Má podnik politiku analýzy rizík a ochrany informačných systémov?

Politika analýzy rizík je základom ostatných deväť opatrení

Áno, v našich najčastejších prípadoch existuje čo povedať, pretože analýza rizík je uvedená ako prvé opatrenie v článku 21 odsek 2 NIS2 a je tak základom, na ktorom spočíva zvyšok politiky. Otázka testuje nielen to, či existuje dokument "politika rizík", ale či podnik systematicky preveruje, ktoré informačné systémy a procesy sú zraniteľné a aké opatrenia ich čelia. Zákazník, ktorý túto otázku položí, vlastne chce vedieť, či je bezpečnosť nastavená na základe posúdenia rizík, alebo ad hoc.

V praxi je toto pole často ťažko zodpovedateľné jednoduchým áno, pretože analýza rizík zvyčajne nie je samostatný politický dokument, ale je prepletená s inými časťami: je politika prístupu dokumentovaná vrátane správy firemného majetku, existuje proces na zistenie a nápravu zraniteľností, a je účinnosť bezpečnostných opatrení pravidelne kontrolovaná. Bez základného dokumentu opisujúceho posúdenie rizík — aj keby to bol jednoduchý interný prehľad — nie je možné zdôvodniť "áno" tu. Ak táto časť chýba, potom je "nie" alebo "čiastočne" čestnou odpoveďou, prípadne s vysvetlením, ktoré časti už existujú.

Kde to presne vyplýva z článku 21 odsek 2

Článok 21 odsek 2 písm. a Smernice (EÚ) 2022/2555 uvádza "politiku analýzy rizík a bezpečnosti informačných systémov" ako prvé z desiatich povinných opatrení, a je tak najsuvisejším miestom pre túto otázku. Samotná smernica nerozvádza, ako má byť analýza rizík nastavená — tento detail je ponechaný na národné implementačné pravidlá alebo na normy, ako napríklad ISO 27001, ktorá je pritom iné ako táto politická otázka: pozri je podnik certifikovaný podľa normy ISO 27001. Kto chce zistiť, či samotný podnik už podlieha smernici, nájde to na podlieha podnik sám sebe pod Smerinicu NIS2 alebo jej národnú implementáciu.