Co musisz wiedzieć o dziesięciu środkach NIS2?
Dyrektywa NIS2 opisuje dziesięć rodzajów środków, za pomocą których organizacje mogą wykazać swoją cyfrową bezpieczeństwo. Nie chodzi o dziesięć oddzielnych zasad, które musisz zatwierdzić jedną po drugiej, ale o dziesięć obszarów, na których organizacja powinna mieć politykę i procedury. Wielu odbiorców przejmuje te obszary dosłownie do swojej listy pytań dotyczących cyberbezpieczeństwa, ponieważ z kolei muszą wykazać, że ich dostawcy coś w tej sprawie robią.
To, czy dyrektywa ma bezpośrednie zastosowanie do Twojej organizacji, zależy od sektora, w którym działasz, i od Twojej wielkości. Wiele mniejszych firm nie podlega bezpośrednio NIS2, ale otrzymuje pytania mimo to, ponieważ ich klient podlega, a łańcuch musi przesłać pytania dalej. To właśnie różnica między bezpośrednim podleganiem dyrektywie a byciem częścią czyjegoś odpowiedzialności powoduje wiele zamieszania.
O czym dotyczą dziesięć obszarów
Dyrektywa wymienia między innymi analizę ryzyka i politykę bezpieczeństwa informacji, obsługę incydentów, ciągłość biznesu i zarządzanie kryzysowe w przypadku przeszkód, oraz bezpieczeństwo łańcucha dostaw. Ponadto wymienia bezpieczeństwo w zakresie nabywania, rozwoju i konserwacji sieci i systemów informatycznych, politykę oceny skuteczności środków, oraz podstawowe praktyki w zakresie higieny cybernetycznej i szkolenia pracowników w zakresie świadomości. Ostatnie obszary dotyczą polityki dotyczącej kryptografii i szyfrowania, bezpieczeństwa personelu i polityki dostępu, zarządzania zasobami przedsiębiorstwa, oraz korzystania z uwierzytelniania wieloskładnikowego lub podobnych rozwiązań do bezpiecznej komunikacji.
Ważne jest, aby zdać sobie sprawę, że są to obszary polityki, a nie lista kontrolna z jednym prawidłowym wypełnieniem. Firma instalacyjna z dziesięcioma pracownikami prawdopodobnie przedstawi każdy z tych obszarów inaczej i prościej niż dostawca usług IT ze stu pracownikami. Organy nadzoru patrzą na to, czy środki odpowiadają ryzykom związanym z organizacją, a nie na ustalony szablon, który jest taki sam dla wszystkich.
Dlaczego Twój klient to pyta
Jeśli Twój odbiorca podlega NIS2, musi wykazać, że również jego dostawcy zwracają uwagę na te obszary. Dlatego listy pytań często dosłownie przechodzą przez dziesięć obszarów: czy masz procedurę obsługi incydentów, czy używasz uwierzytelniania wieloskładnikowego, czy masz politykę dla swoich dostawców. Dla Ciebie, jako odbiorcy listy pytań, często oznacza to, że te same dziesięć tematów pojawia się w nieco innym sformułowaniu u każdego klienta, który przesyła listę.
To jest również największy praktyczny problem: nie zawartość pytań, ale powtórzenia. Te same informacje o Twojej polityce haseł, procedurze kopii zapasowych i obsługi incydentów są pytane w dziesięciu różnych formatach, z dziesięcioma różnymi portalami. Supplia został zbudowany, aby zmniejszyć to powtarzające się pracę: odpowiadasz na te tematy jeden raz w swoim własnym pliku łańcucha, a system rozpoznaje podobne pytania na liście każdego nowego klienta. Sam potwierdzasz każdą odpowiedź tak lub nie, zanim przejdzie do portalu Twojego klienta; Supplia nic nie ocenia i nigdzie się nie loguje.
Jak uczynić to dla siebie możliwym
Pomaga zacząć nie od samych dziesięciu obszarów, ale od tego, co już masz: politykę haseł, harmonogram kopii zapasowych, listę osób, które mają dostęp do jakich systemów. Wiele z tych dokumentów już istnieje, ale jest rozproszone w folderach i głowach. Ich uporządkowanie jest często większą pracą niż faktyczne wprowadzanie nowych środków. wyjaśnieniach dotyczących poszczególnych zagadnień w bazie wiedzy przechodzi przez dziesięć obszarów jeden po drugim z informacjami o tym, co do nich należy.
Jeśli chcesz szybko wiedzieć, które z tych obszarów wyglądają już w porządku w Twojej sytuacji i które wymagają uwagi, to Ci powiedzie check rozpoznawania w kilka pytań daje pierwszą wskazówkę. Dla tych, którzy chcą wiedzieć, skąd pochodzą informacje na Supplia i jak są prowadzone, wyjaśnia stronie dotyczącej naszej metodologii to.
To, czy NIS2 ma zastosowanie w Pani/Pana konkretnym przypadku i jakie dokładnie środki się z tym wiążą, to kwestia, którą najlepiej przedstawić prawnikowi lub właściwemu organowi nadzoru. Artykuł ten opisuje dyrektywę w ogólnych słowach i nie zastępuje tej porady.
Czy rozpoznaje Pan/Pani pytania, które przesyła Pani/Pana klient, ale najpierw chce Pan/Pani zobaczyć, jak wypełnianie działa w praktyce? Przeczytaj najczęściej zadawane pytania dotyczące wypełniania i składania lub rozpocznij bezpłatne szybkie skanowanie, aby zobaczyć, jakie tematy są istotne dla Pani/Pana firmy.