rendelkezik-e a vállalkozás kockázatanalízis és információs rendszerek védelme politikájával?

A kockázatelemzésre vonatkozó szabályzat az alapja a másik kilenc intézkedésnek

Igen, a legtöbb esetben van itt valami mondanivaló, mivel a kockázatelemzés az első intézkedésként szerepel a NIS2 21. cikk (2) bekezdésében, és ezáltal az alapja az összes többi szabályzatnak. A kérdés nem csupán azt vizsgálja, hogy létezik-e egy "kockázati szabályzat" nevű dokumentum, hanem azt, hogy a vállalkozás szisztematikusan megvizsgálja-e, mely információs rendszerek és folyamatok sebezhetőek, és milyen intézkedések állnak azokkal szemben. Az ilyen kérdést feltevő ügyfél valójában azt szeretné tudni, hogy a biztonság kockázatbecslés alapján van-e kialakítva, vagy csupán eseti alapon.

A gyakorlatban ezt a mezőt gyakran nehéz egyszerű igennel megválaszolni, mivel a kockázatelemzés általában nem önálló szabályzati dokumentum, hanem más összetevőkbe szövetett: rögzítve van-e a hozzáférési szabályzat, beleértve az üzleti eszközök kezelését, van-e folyamat a sebezhetőségek felderítésére és orvoslására, és történik-e a biztonsági intézkedések hatékonyságának időszakos ellenőrzése. Anélkül, hogy egy alapvetően a kockázatfelmérést leíró dokumentum létezne — még ha az egy egyszerű belső áttekintés is — az itt adott "igen" válasz nem támogatható. Ha ez a dokumentum hiányzik, akkor az "nem" vagy "részlegesen" a becsületes válasz, szükség esetén egy-egy magyarázattal arról, mely összetevők vannak már meg.

Ahol ez pontosan az Richtlijn (EU) 2022/2555 21. cikk (2) bekezdéséből következik

A Richtlijn (EU) 2022/2555 21. cikk (2) bekezdésének a) pontja a "kockázatelemzésre és az információs rendszerek biztonságára vonatkozó szabályzatot" nevezi meg az első a tíz kötelező intézkedés közül, és ezáltal a legközvetlenebb hivatkozási pont ehhez a kérdéshez. Az irányelvelet nem részletezi, hogyan kell egy kockázatelemzést felépíteni — ezt a részletet a nemzeti végrehajtási szabályokra vagy az ISO 27001 jellegű normákra bízzák, amely egyébként más, mint ez a szabályzati kérdés: lásd rendelkezik-e a vállalkozás ISO 27001 tanúsítvánnyal. Aki azt szeretné megállapítani, hogy a vállalkozás maga tartozik-e az irányelvelet alá, azt találja meg a következőnél: tartozik-e a vállalkozás maga a NIS2-irányelvelet vagy annak nemzeti átültetése alá.