Onko olemassa menettelyä turvallisuuspoikkeamien käsittelyä varten?

Poikkeamien hallinta on yksi kymmenestä pakollisesta toimenpiteestä

Kyllä, ja tämä kysymys testaa erityisesti toista kymmenestä toimenpiteestä artiklan 21 kappaleen 2 NIS2-säännöksestä: "poikkeamien hallinta" on kirjoitettu riskianalyysin rinnalla omaksi kategoriakseen. Joka saavat tämän kysymyksen, ei ole riitä sanoa vain sitä, että menettely on olemassa, vaan myös osoittaa, mitä se sisältää: kuinka poikkeama ilmoitetaan, kuka siitä huolehtii, mitä toimenpiteitä ryhdytään ja kuinka kirjataan, mitä on tapahtunut. Menettely, jolla ei ole omistajaa tai dokumentoituja toimenpiteitä, ei vakuuta tarkastajaa, vaikka asiakirja olisikin olemassa.

Konkreettinen todiste on yleensä menettelykuvaus tai runbook, jossa on poikkeamien luokittelu (vakavuus, vaikutus), ilmoituskohta tai yhteyshenkilö sekä vaihe arvioinnille toimintakauden päätyttyä. Arviointi ei ole koristeellinen: ilman kiinteää tapaa tapahtumien kirjaamiseksi järjestelmiin ja säilyttämiseksiei ole perusteita poikkeaman jäljittämiselle tai sen todistamiselle, että se on käsitelty. Jos menettely puuttuu, niin "ei, kehitteillä" on rehellisempi vastaus kuin menettelyn keksiminen, joka ei ole olemassa — kysymyslista kysyy siitä, mitä on olemassa, ei aikomuksesta.

Kuinka tämä liittyy jatkuvuuteen ja riskianalyysiin

Artiklan 21 kappaleen 2 säännös mainitsee kymmenen toimenpidettä yhtenä kokonaisuutena, ja poikkeamien hallinta ei ole erillään muusta. Poikkeama, joka vaikuttaa palvelun tarjontaan, aktivoi usein kohdan varmuuskopioista ja hätävarautumisesta palvelun toiminnan palauttamiseksi; poikkeamien käsittelymenettelyä, joka ei viittaa palautussuunnitelmaan, ei ole täydellinen. Lisäksi poikkeamien hallinta on riskianalyysiksi ja tietojärjestelmien turvaamisen politiikaksivaatimusten päätepiste: riskianalyysi ennakoi, mitä voi mennä pieleen, poikkeamien hallinta järjestää, mitä tapahtuu, kun se kuitenkin menee pieleen. Asiakas, joka kysyy menettelystä, tarkistaa siis epäsuorasti, ovatko nämä kaksi yhteensopivat.