L-impiriza għandha politika għal analiżi tar-riskji u s-sigurezza tas-sistemi tal-informazzjoni?

Il-politika ta' analiżi tar-riskju hija l-bażi taħt l-disa' miżuri l-oħra

Iva, fil-għadd ta' każijiet hemm xi ħaġa li tista' titqal, għax l-analiżi tar-riskju hija msemmija bħala l-ewwel miżura f'Artikolu 21(2) tal-NIS2 u hija għalhekk il-fondazzjoni li fuqha jinsabu r-rest tal-politika. Il-mistoqsija ma ttestjax biss jekk hemm dokument "politika tal-risku", iżda jekk l-entità sistematikament tivverifika liema sistemi ta' informazzjoni u proċessi huma vulnerabbli, u liema miżuri waħdithom jistgħu jmurru kontra. Klijent li jistaqsi dan, fil-fatt jrid jaf jekk il-ħarsien ġie mqiegħed abbażi ta' valutazzjoni tar-riskju, jew ad hoc.

Fil-prattika, dan il-qasam ħafna drabi hu diffiċli biex twieġeb b'sempliċi "iva", għax l-analiżi tar-riskju normalment mhiex dokument ta' politika separat iżda hija mtewwla f'partijiet oħra: il-politika ta' aċċess hija stabbilit, inklużi l-ġestjoni ta' assi korporattivi, hemm proċess għat-tiskoperta u l-korrezzjoni ta' vulnerabbilitajiet, u l-effettività tal-miżuri tal-ħarsien tiġi ttestjata perjodikament. Mingħajr dokument sottostanti li jiddeskrivi l-valutazzjoni tar-riskju — anke jekk hija sempliċi lista interna — "iva" hawn ma tistax titħallal. Jekk din il-biċċa tressaq, allura "le" jew "parzjali" hija l-risposta onesta, possibbilment bi spjegazzjoni dwar liema partijiet diġà huma lesti.

Fejn eżattament dan joħroġ mill-Artikolu 21(2)

L-Artikolu 21(2)(a) tal-Direttiva (UE) 2022/2555 jisemmi "politika dwar l-analiżi tar-riskju u l-ħarsien tas-sistemi ta' informazzjoni" bħala l-ewwel mill-għaxar miżuri obbligatorji, u hija għalhekk il-findikazzjoni l-iktar diretta għal din il-mistoqsija. Id-Direttiva nnifisha ma taħdimx kif għandu jinħadem analiżi tar-riskju — dan id-dettall jinħalla lir-regoli ta' implimentazzjoni nazzjonali jew f'normi bħal ISO 27001, li min-naħa tiegħu hija differenti minn din il-mistoqsija tal-politika: ara l-entità ISO 27001-iċċertifikathemm. Min irid jivverifika jekk l-entità nnifisha diġà taqa' taħt id-direttiva, isib dan fi id-dħul tal-entità nnifisha taħt id-Direttiva NIS2 jew l-implimentazzjoni nazzjonali tagħha.