samo postojanje dokumenta "politika rizika", već je li poduzeće sustavno utvrdilo koji su informatijski sustavi i procesi ranjivi te koje mjere stoje nasuprot tome. Kupac koji postavlja ovo pitanje zapravo želi znati je li zaštita uređena na temelju procjene rizika ili ad hoc.

U praksi je često teško odgovoriti na ovo polje jednostavnim da, jer analiza rizika obično nije odvojena politika već je utkana u druge dijelove: je li politika pristupa uspostavljena, uključujući upravljanje imovinom poduzeća, postoji li postupak za otkrivanje i ispravljanje ranjivosti, i je li djelotvornost mjera zaštite povremeno provjeravana. Bez temeljnog dokumenta koji opisuje procjenu rizika — čak i ako je jednostavan interni pregled — "da" se ovdje ne može obrazložiti. Ako nedostaje taj dio, onda je "ne" ili "djelomično" pošten odgovor, eventualno s pojašnjenjem o tome koji su dijelovi već prisutni.

Gdje se to točno navodi u članku 21. stavak 2.

Članak 21. stavak 2. podstavak a) Direktive (EU) 2022/2555 spominje "politiku analize rizika i zaštite informacijskih sustava" kao prvu od deset obaveznih mjera i tako je najizravnija izvorna pozicija za ovo pitanje. Sama direktiva ne razrađuje kako se analiza rizika mora postaviti — taj detalj se prepušta nacionalnim pravilima za provedbu ili normama kao što je ISO 27001, što je inače drugačije od ovog pitanja politike: vidi je li poduzeće ISO 27001 certificirano. Tko želi provjeriti je li samo poduzeće već obuhvaćeno direktivom, pronašao bi to kod je li poduzeće obuhvaćeno NIS2 direktivom ili njezinom nacionalnom provedbom.