Jak přistoupit k NIS2 jako malý nebo střední podnik, bez toho aby to trvalo rok?
Nejrychlejší cesta není napsat velký plán, ale začít s tím, co již máte. Většina malých a středních podniků má již zásady pro hesla, plán zálohování, seznam osob s přístupem k jednotlivým systémům a kontaktní osobu pro IT. To není úplná dokumentace kybernetické bezpečnosti, ale je to výchozí bod pro dokumentaci: pro každé opatření zaznamenat jeho stav, kdo za něj odpovídá a jaký důkaz ukazuje, že se skutečně provádí.
Dokumentaci vytvářenou tímto způsobem není projekt na měsíce. Je to seznam, který dnes otevřete a který se rozrůstá během vaší práce: jedno opatření je již vyřešeno, další přijde tento měsíc. Není žádný moment, kdy by byl "hotov", a to ani není cíl. Povinnost péče vyplývající z směrnice NIS2 a příslušných národních právních předpisů není jednorázová cvičení, ale průběžná praxe. Živý registr se zde hodí lépe než obsáhlý dokument, který po předání zmizí do složky.
Začněte s tím, co již máte, ne s prázdnou stránkou
Mnoho podniků si myslí, že začínají od nuly, jakmile se objeví slovo NIS2. To je zřídka případ. Instalační firma má obvykle již dohodnuté, kdo má přístup k systémům svých klientů, oddělení lidských zdrojů má postup pro odvolání přístupu při odchodu zaměstnance, a téměř každá firma má nějakou formu zálohování, i když není zapsaná jako "zásada zálohování". Prvním krokem tedy není psaní, ale inventarizace: co již děláme, kde je to zaznamenáno a kdo to může prokázat.
Teprve poté následuje otázka, které součásti chybí. To nejen šetří čas, ale také brání tomu, abyste nedělali stejnou práci dvakrát nebo nezpracovávali zásady pro něco, co je v praxi již dobře vyřešeno, jen ještě není viditelné. Chcete-li nejdříve vědět, zda je vaše organizace vůbec postižena, nebo se dotkne prostřednictvím klienta, lze to vidět několika otázkami kde se zhruba nacházíte, aniž byste za to museli něco nakupovat.
Jedno opatření, jeden stav, jeden vlastník, jeden důkaz
Jádro funkční dokumentace je jednoduché: čtyři pevná pole pro každé opatření. Stav ukazuje, zda je něco vyřešeno, částečně vyřešeno nebo má být ještě provedeno. Vlastník je osoba odpovědná, ne nutně sám ředitel. Důkaz je to, co prokazuje existenci opatření: plán, export ze systému, podepsaný dokument. Bez těchto čtyř polí zůstává dokumentace sbírkou dobrých úmyslů; s těmito poli se stane něčím, s čím můžete odpovídat na bezpečnostní dotazník od klienta, protože nemusíte improvizovat, ale můžete se vrátit k tomu, co je již zaznamenáno.
Tato struktura také funguje hezky, protože nemusíte řešit všechno najednou. Můžete začít s opatřeními, pro která máte již největší podklad, která se dají rychle uvést do pořádku, a zbytek řešit postupně. Přehled toho, která opatření povinnost péče přesně očekává a co do nich patří, najdete v podrobně zpracovaných tématech pro jednotlivé situace.
Proč to jde rychleji, než to zní
Dojem, že NIS2 je projekt na rok, vzniká často proto, že lidé přemýšlejí v termínech úplného dokumentu zásad, který musí být hotov najednou. Živý registr funguje opačně: začíná malý a neúplný a je automaticky aktualizován při každé změně ve vaší organizaci, protože se tím již zabýváte. Nový dodavatel, jiný systém přístupu, nový zaměstnanec s právy správce — každý moment je přirozeným bodem kontaktu pro aktualizaci dokumentace, místo aby se jednou ročně vše znovu zpracovávalo.
Co dokumentace přináší a co ne
Z vedení registru vyplývají dokumenty, které potřebujete: samotná politika, odpovědi na dotazníky od odběratelů a připravené texty pro registraci nebo hlášení orgánu dohledu. Toto hlášení nebo registraci musíte sami podat prostřednictvím portálu vašeho orgánu dohledu; registr vás na to připraví, ale podání nenahradí. Registr také není náhradou za audit, penetrační test nebo certifikaci — to zůstává prací specializovaných subjektů, stejně jako řešení incidentů, pokud se něco skutečně stane.
Kdo chce přesně vědět, jak takový registr vzniká a jaké zdroje se přitom používají, přečte si to na stránce odkud pocházejí informace na platformě. Pro situaci vaší vlastní organizace spolu s příslušnými právními důsledky zůstává právník nebo příslušný orgán dohledu vhodným kontaktem.
Chcete-li vidět, kde se vaše organizace v současné době nachází, proveďte si bezplatnou kontrolu NIS2 nebo si prohlédněte témata, která se nejvíce shodují s vaší situací.