Co musíte vědět o deseti opatřeních NIS2?
Směrnice NIS2 popisuje deset druhů opatření, pomocí kterých mohou organizace prokázat svou digitální bezpečnost. Nejde o deset samostatných pravidel, která byste měli postupně procházet, ale o deset oblastí, ve kterých by měla mít organizace politiku a postupy. Mnoho odběratelů převzalo tyto oblasti doslova do svého seznamu otázek na téma kybernetické bezpečnosti, protože oni zase musí být schopni prokázat, že jejich dodavatelé v těchto oblastech něco dělají.
To, zda se směrnice přímo vztahuje na vaši organizaci, závisí na odvětví, ve kterém jste aktivní, a na vaší velikosti. Mnoho menších firem nespadá přímo pod NIS2, ale přesto obdrží dotazy, protože jejich zákazník pod ni spadá a musí se ptát v celém řetězci. Právě tento rozdíl mezi přímým spadáním pod směrnici a být součástí něčího jiného odpovědnosti je právě tam, kde vzniká velký zmatek.
O čem je deset oblastí
Směrnice zmiňuje mimo jiné analýzu rizik a politiku bezpečnosti informací, řešení incidentů, kontinuitu provozu a řízení krizí v případě výpadku, a bezpečnost dodavatelského řetězce. Kromě toho zmiňuje bezpečnost při nákupu, vývoji a údržbě sítěových a informačních systémů, politiku pro zhodnocování efektivnosti opatření a základní postupy v oblasti kybernetické hygieny a školení povědomí pro zaměstnance. Poslední oblasti se zabývají politikou používání kryptografie a šifrování, bezpečností personálu a zásadami přístupu, správou podnikových prostředků a používáním vícefaktorové autentizace nebo podobných řešení pro zabezpečenou komunikaci.
Je důležité vidět, že jde o oblasti politiky, nikoli o kontrolní seznam s jedinou správnou odpovědí. Instalační firma s deseti zaměstnanci bude pravděpodobně řešit každou z těchto oblastí jinak a jednoduší než poskytovatel IT služeb se sto zaměstnanci. Dohledové orgány se přitom dívají na to, zda jsou opatření vhodná pro rizika, která jsou pro danou organizaci typická, nikoli na pevnou šablonu, která by byla stejná pro všechny.
Proč se vás na to váš zákazník ptá
Pokud váš odběratel spadá pod NIS2, musí být schopen prokázat, že jeho dodavatelé věnují pozornost také těmto oblastem. Proto seznamy otázek často procházejí deset oblastí doslova: máte proceduru na řešení incidentů, používáte vícefaktorovou autentizaci, máte politiku pro své dodavatele. Pro vás jako příjemce seznamu otázek to často znamená, že stejných deset témat se vrací s mírně odlišným znění od každého zákazníka, který seznam pošle.
To je také hned největší praktický problém: ne obsah otázek, ale jejich opakování. Stejné informace o vaší politice hesel, vaší proceduře zálohování a vaší řešení incidentů se v deseti různých formátech ptají prostřednictvím deseti různých portálů. Supplia byla vytvořena, aby se toto opakující se práce omezila: odpovídáte na tato témata jednou ve svém vlastním řetězcovém spisu a systém rozpozná podobné otázky v seznamu každého nového zákazníka. Sami si potvrdíte každou odpověď ano či ne, než se pošle na portál vašeho zákazníka; Supplia nic neevaluuje a nikam se sám nepřihlašuje.
Jak to zvládnout
Pomáhá nezačínat u samotných deseti oblastí, ale u toho, co už máte: politiku pro hesla, plán zálohování, seznam kdo má přístup k jakým systémům. Mnoho těchto dokumentů již existuje, ale jsou rozptýleny v mapách a hlavách. Jejich uspořádání je často více práce než skutečné zavedení nových opatření. vysvětlení podle tématu ve znalostní bázi prochází deset oblastí postupně jednu za druhou s tím, co k nim patří.
Chcete-li se rychle dozvědět, které z těchto oblastí se v případě vaší situace již zdají být v pořádku a které potřebují pozornost, pak vám pomohou kontrola rozpoznání v několika otázkách poskytne první indikaci. Pro ty, které zajímá, odkud informace na Supplia pochází a jak se vedou, to vysvětluje, stránce o našem postupu to vysvětluje.
Zda se NIS2 vztahuje na váš konkrétní případ a která opatření k tomu přesně patří, je něco, co si nejlépe necháte vysvětlit právníkem nebo příslušným dohledovacím orgánem. Tento článek popisuje směrnici v obecných termínech a nenahrazuje toto poradenství.
Poznáváte otázky, které vám vaší zákazník posílá, ale chcete nejdřív vidět, jak invulní v praxi funguje? Přečtěte si často kladené otázky o invulní a podání nebo spusťte bezplatný quick-scan, abyste viděli, která témata se vašeho podniku týkají.