Носи ли управителят лична отговорност по NIS2?
Директива NIS2 не само регулира какво организацията трябва да направи технически и организационно, но се обръща и към управлението. Директивата изисква от членовете на управата да одобрят мерките за управление на риска, да надзирават тяхното изпълнение и да получат обучение по този въпрос. Това е различна роля от тази на ИТ отдела или външния доставчик, и тази роля не може да бъде делегирана.
Дали това води и до лична отговорност на отделния член на управата, зависи от национално право, което прилага директивата, и от по-широкото право на организациите на страната, където е регистрирана организацията. В Нидерландия това се извършва чрез Закона за кибербезопасност и съществуващите правила за отговорност на управата при ненадлежащо управление. Какво е точно установено и какво все още се развива, е най-добре да обсъдите с юрист; тази статия описва основната линия, а не вашата индивидуална ситуация.
Какво директивата иска от управата
Задължението за поддържане на дисциплина, което произтича от NIS2, се състои от два слоя, които се допълват. Първи слой е организацията: десетте мерки, които съставляват киберусловието, от контрол на достъпа до справяне с инциденти. Втори слой е управата: трябва да познава тези мерки, да ги одобри и да ги следи. Това не означава, че член на управата трябва да разбира техниката до детайли, но трябва да знае какви рискове грози организацията, какви избори са направени в това отношение и дали тези избори се спазват. Който е наистина искане на какви мерки се касае, ще намери обзор в обзора на всички теми на NIS2.
Защо това не може да бъде предоставено на трети лица
Обичайно е организацията да възложи изпълнението на мерки за безопасност на ИТ доставчик, управляван доставчик на услуги или вътрешен специалист по безопасност. Това е допустимо, и за много малки и средни организации това е и единственият реалистичен начин. Но директивата прави разлика между изпълнение и отговорност. Доставчик може да управлява защитната стена, да установи политика за пароли или да управлява резервно копие; управата остава тази, която трябва да може да покаже, че знае какво се случва и че е съзнателно избрала да направи това. Договор с доставчик регулира изпълнението, но не и управленското участие, което изисква директивата.
Това също докосва темата на веригата на доставки. Организация, която попада под NIS2, трябва да надзирава рисковете, които доставчиците носят със себе си – затова малки и средни предприятия получават списъци с вопросници за безопасност от своите поръчители. Същата логика се прилага вътре: управата надзирава това, което прави собствената организация, дори ако работата се извършва на друго място.
Какво означава надзор на практика
Надзорът не е въпрос на еднократно подписване на документ. Директивата говори за одобрение на мерките и за обучение, което предполага, че това е повтарящ се процес: периодично преглеждане дали мерките все още са правилни, дали са изпълнени и дали е настъпила промяна, която налага корекция. За член на управата без технически опит, най-практичната форма обикновено е фиксиран обзор: кои мерки има, какво е състоянието, кой е отговорен и какво доказателство отговаря на това. Без такъв регистър е трудно да се покаже надзор, дори ако е действително станал.
Какво знаем и какво не знаем със сигурност
Самата директива описва ролята на управата на европейско ниво; как точно това се случва в правото на отговорност варира в зависимост от страната, и национално законодателство не е везде окончателно в едно и също време. Надзорните органи публикуват своя собствена интерпретация на това, и тази интерпретация може да се промени. Ние следим това по страна и по източник, с датата на публикуване; как точно работи тази работа с източници, е обяснена на страницата за това как следим източници. За преценка на отговорността на конкретен членуват на управление в конкретна организация адвокат или надлежният орган за надзор остават подходящата точка на контакт.
Какво можете да документирате
Дори без пълна правна сигурност относно личната отговорност, има практическа работа, която трябва да се свърши: документиране на кои мерки са внедрени, кой ги управлява и кога управлението е провело последното им преразглеждане. Точно за това е предназначен киберсекюрити досието — живо регистро вместо еднократен доклад. Ако първо искате да знаете дали вашата организация е пряко обхваната от задължението за управление на риска или е засегната през веригата на доставки, то безплатната NIS2-проверка дава първоначална индикация на това с няколко въпроса, с обяснение защо.
Начнете от това, където сте сега: преглеждайте безплатната NIS2-проверка или разгледайте базата от знания, за да видите кои теми са релевантни за вашата организация.