Czy przedsiębiorstwo ma politykę dotyczącą analizy ryzyka i bezpieczeństwa systemów informacyjnych?

Polityka analizy ryzyka jest podstawą dziesięciu pozostałych środków

Tak, w większości przypadków da się tutaj coś powiedzieć, ponieważ analiza ryzyka jest wymieniona jako pierwszy środek w art. 21 ust. 2 dyrektywy NIS2 i stanowi tym samym fundament, na którym opiera się reszta polityki. Pytanie sprawdza nie tylko, czy istnieje dokument "polityka ryzyka", ale czy przedsiębiorstwo systematycznie identyfikuje, które systemy informatyczne i procesy są podatne na zagrożenia oraz jakie środki im się przeciwstawiają. Klient, który to pyta, chce zatem właściwie wiedzieć, czy bezpieczeństwo zostało oparte na ocenie ryzyka, czy jest prowadzone doraźnie.

W praktyce pole to jest często trudne do odpowiedzenia prostym tak, ponieważ analiza ryzyka zwykle nie stanowi oddzielnego dokumentu polityki, ale jest powiązana z innymi składnikami: czy zasady dostępu są określone, w tym zarządzanie zasobami przedsiębiorstwa, czy istnieje proces wykrywania i usuwania luk w bezpieczeństwie, i czy skuteczność środków bezpieczeństwa jest okresowo badana. Bez dokumentu bazowego opisującego ocenę ryzyka — nawet jeśli jest to prosty wewnętrzny przegląd — odpowiedź "tak" tutaj nie może być uzasadniona. Jeśli brakuje tego dokumentu, "nie" lub "częściowo" to uczciwa odpowiedź, ewentualnie z wyjaśnieniem, które elementy już istnieją.

Gdzie dokładnie to wynika z art. 21 ust. 2

Art. 21 ust. 2 lit. a Dyrektywy (UE) 2022/2555 wymienia "politykę analizy ryzyka i bezpieczeństwa systemów informatycznych" jako pierwszy z dziesięciu obowiązkowych środków i stanowi zatem najbardziej bezpośrednie źródło dla tego pytania. Dyrektywa sama w sobie nie precyzuje, jak powinna być skonfigurowana analiza ryzyka — szczegół ten pozostawia się krajowym przepisom wdrażającym lub normom takim jak ISO 27001, która jest zresztą czymś innym niż to pytanie polityczne; zobacz czy przedsiębiorstwo jest certyfikowane zgodnie z ISO 27001. Jeśli chcesz sprawdzić, czy przedsiębiorstwo samo podlega dyrektywie, znajdziesz to w czy przedsiębiorstwo samo podlega dyrektywie NIS2 lub jej krajowemu wdrożeniu.