Databáze znalostí

Co vyžaduje NIS2 od vaší organizace?

Vysvětleno pro ty, kteří se s tím setkávají poprvé. Každá zkratka je vysvětlena na místě, kde se objevuje.

Nevíte, zda se vás to týká?

Začněte zde. Tři otázky, žádný účet, a budete vědět, zda jste subjekt kritické důležitosti, důležitý subjekt, nebo zda se požadavky dostanou k vám přes vašeho klienta.

Proveďte bezplatnou kontrolu NIS2

Spadá moje podnikání pod NIS2? — Určují to dvě věci: váš sektor a vaše velikost. Existuje však třetí skupina, která se jí vyhýbá a přesto požadavky dostane.
Váš klient vám pošle bezpečnostní dotazník — co dělat? — Sami se vás to netýká, ale požadavky přesto dostanete. Proč se to děje a jaká je správná odpověď.
Povinnost péče: deset opatření z článku 21 — Co se konkrétně očekává od vás u každého opatření — a podle čeho poznáte, že je to vyřešeno.
Povinnost hlášení: 24 hodin, 72 hodin a jeden měsíc — Tři okamžiky, a žádný z nich není povinnost hlášení do 24 hodin, na kterou se obvykle odkazuje.
Zákon o kybernetické bezpečnosti: co platí v Nizozemsku — Holandské vložení NIS2 a proč neexistuje období postupného zavádění.
NIS2 a ISO 27001: jaký je rozdíl? — Norma pomáhá, ale nepokrývá to všechno. Kde se překrývají a kde ne.

Deset opatření z povinnosti péče

Článek 21, odstavec 2 směrnice je vypočítává jako a až j. Zde se dossier skládá a zde vychází bezpečnostní dotazník vašeho klienta.

Analýza rizik a zásady bezpečnosti informací (pod a)
Zdokumentované posouzení toho, co může jít špatně, a zásady, které na to odpovídají. To je základ, na kterém spočívají ostatní devět.
Řešení incidentů (pod b)
Jak si všimnete, že něco není v pořádku, kdo pak co dělá a jak si to zapisujete. Také otázka, kdo rozhoduje, zda je třeba hlásit.
Kontinuita podnikání a řízení krizí (pod c)
Zálohy, obnova po výpadku a co se stane, pokud váš nejdůležitější systém leží týden. Včetně testované obnovy, nikoli pouze popsané.
Bezpečnost v dodavatelském řetězci (pod d)
Bezpečnost vašich dodavatelů a poskytovatelů služeb, pokud se to týká vašich vlastních systémů. Toto je opatření, kvůli kterému vám vaši vlastní klienti posílají dotazník.
Bezpečnost při nákupu, vývoji a údržbě (pod e)
Jak zahrnujete bezpečnost do nákupu nebo vytváření systémů a jak se nakládá se zranitelnostmi, jakmile jsou známy.
Posouzení účinnosti (pod f)
Měření, zda to, co jste vyřešili, funguje. Bez toho zůstane seznam opatření pouhým úmyslem.
Základní hygiena a zvyšování povědomí (pod g)
Aktualizace, zásady hesel, oprávnění, která nejsou širší než nutné — a lidé, kteří vědí, na co si mají dát pozor. Školení na to navazuje.
Kryptografie a šifrování (sub h)
Kdy jsou data šifrována, při přenosu i při ukládání, a jaké jsou dohody na jejich ochranu.
Bezpečnost zaměstnanců, zásady přístupu a správa firemních prostředků (sub i)
Kdo má přístup k čemu, co se stane, když někdo odejde ze zaměstnání, a jaká zařízení a systémy vůbec existují.
Vícefaktorové ověřování a zabezpečená komunikace (sub j)
Dvoustupňové ověřování tam, kde je to důležité, a zabezpečená hlasová, video a textová komunikace. Také nouzová komunikace, pokud nefungují obvyklé kanály.

Kdy se musíte ohlásit?

Tři momenty, a žádný z nich není "povinnost hlášení do 24 hodin", na kterou se často odkazuje. To platí pouze, pokud sami spadáte pod zákon.

Fáze	Lhůta	Co v tom bude
Včasné varování	24 hodin	První signál: děje se něco vážného, možná úmyslného, možná překračujícího hranice. Více v tom zatím být nemusí.
Hlášení incidentu	72 hodin	První posouzení: závažnost, důsledky a případně stopy o tom, jak k tomu došlo.
Závěrečná zpráva	1 měsíc	Co se stalo, jaká byla příčina, jaká opatření byla přijata a jaké byly přeshraniční důsledky.

Lhůty začínají běžet v okamžiku, kdy se dozvíte o incidentu. Připravujeme texty; podání provádíte sami u portálu vaší vlastní orgánu dohledu.