Има ли процедура за справяне със сигурностни инциденти?

Управлението на инциденти е една от десетте задължителни мерки

Да, и този въпрос тества специфично втората от десетте мерки от член 21, параграф 2 NIS2: "управление на инциденти" е буквално посочено като отделна категория до анализ на риска. Тези, които получат този въпрос, трябва не само да кажат, че има процедура, но и да покажат какво съдържа: как се докладва инцидент, кой го преработва, кои са стъпките и как се регистрира случилото се. Процедура без отговорник или без установени стъпки не убеждава одитор, макар че документът да съществува.

Конкретното доказателство обикновено е описание на процедура или ръководство за изпълнение, което включва класификация на инциденти (тежест, влияние), контактна точка или лице, отговорно за докладване, и етап за оценка след приключване. Тази оценка не е декоративна: без установен начин за регистриране и съхраняване на събитията в системите, няма основа за реконструиране на инцидент или доказване, че е обработен. Ако процедурата липсва, тогава "не, в разработка" е по-честен отговор, отколкото да се измисла процедура, която не съществува — въпросникът пита какво има, а не намерение.

Как това е свързано с непрекъснатост на услугите и анализ на риска

Член 21, параграф 2 посочва десетте мерки като един цял, и управлението на инциденти не е отделено от останалото. Инцидент, който засяга предоставянето на услуга, често активира точката относно резервни копия и мерки за аварийно възстановяване на услугата; процедура за управление на инциденти, която не се позовава на плана за възстановяване, е непълна. Освен това управлението на инциденти е венечното камък на политиката за анализ на риска и защита на информационните системи: анализ на риска предвижда какво може да се случи, управлението на инциденти уреждат какво да се направи, ако все пак се случи. Клиент, който пита за процедурата, следователно неявно проверява дали тези две са хармонизирани.