Findes der en procedure for behandling af sikkerhedshændelser?

Incidenthåndtering er en af de ti obligatoriske foranstaltninger

Ja, og dette spørgsmål tester specifikt den anden af de ti foranstaltninger i artikel 21, stk. 2 NIS2: "incidenthåndtering" står bogstaveligt talt ved siden af risikovurdering som egen kategori. Den, der får dette spørgsmål, skal ikke blot sige, at der findes en procedure, men også vise, hvad den indeholder: hvordan en incident rapporteres, hvem der tager sig af det, hvilke trin der tages, og hvordan dokumenteres det, hvad der er sket. En procedure uden ansvarlig eller uden dokumenterede trin overtyderikkeenanrevisor,selvomdet eksisterer.

Konkret bevis er normalt en procedurebeskrivelse eller runbook, med klassificering af incidenter (alvor, indvirkning), et rapporteringssted eller kontaktperson, og et trin til evaluering efter afslutning. Den evaluering er ikke dekorativ: uden en fast måde at begivenheder i systemerne registreres og opbevares på, er der intet grundlag for at rekonstruere en incident eller at bevise, at den er håndteret. Hvis proceduren mangler, er "nej, under udvikling" et mere ærligt svar end at opfinde en procedure, der ikke findes — spørgelisten spørger, hvad der er, ikke en hensigt.

Hvordan dette hænger sammen med kontinuitet og risikovurdering

Artikel 21, stk. 2 nævner de ti foranstaltninger som en helhed, og incidenthåndtering står ikke isoleret fra resten. En incident, der påvirker serviceydelsen, aktiverer ofte punktet om sikkerhedskopier og en nødprocedure til gendannelse af serviceydelsen; en incidentprocedure, der ikke refererer til gendannelsesplanen, er ufuldstændig. Incidenthåndtering er også afslutningsstenen på politik for risikovurdering og sikring af informationssystemer: risikovurdering forudsiger, hvad der kan gå galt, incidenthåndtering regulerer, hvad der sker, når det alligevel går galt. En kunde, der spørger om proceduren, kontrollerer således implicit, om de to er tilpasset hinanden.