Čo musíte vedieť o desiatich opatreniach NIS2?
Smernica NIS2 opisuje desať druhov opatrení, pomocou ktorých môžu organizácie preukázať svoju digitálnu bezpečnosť. Nejde o desať izolovaných pravidiel, ktoré musíte jeden po druhom odškrtnúť, ale o desať oblastí, v ktorých by mala mať organizácia politiku a pracovné postupy. Mnohí odberatelia doslova preberajú tieto oblasti do svojho zoznam otázok o kybernetickej bezpečnosti, pretože aj oni musia byť schopní preukázať, že ich dodávatelia niečo v týchto oblastiach robia.
Či sa vám smernica vzťahuje priamo, závisí od sektora, v ktorom pôsobíte, a od vašej veľkosti. Mnohé menšie podniky nespadajú priamo pod NIS2, ale napriek tomu dostávajú otázky pridelené, pretože ich klient áno a reťazec sa musí pýtať ďalej. Práve ten rozdiel medzi priamym podliehaním smernici a bytím súčasťou zodpovednosti niekoho iného je presne tam, kde vzniká veľa zmatenia.
Čoho sa týkajú desať oblastí
Smernica spomína okrem iného analýzu rizík a politiku bezpečnosti informácií, zvládanie incidentov, kontinuitu prevádzky a manažment kríz v prípade porušenia, a bezpečnosť dodávateľského reťazca. Okrem toho uvádza bezpečnosť pri nákupe, vývoji a údržbe sietí a systémov na spracovanie informácií, politiku na hodnotenie účinnosti opatrení a základné postupy v oblasti kybernetickej hygieny a školenie povedomia pre zamestnancov. Posledné oblasti sa týkajú politiky používania kryptografie a šifrovania, bezpečnosti personálu a politiky prístupu, správy firemného majetku a používania viacfaktorovej autentifikácie alebo podobných riešení pre zabezpečenú komunikáciu.
Je dôležité vidieť, že to sú oblasti politiky, nie kontrolný zoznam s jedinou správnou odpoveďou. Inštalačný podnik s desiatimi zamestnancami bude pravdepodobne dávať na každej z týchto oblastí inú, jednoduchšiu odpoveď ako poskytovateľ IT služieb so sto zamestnancami. Dozorujúce orgány pri tom posudzujú, či sú opatrenia primerane riziká súvisiacim s organizáciou, nie podľa pevnej šablóny, ktorá je rovnaká pre všetkých.
Prečo sa vás na to pýta váš klient
Ak váš odberateľ spadá pod NIS2, musí byť schopný preukázať, že jeho dodávatelia sa venujú pozornosť aj týmto oblastiam. Preto zoznamy otázok často doslova prechádzajú desať oblastí: máte procedúru na riešenie incidentov, používate viacfaktorovú autentifikáciu, máte politiku pre vašich dodávateľov. Pre vás ako príjemcu zoznam otázok to často znamená, že rovnakých desať tém sa objavuje s mierne odlišnou formuláciou u každého klienta, ktorý zoznam posiela.
To je tiež hneď najväčší praktický problém: nie obsah otázok, ale opakovanosť. Rovnaké informácie o vašej politike hesiel, vašej procedúre zálohovania a vášho zvládania incidentov sa pýtajú v desiatich rôznych formátoch, s desiatimi rôznymi portálmi. Supplia bola vytvorená na zníženie tohto opakovného práce: vy odpovedáte na tieto témy raz vo vašom vlastnom reťazcovom súbore a systém rozpoznáva podobné otázky v zozname každého nového klienta. Každú odpoveď si potvrdíte sami ánom alebo nie skôr, ako sa odošle na portál vášho klienta; Supplia nič nehodnotí a sama sa nikam neprihlasuje.
Ako si to uľahčíte
Pomáha to, keď nezačínate samotnými desiatimi oblasťami, ale tým, čo už máte: politika hesiel, harmonogram záloh, zoznam s tým, kto má prístup do ktorých systémov. Mnohé z týchto dokumentov už existujú, ale sú rozptýlené v mapách a hlavách. Ich usporiadanie je často viac práce ako samotné zavedenie nových opatrení. vysvetlení podľa témy v banke znalostí Supplia prechádza desať oblastí postupne s tým, čo k nim patrí.
Ak chcete rýchlo vedieť, ktoré z týchto oblastí sa vám zdajú byť už v poriadku a ktoré si vyžadujú pozornosť, potom vám pomôže kontrola rozpoznania v niekoľkých otázkach dá prvú indikáciu. Pre tých, ktorí chcú vedieť, odkiaľ pochádzajú informácie na platforme Supplia a ako sa uchovávajú, stránke o našom spôsobe práce to vysvetľuje.
To, či sa NIS2 vzťahuje na váš konkrétny prípad a ktoré opatrenia k tomu presne patria, je niečo, čo je najlepšie predložiť právnikovi alebo príslušnému orgánu dohľadu. Tento článok popisuje smernicu v všeobecných podmienkach a nenahrádzuje tento poradenský servis.
Poznávate otázky, ktoré vám posiela váš zákazník, ale najskôr chcete vidieť, ako funguje vypĺňanie v praxi? Prečítajte si často kladené otázky o vypĺňaní a podávaní alebo spustite bezplatnú rýchlu analýzu, aby ste videli, ktoré témy sú relevantné pre vašu spoločnosť.