Ali obstaja postopek za obravnavo varnostnih incidentov?

Obravnava incidentov je ena od desetih obveznih ukrepov

Ja, in to vprašanje posebej preverja drugo od desetih ukrepov iz člena 21 odstavka 2 NIS2: "obravnava incidentov" je navedena neposredno ob analizi tveganja kot samostojna kategorija. Tisti, ki dobi to vprašanje, mora torej ne samo potrditi, da postopek obstaja, ampak tudi pokazati, kaj vsebuje: kako se incident prijavi, kdo ga sprejme, kakšni koraki se podejmejo in kako se dokumentira, kaj se je zgodilo. Postopek brez lastnika ali brez dokumentiranih korakov auditorja ne prepriča, čeprav dokument obstaja.

Konkreten dokaz je običajno opis postopka ali runbook, ki vsebuje razvrščanje incidentov (resnost, vpliv), mesto ali osebo za prijavo, in korak za vrednotenje po zaključku. To vrednotenje ni okrasno: brez stalnega načina za beleženje in hranjenje dogodkov v sistemih, ni osnove za rekonstrukcijo incidenta ali dokaz, da je bil obravnavan. Če postopek manjka, je "ne, v razvoju" poštenjši odgovor kot izmišljanje postopka, ki ga ni — seznam vprašanj sprašuje po tem, kar obstaja, ne po nameri.

Kako je to povezano s kontinuiteto in analizo tveganja

Člen 21 odstavka 2 omenja deset ukrepov kot celoto, in obravnava incidentov ni odmaknjena od ostalega. Incident, ki vpliva na zagotavljanje storitve, pogosto aktivira točko o varnostnih kopijah in nujni oskrbi za obnovitev zagotavljanja storitve; postopek obravnave incidentov, ki se ne sklicuje na načrt za okrevanje, je nepopoln. Tudi obravnava incidentov je okrajšava politike analize tveganja in zaščite informacijskih sistemov: analiza tveganja predvideva, kaj bi se lahko motilo, obravnava incidentov uredja, kaj se zgodi, če se to res zgodi. Stranka, ki se sprašuje o postopku, zato posredno preverja, ali sta oba usklajeni.