Kaj morate vedeti o desetih ukrepih NIS2?
Direktiva NIS2 opisuje deset vrst ukrepov, s katerimi lahko organizacije dokazujejo svojo digitalno varnost. Ni vprašanje desetih ločenih pravil, ki bi jih morali jedan za drugim potrditi, temveč desetih območij, za katera bi morala imeti organizacija politiko in delovne postopke. Številni prejemniki ta področja dobesedno prevzamejo v svojo vprašalnik o kibernetski varnosti, ker morajo tudi sami dokazati, da njihovi dobavitelji kaj počnejo na teh področjih.
Ali se direktiva neposredno nanašuje na vašo organizacijo, je odvisno od panoge, v kateri delujete, in od vaše velikosti. Številna manjša podjetja ne spadajo neposredno pod NIS2, vendar vseeno prejmejo vprašanja, ker je to res za njihovega odjemalca in mora veriga prevpraševati. Prav ta razlika med neposrednim padcem pod direktivo in biti del nečiega drugega odgovarjanja je točno tam, kjer nastane marsikatera zmeda.
O čem govorijo deset področij
Direktiva omenja med drugim analizo tveganja in politiko varnosti informacij, obravnavo incidentov, kontinuiranost poslovanja in krizno upravljanje ob motnji, ter varnost dobavne verige. Poleg tega omenja varnost pri nakupu, razvoju in vzdrževanju omrežnih in informacijskih sistemov, politiko za ocenjevanje učinkovitosti ukrepov ter osnovne prakse na področju kibernetske higiene in usposabljanja za ozaveščenost zaposlenih. Zadnja področja se nanašajo na politiko uporabe kriptografije in šifriranja, varnost osebja in politiko dostopa, upravljanje poslovnih sredstev ter uporabo večfaktorske avtentifikacije ali podobnih rešitev za varno komunikacijo.
Pomembno je videti, da so to področja politik, ne pa seznam z enim edinom pravim odgovorom. Instalacijsko podjetje z desetimi zaposlenimi bo na vsakem od teh področij verjetno dalo drugačen, preprostejši odgovor kot IT-ponudnik storitev s sto zaposlenimi. Nadzorni organi pri tem gledajo, ali so ukrepi primerni tveganjem, ki se jih nanašajo na organizacijo, ne pa na fiksno predlogo, ki je za vse enaka.
Zakaj vas to vprašuje vaš odjemalec
Če je vaš prejemnik pod NIS2, mora ta prejemnik moći dokazati, da tudi njegovi dobavitelji namenjajo pozornost tem področjem. Zato vprašalniki pogosto dobesedno obidejo deset področij: imate proceduro za incident, uporabljate večfaktorsko avtentifikacijo, imate politiko za svoje dobavitelje. Za vas kot prejemnika vprašalnika to pogosto pomeni, da se ista deset tem v nekoliko drugačni formulaciji vrne pri vsakem odjemalcu, ki pošlje seznam.
To je tudi takoj največji praktični problem: ne vsebina vprašanj, ampak ponavljanje. Iste informacije o vaši politiki gesel, vašem postopku varnostnega kopiranja in obravnavi incidentov se vpraša v desetih različnih oblikah, z desetimi različnimi portali. Supplia je zgrajena, da zmanjša to ponavljajoče se delo: na teh temah odgovorite enkrat v svojem lastnem kettingenju, in sistem prepozna podobna vprašanja na seznamu vsakega novega odjemalca. Vsak odgovor sami potrdite z da ali ne, preden gre na portal vašega odjemalca; Supplia ne presoja nič in se nikjer sama ne prijavi.
Kako to naredite zase obvladljivo
Pomaga, če ne začnete s samimi desetimi področji, ampak s tem, kar že imate: politiko gesel, načrt varnostnega kopiranja, seznam, kdo ima dostop do katerih sistemov. Marsikateri od teh kosov že obstoji, vendar je razpršen po mapah in glavah. Njihovo urejevanje je pogosto bolj delo kot dejanska uvedba novih ukrepov. razlagi po temah v bazi znanja obide deset področij ena za drugo s tem, kaj k njim spada.
Če želite hitro vedeti, katera od teh področij v vaši situaciji že vidijo urejena in katera prosijo za pozornost, potem daje preverjalni seznam v nekaj vprašanjih daje prvo indikacijo. Za tiste, ki želijo vedeti, od koder izvirajo informacije na Supplia in kako se vodijo, to strani o našem delovnem načinu pojasnjuje.
To, ali se NIS2 v vašem konkretnem primeru uporablja in kateri ukrepi pri tem natančno ustrezajo, je nekaj, kar najbolje predate pravniku ali pristojnemu nadzorniku. Ta članek opisuje direktivo v splošnih izrazih in ne nadomešča tega nasveta.
Prepoznavate vprašanja, ki jih pošilja vaš odjemalec, vendar želite najprej videti, kako v praksi poteka izpolnjevanje? Preberite pogosto zastavljena vprašanja o izpolnjevanju in oddaji ali začnite brezplačno hitro oceno, da vidite, kateri predmeti so relevantni za vaše podjetje.