Există o procedură pentru gestionarea incidentelor de securitate?

Gestionarea incidentelor este una dintre cele zece măsuri obligatorii

Da, și această întrebare testează în mod specific a doua dintre cele zece măsuri din articolul 21 alineatul 2 NIS2: "gestionarea incidentelor" este menționată literal alături de analiza riscurilor ca o categorie distinctă. Cine primește această întrebare trebuie nu numai să afirme că există o procedură, ci și să demonstreze ce conține aceasta: cum se raportează un incident, cine se ocupă de acesta, ce pași sunt urmați și cum se înregistrează ceea ce s-a întâmplat. O procedură fără proprietar sau fără pași stabiliți nu va convinge un auditor, chiar dacă documentul există.

Dovada concretă este de obicei o descriere a procesului sau un runbook, care include clasificarea incidentelor (severitate, impact), un punct de raportare sau o persoană de contact, și un pas pentru evaluare după finalizare. Această evaluare nu este decorativă: fără o modalitate stabilită de înregistrare și păstrare a evenimentelor din sisteme,nu există bază pentru a reconstrui un incident sau pentru a dovedi că a fost gestionat. Dacă procedura lipsește, atunci "nu, în curs de dezvoltare" este un răspuns mai onest decât a inventa o procedură care nu există — întrebarea din chestionar se referă la ceea ce există, nu la o intenție.

Cum se leagă aceasta de continuitate și analiza riscurilor

Articolul 21 alineatul 2 menționează cele zece măsuri ca un întreg, iar gestionarea incidentelor nu este izolată de rest. Un incident care afectează prestarea serviciului activează adesea punctul privind copiile de siguranță și o prevedere de urgență pentru restabilirea prestării serviciului; o procedură de gestionare a incidentelor care nu face referire la planul de recuperare este incompletă. De asemenea, gestionarea incidentelor este piesa finală a politicii privind analiza riscurilor și securitatea sistemelor de informații: analiza riscurilor prevede ceea ce poate merge prost, gestionarea incidentelor reglementează ceea ce se întâmplă atunci când merge prost oricum. Un client care întreabă despre procedură verifică deci implicit dacă acestea două se conectează.