klausimynas klausia, ar vadovybė yra įtraukta į kibernetinio saugumo procesus

Vadovybės įtraukimas yra atskira NIS2 pareiga, atskira nuo dešimties priemonių

Šis klausimas nėra apie techniką, bet apie valdymą: ar pati vadovybė yra susieta su kibernetinio saugumo klausimais, ar tai visiškai deleguota IT. Pagal NIS2 21 straipsnio 2 dalį, dešimt priemonių pačios yra išvardintos, tačiau Direktyvos 20 straipsnis papildomai nurodo, kad valdžios institucijos turi patvirtinti rizikos valdymo priemones ir stebėti jų įgyvendinimą, o valdybos nariai turi projimo mokymus, kad galėtų įvertinti kiberninio saugumo rizikos. Tai yra atskiras klausimyno punktas: ne "kokias priemones turite", bet "ar aukščiausioji vadovybė tai žino ir patvirtina".

Kaip įrodymas paprastai naudojami protokolo fragmentai, iš kurių matyti, kad vadovybė patvirtino arba įvertino saugumo politiką, organizacijos schema, iš kurios matomi ataskaitų ryšiai su vadovybe, arba Darbotvarkės punktas iš periodinio vadovybės susitikimo dėl kiberninio saugumo rizikos. Jei to nėra, tada čia teisingas atsakymas yra "ne" — tiekėjas, kuris tai užpildo be dokumentų, rizikuoja, kad klientas vėliau grįš prie šio klausimo. Šis klausimas dažnai susijęs su klausimu yra beveiligimo priemonių veiksmingumas periodiškai patikrintas, nes patikrinimas be vadovybės sekų yra tik iš dalies tenkintinas atsakymas klientui. Taip pat svarbu, ar jūsų įmonė pati patenka į NIS2 direktyvą, nes tada tai nėra tik jūsų kliento klausimas, bet ir jūsų nuosavoji teisinė pareiga nuo 2026 m. rugpjūčio 15 d., kai įsigalioja Kibernetinio saugumo įstatymas.

Iš kur tai kilę: straipsnis 20 šalia straipsnio 21 NIS2

Direktyvos (ES) 2022/2555 straipsnis 20 reguliuoja administracinių organų atsakomybę ir dalyvavimą, atskirai nuo dešimties materialių priemonių straipsnio 21 2 dalyje; ISO/IEC 27001 Priede A neturi tikslaus ekvivalento, tačiau per normos pagrindinius reikalavimus (5 skirsnys, lyderystė) reikalauja patvirtinto vadovybės dalyvavimo, kuris dažnai pateikiamas kaip atskiras įrodymų dokumentas šalia Priedo A priemonių.