jaké politické dokumenty musím mít pro NIS2

Politika vychází z deseti opatření, ne z pevného seznamu

Neexistuje žádný oficiální seznam s názvy dokumentů politiky, které jsou povinné podle NIS2. Co však existuje: deset kategorií opatření, u kterých musí organizace prokázat, jak s nimi zachází, a v praxi se to přeloží do sady dokumentů politiky, kterou vypracuje většina organizací. Mysleme na politiku bezpečnosti informací jako na zastřešující dokument, politiku pro řízení rizik, politiku pro řešení a hlášení incidentů, politiku pro kontinuitu podnikání a správu krizí, politiku pro dodavatele s požadavky na dodavatelský řetězec, politiku přístupu a politiku pro kryptografii a šifrování. Některé organizace přidávají samostatnou politiku pro bezpečnost a vědomí zaměstnanců s přidruženým školením s certifikátem účasti — poslední jmenované je relevantní, protože proč potřebuji certifikát o účasti na školení kybernetické bezpečnosti vysvětlete, co přesně tento důkaz dokazuje.

Důležitější než přesný název každého dokumentu je, aby každý dokument odpovídal opatření po opatření tomu, co se v praxi děje, spolu s důkazním materiálem a někým, kdo za to nese odpovědnost. Dokument politiky, který leží na polici bez vazby na každodenní praxi, má při přezkumu malou hodnotu. Kdo ještě musí zjistit, jaký důkaz se hodí k jakému opatření, najde to zpět v jaký doklad musím dodat pro každé bezpečnostní opatření, a otázka, kdo musí tuto politiku v organizaci spravovat, se řeší v kdo musí být ve své organizaci odpovědný za opatření.

Základna: článek 21 odst. 2 směrnice NIS2

Deset opatření, která slouží jako základ pro dokumenty politiky, jsou uvedena v článku 21 odst. 2 směrnice NIS2, přičemž Zákon o kybernetické bezpečnosti je jeho českou transpozicí. Mnoho organizací navíc používá přílohu A normy ISO/IEC 27001 jako praktické rozdělení na konkrétní realizaci těchto opatření a NCSC vydává pokyny, jak je zásada péče v praxi naplňována.