Povinnost péče: deset opatření z článku 21
Co konkrétně se od vás očekává, za každé opatření — a jak poznáte, že je to vyřešeno.
Deset témat, ne technický seznam požadavků
Směrnice nepředepisuje produkty ani instituce. Stanovuje deset témat, na která musíte přijmout vhodná a přiměřená opatření, a jejich naplnění nechává na vás. Vhodné a přiměřené znamená: v poměru k vašemu riziku, vaší velikosti a stavu techniky. Nemocnice se třemi tisíci lidmi dělá něco jiného než softwarová společnost se šedesáti zaměstnanci.
To je obtížnější než seznam, který se dá odškrtnout, ale také spravedlivější. A vysvětluje, proč neexistuje certifikát: neexistuje norma, proti které by se dalo certifikovat.
Kde se zastavuje většina organizací
Ne na technice. Skoro všichni mají zálohy, aktualizace a zásady pro hesla. Problém se objevuje, když to musíte dokázat: nikde to není zaznamenáno, není tam majitel, a nikdo nemůže ukázat, kdy se to naposledy testovalo.
Povinnost péče požaduje nejen to, že to děláte, ale že to můžete prokázat. A to je přesně to, co chce vidět zákazník ve svém dotazníku a co si toezichthouder vyžádá jako první.
Začít bez ročního projektu
Začněte s tím, co už máte. Pro každé z deseti témat: je to vyřešeno, částečně, ne, nebo se to nevztahuje, a kdo za to odpovídá. Samotno to vám dá obrázek, který můžete ukázat zákazníkovi, a jasně uvidíte, která dvě nebo tři věci opravdu potřebují pozornost.
Měli byste rozhodně nezačínat nulovou analýzou za desítky tisíc eur. Nejdřív si sami udělejte inventuru, pak budete vědět, k jakému poradenství budete potřebovat.
Často kladené otázky
Existuje certifikát NIS2?
Ne. Neexistuje instituce, která by vystavila osvědčení, že splňujete NIS2, a kdo to nabízí, prodává něco, co neexistuje. Co se dá udělat, je prokazatelně zaznamenat, co jste vyřešili, s datem a dokladem.
Pomáhá s tím ISO 27001?
Značně, protože se v ní vyskytuje mnoho z deseti témat. Ale není to totéž a není to náhrada: NIS2 má povinnost hlášení a registrační povinnost, které v normě nejsou.
Jak často mám to aktualizovat?
Směrnice neurčuje termín, ale požaduje, abyste posoudili efektivnost. Jednou ročně a po každém významném incidentu je obhajitelný přístup.
Jedná se o vysvětlení, nikoli o radu ohledně vaší konkrétní situace. secria.eu vaši organizaci neposuzuje a neposkytuje ujištění.