Što trebate znati o deset mjera NIS2?
Direktiva NIS2 opisuje deset vrsta mjera pomoću kojih organizacije mogu dokazati svoju digitalnu sigurnost. Nije riječ o deset odvojenih pravila koja morate odaslati jedno za drugim, već o deset područja na kojima organizacija trebala bi imati pravila i radne postupke. Mnogi kupci doslovno preuzimaju ta područja u svoju listi pitanja za kibernetsku sigurnost jer oni pak trebaju moći dokazati da njihovi dobavljači na tome nešto rade.
Je li direktiva izravno primjenjiva na vašu organizaciju ovisi o sektoru u kojem djelujete i vašoj veličini. Mnoga manja poduzeća nisu izravno obuhvaćena NIS2 direktivom, ali ih se pitanja ipak proslijede jer je njihov klijent obuhvaćen i lanac mora dalje postavljati pitanja. Upravo ta razlika između izravnog obuhvaćanja direktivom i biti dio nečijeg dokazivanja izaziva veliku zbrku.
O čemu govore deset područja
Direktiva navodi analizu rizika i politiku informatičke sigurnosti, rukovanje incidentima, kontinuitet poslovanja i upravljanje krizom kod poremećaja, te sigurnost dobavnog lanca. Osim toga, navodi sigurnost pri nabavi, razvoju i održavanju mrežnih i informatičkih sustava, politiku za procjenu učinkovitosti mjera, te osnovne prakse na području kibernetske higijene i obuku zaposlenika za podizanje svijesti. Posljednja područja odnose se na politiku korištenja kriptografije i enkripcije, sigurnost osoblja i politiku pristupa, upravljanje poslovnim sredstvima, te korištenje višefaktorske autentifikacije ili sličnih rješenja za zaštićenu komunikaciju.
Važno je vidjeti da su to oblasti politike, a ne lista za provjeru s jednim ispravnim odgovorom. Instalacijska tvrtka s deset zaposlenih vjerojatno će dati drugačiji, jednostavniji odgovor na svakom od tih područja od IT pružatelja usluga sa sto zaposlenih. Regulatori pri tome gledaju jesu li mjere prikladne rizicima koji se odnose na organizaciju, a ne na fiksni obrazac koji je isti za sve.
Zašto vas vaš klijent o tome pita
Ako se vaš kupac nalazi u djelokrugu NIS2 direktive, taj kupac mora moći dokazati da i njegovi dobavljači obraćaju pažnju na ta područja. Zato liste pitanja često doslovno prolaze kroz deset područja: imate li postupak rukovanja incidentima, koristite li višefaktorsku autentifikaciju, imate li politiku za svoje dobavljače. Za vas kao primatelja liste pitanja to često znači da se ista deset tema vraćaju sa malo drugačijom formulacijom kod svakog klijenta koji pošalje listu.
To je ujedno i najveći praktičan problem: ne sadržaj pitanja, već ponavljanje. Iste informacije o vašoj politici lozinki, vašem postupku sigurnosne kopije i vašem rukovanje incidentima traži se u deset različitih formata, s deset različitih portala. Supplia je izgrađena da smanji taj repetitivan rad: na ta pitanja odgovarate jedan put u svojoj vlastitoj datoteci lanca, a sustav prepoznaje slična pitanja u listi svakog novog klijenta. Sami potvrđujete svaki odgovor s da ili ne prije nego što ide na portal vašeg klijenta; Supplia ništa ne ocjenjuje i sama se ne prijavljuje nigdje.
Kako to za sebe učiniti razumljivo
Pomaže ako ne počnete s deset područja sama, već s onim što već imate: politika lozinki, raspored sigurnosnih kopija, lista s informacijom tko ima pristup kojim sustavima. Mnogi od tih dokumenata već postoje, ali su raspoređeni po mapama i glavama. Njihovo sređivanje je često više posla nego samo uvođenje novih mjera. objašnjenju po predmetu u bazi znanja prolazi kroz deset područja jedno po jedno s onim što s njima ide.
Želite li brzo saznati koja od tih područja u vašoj situaciji već izgleda dobro i koja trebaju pažnju, tada provjera prepoznavanja u nekoliko pitanja daje prvo naznaku. Za one koji žele znati odakle informacije na Supplia dolaze i kako se čuvaju, stranici o našoj radnoj metodi to objašnjava.
Primjenjuje li se NIS2 u vašem specifičnom slučaju i koje točno mjere odgovaraju tom slučaju, nešto je što je najbolje da predstavite pravniku ili nadležnom nadzornom tijelu. Ovaj članak opisuje direktivu u općim pojmovima i ne zamjenjuje taj savjet.
Prepoznajete li pitanja koja vaš klijent šalje, ali prvo želite vidjeti kako popunjavanje funkcionira u praksi? Pročitajte česta pitanja o popunjavanju i podnošenju ili pokrenite besplatnu brzu provjeru kako biste vidjeli koji subjekti igraju ulogu u vašoj tvrtki.