Η υποχρέωση φροντίδας: οι δέκα μέτρα από το άρθρο 21
Τι ακριβώς αναμένεται από εσάς, ανά μέτρο — και πώς διαπιστώνετε ότι είναι τακτοποιημένο.
Δέκα θέματα, όχι τεχνική λίστα απαιτήσεων
Η Οδηγία δεν προβλέπει συγκεκριμένα προϊόντα και δεν θέτει υποχρεωτικές ρυθμίσεις. Αναφέρει δέκα θέματα για τα οποία πρέπει να λάβετε κατάλληλα και αναλογικά μέτρα, και σας αφήνει να καθορίσετε τον τρόπο εφαρμογής. Κατάλληλο και αναλογικό σημαίνει: σε αναλογία με τον κίνδυνό σας, το μέγεθός σας και την τρέχουσα κατάσταση της τεχνολογίας. Ένα νοσοκομείο τριών χιλιάδων ατόμων ενεργεί διαφορετικά από μια εταιρεία λογισμικού εξήντα ατόμων.
Αυτό το καθιστά δυσκολότερο από μια λίστα ελέγχου, αλλά και δικαιότερο. Και εξηγεί γιατί δεν υπάρχει πιστοποίηση: δεν υπάρχει πρότυπο για να πιστοποιηθείτε έναντι.
Όπου τα περισσότερα οργανισμού αντιμετωπίζουν δυσκολίες
Όχι στην τεχνολογία. Σχεδόν όλοι διαθέτουν αντίγραφα ασφαλείας, ενημερώσεις και πολιτική κωδικών πρόσβασης. Το πρόβλημα προκύπτει στην αποδεικτική τεκμηρίωση: δεν είναι καταγεγραμμένο πουθενά, δεν υπάρχει υπεύθυνος, και κανείς δεν μπορεί να δείξει πότε δοκιμάστηκε τελευταία φορά.
Η υποχρέωση φροντίδας δεν απαιτεί μόνο να το κάνετε, αλλά να μπορείτε να το αποδείξετε. Αυτό είναι ακριβώς αυτό που θέλει να δει ένας πελάτης στη δική του λίστα ερωτήσεων, και αυτό που ένας εποπτικός φορέας ζητάει πρώτα.
Ξεκινήστε χωρίς ένα έργο διάρκειας ενός έτους
Ξεκινήστε από αυτό που έχετε ήδη. Για καθένα από τα δέκα θέματα: είναι τακτοποιημένο, εν μέρει, όχι, ή δεν ισχύει, και ποιος είναι υπεύθυνος. Αυτό μόνο του παρέχει μια εικόνα που μπορείτε να δείξετε σε έναν πελάτη, και καθιστά σαφές ποια δύο ή τρία πράγματα χρειάζονται πραγματική προσοχή.
Αυτό που δεν πρέπει να κάνετε είναι να ξεκινήσετε με μια μέτρηση αναφοράς χιλιάδων ευρώ. Κάντε πρώτα τη δική σας απογραφή, τότε θα ξέρετε για τι συμβουλή έχετε ανάγκη.
Συχνές ερωτήσεις
Υπάρχει πιστοποίηση NIS2;
Όχι. Δεν υπάρχει αρχή που να εκδίδει ότι συμμορφώνεστε με το NIS2, και όποιος το προσφέρει πουλάει κάτι που δεν υπάρχει. Αυτό που είναι δυνατό είναι η τεκμηρίωση αποδεικτικά ότι έχετε τακτοποιήσει τι, με ημερομηνία και αποδεικτικό στοιχείο.
Βοηθάει το ISO 27001 σε αυτό;
Σημαντικά, γιατί πολλά από τα δέκα θέματα περιέχονται σε αυτό. Αλλά δεν είναι το ίδιο και δεν είναι αντικατάσταση: το NIS2 περιλαμβάνει υποχρέωση ειδοποίησης και υποχρέωση εγγραφής που δεν υπάρχουν στο πρότυπο.
Πόσο συχνά πρέπει να το ενημερώσω;
Η Οδηγία δεν θέτει χρονικό διάστημα αλλά ζητάει να αξιολογήσετε την αποτελεσματικότητα. Μια φορά ετησίως και μετά από κάθε σημαντικό περιστατικό είναι μια υπερασπίσιμη γραμμή.
Αυτό είναι εξήγηση, όχι συμβουλή σχετικά με τη δική σας κατάσταση. Το secria.eu δεν αξιολογεί τον οργανισμό σας και δεν παρέχει διασφάλιση.