Има ли предприятието политика за анализ на риска и защита на информационните системи?

Политиката за анализ на риска е основата на другите девет мерки

Да, в повечето случаи тук има какво да се каже, защото анализът на риска е посочен като първа мярка в член 21 параграф 2 на NIS2 и е по този начин основата, върху която се изгражда останалата политика. Въпросът не проверява само дали съществува документ "политика за риск", но дали предприятието систематично преглежда кои информационни системи и процеси са уязвими и какви мерки стоят срещу тях. Клиент, който задава този въпрос, всъщност желае да узнае дали защитата е организирана въз основа на оценка на риска или ad hoc.

На практика това поле е често трудно да се отговори с просто да, защото анализът на риска обикновено не е отделен политически документ, а е преплетен с други части: е ли определена политиката за достъп, включително управлението на активите, има ли процес за откриване и отстраняване на уязвимостите, и е ли ефективността на мерките за защита периодично преглеждана. Без базиран документ, който описва оценката на риска — дори и да е просто вътрешен преглед — "да" тук не може да бъде поткрепено. Ако липсва това парче, то "не" или "частично" е честният отговор, евентуално с обяснение за това кои части вече присъстват.

Откъде точно това произтича от член 21 параграф 2

Член 21 параграф 2 буква а на Директива (EU) 2022/2555 посочва "политика за анализ на риска и защита на информационните системи" като първа от десетте задължителни мерки и е по този начин най-преката източник за този въпрос. Самата директива не разработва как трябва да се проведе анализ на риска — това подробно определение се оставя на национални правила за прилагане или на норми като ISO 27001, която, между другото, е различна от този политически въпрос: вижте е ли предприятието сертифицирано по ISO 27001. Който желае да провери дали самото предприятие вече е обхванато от директивата, ще намери това в е ли предприятието само под NIS2-директивата или национално прилагане на нея.