Vai uzņēmumam ir riska analīzes politika un informācijas sistēmu aizsardzības politika?

Risku analīzes politika ir pamats pārējiem deviņiem pasākumiem

Jā, vairumā gadījumu šeit ir kas jāsaka, jo risku analīze ir minēta kā pirmais pasākums NIS2 21. panta 2. punktā un tādējādi ir pamats, uz kura balstās pārējā politika. Jautājums pārbauda ne tikai to, vai pastāv "risku politikas" dokuments, bet arī to, vai uzņēmums sistemātiski novērtē, kuras informācijas sistēmas un procesi ir vulnerabli un kādi pasākumi tiem ir pretim. Klients, kas uzdod šo jautājumu, faktiski vēlas uzzināt, vai drošība ir paredzēta, pamatojoties uz risku novērtējumu, vai tā ir ad hoc.

Praksē šo lauku bieži ir grūti atbildēt ar vienkāršu "jā", jo risku analīze parasti nav atsevišķs politikas dokuments, bet ir savīta ar citiem komponentiem: vai piekļuves politika ir noteikta, ieskaitant uzņēmuma līdzekļu pārvaldību, vai ir process vulnerabilitāšu atklāšanai un novēršanai, un vai drošības pasākumu efektivitāte tiek periodski pārbaudīta. Bez pamatā esošā dokumenta, kas apraksta risku novērtējumu — pat ja tas ir vienkāršs iekšējais pārskats — "jā" šeit nav pamato­jams. Ja šī daļa trūkst, tad "nē" vai "daļēji" ir godīga atbilde, iespējams, ar paskaidrojumu par to, kuras daļas jau ir atliektas.

Kur tas precīzi izriet no 21. panta 2. punkta

Direktīvas (ES) 2022/2555 21. panta 2. punkta a apakšpunkts nosaka "politiku risku analīzei un informācijas sistēmu drošībai" kā pirmo no desmit obligātiem pasākumiem, un tāpēc tas ir visvairāk tieša atsauce uz šo jautājumu. Direktīva pati par sevi nedetalizē, kā jāizveidojas risku analīzei — šo detaļu atstāj nacionālajiem īstenošanas noteikumiem vai standartiem, piemēram, ISO 27001, kas starp citu ir atšķirīgs no šīs politikas jautājuma: skat. vai uzņēmums ir ISO 27001 sertificēts. Tas, kurš vēlas pārbaudīt, vai pats uzņēmums jau ietilpst direktīvas darbības sfērā, to atrod sadaļā vai uzņēmums pats ietilpst NIS2 direktīvā vai tās nacionālajā ieviešanā.