Задължението за полагане на разумна дейност: десетте мерки от член 21
Конкретно какво се очаква от вас по всяка мяра — и как да видите че е уредено.
Десет теми, не техническа контролна листа
Директивата не предписва продукти и не предписва институции. Той назовава десет теми, по които трябва да вземете подходящи и пропорционални мерки, и оставя попълването на вас. Подходящо и пропорционално означава: в съответствие с вашия риск, вашия размер и състоянието на техниката. Болница от три хиляди човека действа по-различно от софтуерна компания от шестдесет.
Това го прави по-трудно от контролна листа, но и по-справедливо. И обяснява защо няма сертификат: няма стандарт за проверка.
Където повечето организации попадат в затруднение
Не в техниката. Почти всички имат резервни копия, актуализации и политика на парола. Където погрешва е доказваемостта: никъде не е записано, няма отговорник, и никой не може да покаже кога е направена последната проверка.
Мярката по задължение не само че изисква да го правите, но и че можете да го покажете. Това е именно това, което клиентът иска да вижда в своя въпросник, и това първо иска да поиска контролният орган.
Начало без проект от една година
Начнете с това, което вече имате. За всяка от десетте теми: дали е уредено, частично, не, или неприложимо, и кой е отговорник. Само това вече дава картина, която можете да покажете на клиент, и уточнява кои две или три неща наистина имат нужда от внимание.
Това, което не трябва да правите, е да начнете с измерване от нула в размер на десетки хиляди евро. Направете първо себе си инвентаризацията, тогава ще знаете по какво имате нужда от съвет.
Често задавани въпроси
Съществува ли сертификат по NIS2?
Не. Няма орган, който издава, че отговаряте на NIS2, и всеки, който това предлага, продава нещо, което не съществува. Това, което може, е да документирате доказуемо какво сте уредили, с дата и доказателство.
Помага ли ISO 27001 в това?
Значително, защото много от десетте теми са в него. Но то не е същото и не е замяна: NIS2 има задължение за докладване и задължение за регистрация, които не са в норма.
Колко често трябва да актуализирам това?
Директивата не назовава срок, но изисква да преценявате ефективността. Веднъж годишно и след всеки значителен инцидент е защитаваща се линия.
Това е обяснение, а не съвет за вашата конкретна ситуация. secria.eu не оценява вашата организация и не предоставя гаранция.