Ali ima podjetje politiko za analizo tveganja in varnost informacijskih sistemov?

Politika analize tveganja je temelj ostalih devetih ukrepov

Ja, v večini primerov je o tem kaj povedati, saj je analiza tveganja kot prvi ukrep navedena v členu 21(2) direktive NIS2 in je s tem temelj, na katerem počiva ostala politika. Vprašanje ne preizkuša samo tega, ali obstaja dokument »tveganjska politika«, temveč ali podjetje sistematično preveri, kateri informacijski sistemi in procesi so ranljivi, in kateri ukrepi jim nasprotujejo. Naročnik, ki to vprašanje postavlja, torej dejansko želi vedeti, ali je varnost na podlagi ocene tveganja urejena, ali ad hoc.

V praksi je to polje pogosto težko odgovoriti s preprostim ja, ker analiza tveganja običajno ni ločen politični dokument, temveč je prepletena v druge dele: je dostopna politika določena, vključno z upravljanjem premoženja podjetja, ali obstaja postopek za odkrivanje in odpravo ranljivosti, in se učinkovitost varnostnih ukrepov redno preverja. Brez temeljnega dokumenta, ki opisuje oceno tveganja — čeprav je le preprost notranji pregled — »ja« tukaj ni mogoče podpreti. Če ta delček manjka, je »ne« ali »delno« pošten odgovor, morda s pojasnilom, kateri deli že obstajajo.

Kje je to točno iz člena 21(2)

Člen 21(2) točka a) Direktive (EU) 2022/2555 navaja »politiko analize tveganja in varnosti informacijskih sistemov« kot prvo od desetih obveznih ukrepov, in je s tem najbolj direktna ugotovka za to vprašanje. Direktiva sama ne razčleni, kako je treba analizo tveganja organizirati — ta podrobnost je prepuščena nacionalnim pravilom izvajanja ali standardom, kot je ISO 27001, ki je sicer drugače kot to vprašanje politike: glej je podjetje certificirano po ISO 27001. Kdor želi preveriti, ali samo podjetje že spada pod direktivo, to ugotovi pri ali podjetje samo spada pod direktivo NIS2 ali njeno nacionalno preuvedbo.