Nie istnieje stała stawka dla zgodności z NIS2
Konkretna kwota za "zgodność z NIS2" nie istnieje i nikt nie może Ci jej z pewnością podać z wyprzedzeniem. Dyrektywa przewiduje dziesięć kategorii środków, ale sposób, w jaki przedsiębiorstwo je wdraża, a zatem jakie to kosztuje, różni się znacznie w zależności od sytuacji. Zakład montażowy z kilkoma laptopami i pakietem księgowym w chmurze ma inne warunki wyjściowe niż przedsiębiorstwo z własną servernią i wieloma dostawcami IT.
To, co rzeczywiście określa koszty, to ograniczona liczba czynników: wielkość i złożoność Twojego środowiska IT, ile ze żądanych środków już masz, czy zlecasz pracę stronie trzeciej i jakie narzędzia lub oprogramowanie zakupujesz. To utrudnia podanie kwoty, ale umożliwia zrozumienie, dokąd idą pieniądze.
Co określa Twoją sytuację
Pierwsza pozycja kosztowa często nie jest widoczna na fakturze: czas potrzebny wewnętrznie na zidentyfikowanie tego, co już istnieje. Kto powinien mieć dostęp do jakich systemów, którzy dostawcy mają dostęp do Twojej sieci i jak teraz reguluje się incydent. Przedsiębiorstwa, które już mają tę podstawę w porządku, na przykład dlatego że wcześniej rozpoczęły proces ISO 27001, mają mniej pracy niż przedsiębiorstwa, które zaczynają od zera.
Drugim czynnikiem jest wybór między wykonaniem samodzielnym a outsourcingiem. Niektóre środki, takie jak polityka kontroli dostępu lub procedura zgłaszania incydentów, to przede wszystkim dokumentacja i umowy. Inne środki, takie jak szyfrowanie danych lub monitorowanie ruchu sieciowego, wymagają raczej technologii, a zatem oprogramowania lub dostawcy zewnętrznego. Ile tego ostatniego jest potrzebne, zależy od tego, co już istnieje.
Trzecim czynnikiem jest pytanie, czy zatrudniasz biuro doradcze na cały proces, czy tylko na poszczególne elementy. Pełne wsparcie kosztuje więcej niż ukierunkowana pomoc w konkretnych punktach, ale oszczędza czas wewnętrzny. Który wybór jest korzystniejszy, różni się w zależności od przedsiębiorstwa i nie jest pytaniem, które można odpowiedzieć w sensie ogólnym. Jeśli najpierw chcesz zobaczyć, które elementy są istotne dla Twojego przedsiębiorstwa, możesz to sprawdzić sam za pomocą kilku krótkich pytań.
Koszty, które są często pomijane
Poza bezpośrednimi kosztami środków i doradztwa pojawiają się koszty, które stają się widoczne dopiero później. Dokumenty potwierdzające, takie jak analiza ryzyka lub przegląd praw dostępu, mają często okres ważności i muszą być okresowo aktualizowane. Nie jest to wydatek jednorazowy, ale powtarzające się zadanie, a czas, który to zajmuje, wlicza się w całkowity obraz.
Dodajmy do tego fakt, że odbiorcy coraz częściej wysyłają kwestionariusze dotyczące bezpieczeństwa cybernetycznego, a każdy odbiorca korzysta z własnego formatu i portalu. Wielokrotne wypełnianie w dużej mierze tych samych informacji zajmuje czas, który łatwo można niedocenić. Przegląd tematów, które pojawiają się w tym kontekście, znajduje się w bazie wiedzy opracowanej na każdą sytuację.
Co supplia robi i nie robi w tym procesie
Supplia.eu nie buduje certyfikacji i nie dokonuje oceny Twojego poziomu bezpieczeństwa; to pozostaje do Ciebie, Twojego doradcy i właściwego organu nadzoru. To, co robi platforma, to pomoc w upewnieniu się, że odpowiedzi, które już udokumentowałeś, konsekwentnie wracają w kwestionariuszach, które wysyłają Ci Twoi klienci. To nie oszczędza żadnych pieniędzy na podstawowych środkach, ale oszczędza czas, który zajmuje ich wielokrotne udokumentowanie i dostarczenie.
Podstawowe informacje o NIS2 i inne pojęcia, które pojawiają się w kwestionariuszach, są dostępne bezpłatnie, w tym źródła w tekście urzędowym. To, co dodaje subskrypcja, to opracowanie dla każdego obowiązku wraz z odpowiednimi terminarze i szablonami oraz powiadomienie, gdy zmieni się coś, co Cię dotyczy. Różnice między wersją bezpłatną i płatną są wyraźnie przedstawione na strona cenowa.
Jak dojść do realnej oceny
Ponieważ kwota zależy od Twojej własnej sytuacji wyjściowej, najbardziej użytecznym pierwszym krokiem nie jest szukanie średniej stawki, ale ustalenie, gdzie się obecnie znajdujesz. Dopiero wtedy rozmowa z dostawcą IT, biurem doradczym lub właściwym organem nadzoru ma sens, ponieważ mogą oni coś powiedzieć na temat kosztów tylko wtedy, gdy wiadomo, co już istnieje i co jeszcze brakuje. W przypadku pytań, które bezpośrednio dotyczą Twojej firmy, prawnik lub wyspecjalizowana firma doradcza pozostają właściwym punktem kontaktowym; artykuł ten opisuje ogólne wytyczne, a nie porady dla indywidualnej sytuacji.
Czy chciałbyś najpierw zobaczyć, które elementy są istotne dla Twojej firmy, zanim zaczniesz porównywać koszty? Wykonaj bezpłatną szybką ocenę lub przeglądaj tematy w bazie wiedzy, aby zobaczyć, gdzie się znajdujesz.