Ο διευθυντής είναι προσωπικά υπεύθυνος δυνάμει της NIS2;
Η Οδηγία NIS2 δεν ρυθμίζει μόνο το τι πρέπει να κάνει μια οργάνωση από τεχνική και οργανωτική άποψη, αλλά απευθύνεται και στη διοίκηση. Η οδηγία απαιτεί από τους διοικούντες να εγκρίνουν τα μέτρα διαχείρισης κινδύνου, να επιτηρούν την υλοποίησή τους και να λαμβάνουν εκπαίδευση γι' αυτά. Αυτός είναι ένας διαφορετικός ρόλος από αυτόν του τμήματος IT ή ενός εξωτερικού προμηθευτή, και δεν μπορεί να ανατεθεί.
Το κατά πόσον αυτό οδηγεί επίσης στην προσωπική ευθύνη ενός μεμονωμένου διοικούντος εξαρτάται από το εθνικό νόμο που υλοποιεί την οδηγία και από το ευρύτερο εταιρικό δίκαιο της χώρας στην οποία είναι εγκατεστημένη η οργάνωση. Στην Ολλανδία, αυτό διέπεται από τον Νόμο περί Κυβερνοασφάλειας και τους υφιστάμενους κανόνες σχετικά με την ευθύνη των διοικούντων για ακατάλληλη διοίκηση. Τι ακριβώς ορίζεται σε αυτό και τι βρίσκεται ακόμη σε εξέλιξη, είναι καλύτερο να το συζητήσετε με έναν νομικό. αυτό το άρθρο περιγράφει τις κύριες γραμμές, όχι την ατομική σας κατάσταση.
Τι ζητά η οδηγία από τη διοίκηση
Η υποχρέωση προσοχής που προκύπτει από τη NIS2 αποτελείται από δύο στρώματα που αλληλοσυμπληρώνονται. Το πρώτο στρώμα είναι η οργάνωση: τα δέκα μέτρα που συνθέτουν το κυβερνητικό δοσιέ, από την έλεγχο πρόσβασης έως τη διαχείριση περιστατικών. Το δεύτερο στρώμα είναι η διοίκηση: πρέπει να γνωρίζει αυτά τα μέτρα, να τα εγκρίνει και να τα ακολουθεί. Αυτό δεν σημαίνει ότι ένας διοικούντας πρέπει να κατανοήσει μόνος του τα τεχνικά στοιχεία αναλυτικά, αλλά ότι γνωρίζει ποιοι κίνδυνοι απειλούν την οργάνωση, ποιες επιλογές έχουν γίνει και αν αυτές οι επιλογές τηρούνται. Όποιος θέλει να γνωρίζει ακριβώς ποια μέτρα αφορούν, θα βρει ένα σύνοψη σε το σύνοψη όλων των θεμάτων NIS2.
Γιατί αυτό δεν μπορεί να ανατεθεί
Είναι πολύ φυσιολογικό για μια οργάνωση να ανατίθει την εκτέλεση μέτρων ασφάλειας σε έναν προμηθευτή IT, έναν πάροχο διαχειριζόμενων υπηρεσιών ή έναν εσωτερικό υπεύθυνο ασφάλειας. Αυτό επιτρέπεται και για πολλές οργανώσεις μικρομεσαίων επιχειρήσεων είναι επίσης ο μόνος ρεαλιστικός τρόπος. Αλλά η οδηγία κάνει διάκριση μεταξύ της εκτέλεσης και της ευθύνης. Ένας προμηθευτής μπορεί να διαχειριστεί ένα τείχος προστασίας, να θεσπίσει μια πολιτική κωδικού πρόσβασης ή να εκτελέσει ένα αντίγραφο ασφαλείας. η διοίκηση παραμένει αυτή που πρέπει να είναι σε θέση να αποδείξει ότι γνωρίζει τι συμβαίνει και ότι έχει επιλέξει συνειδητά. Ένα συμβόλαιο με έναν προμηθευτή ρυθμίζει την εκτέλεση, όχι την εμπλοκή της διοίκησης που ζητά η οδηγία.
Αυτό αφορά επίσης το θέμα της αλυσίδας α供ής. Μια οργάνωση που πέφτει η ίδια κάτω από τη NIS2 πρέπει να επιτηρεί τους κινδύνους που φέρουν οι προμηθευτές — γι' αυτό οι επιχειρήσεις μικρομεσαίες λαμβάνουν ερωτηματολόγια ασφάλειας από τους ανάδοχοί τους. Η ίδια λογική ισχύει εσωτερικά: η διοίκηση επιτηρεί αυτό που κάνει η ίδια η οργάνωση, ακόμα κι αν το έργο γίνεται αλλού.
Τι σημαίνει στην πράξη η επιτήρηση
Η επιτήρηση δεν είναι θέμα της υπογραφής ενός εγγράφου μια και για πάντα. Η οδηγία μιλά για έγκριση των μέτρων και εκπαίδευση, που υποδηλώνει ότι πρόκειται για μια επαναλαμβανόμενη διαδικασία: περιοδικά να εξετάζονται αν τα μέτρα εξακολουθούν να ισχύουν, αν έχουν εφαρμοστεί και αν κάτι έχει αλλάξει όπου απαιτείται προσαρμογή. Για έναν διοικούντα χωρίς τεχνικό υπόβαθρο, η πιο πρακτική μορφή είναι συνήθως ένας σταθερός κατάλογος: ποια μέτρα υπάρχουν, ποια είναι η κατάσταση, ποιος είναι ο ιδιοκτήτης και ποιο είναι το αποδεικτικό στοιχείο. Χωρίς ένα τέτοιο μητρώο, η επιτήρηση είναι δύσκολο να αποδειχθεί, ακόμα κι αν έγινε στην πράξη.
Τι γνωρίζουμε σίγουρα και τι όχι
Η ίδια η οδηγία περιγράφει τον ρόλο της διοίκησης σε ευρωπαϊκό επίπεδο. πώς αυτό προσγειώνεται ακριβώς στο δίκαιο της ευθύνης διαφέρει ανά χώρα, και η εθνική νομοθεσία δεν είναι οπουδήποτε τελικοποιημένη στο ίδιο χρονικό διάστημα. Οι αρχές εποπτείας δημοσιεύουν τη δική τους ερμηνεία και αυτή η ερμηνεία μπορεί να αλλάξει. Παρακολουθούμε αυτό ανά χώρα και ανά πηγή, με την ημερομηνία κατά την οποία είδαμε μια δημοσίευση. πώς λειτουργεί αυτή η σχηματοποίηση πηγών εξηγείται σε τη σελίδα σχετικά με τον τρόπο που παρακολουθούμε τις πηγές. Για μια αξιολόγηση της ευθύνης ενός συγκεκριμένου διευθυντή σε έναν συγκεκριμένο οργανισμό, ο κατάλληλος διαλόγος είναι με έναν νομικό ή την αρμόδια εποπτική αρχή.
Τι μπορείτε να τεκμηριώσετε
Ακόμη και χωρίς πλήρη νομική βεβαιότητα σχετικά με την προσωπική ευθύνη, υπάρχει πρακτικό έργο που πρέπει να γίνει: τεκμηρίωση των μέτρων που υπάρχουν, ποιος τα διαχειρίζεται και πότε τα συζήτησε για τελευταία φορά η διοίκηση. Αυτό ακριβώς είναι το σκοπό του κυβερνοφάκελο — ένα ζωντανό αρχείο αντί για μια εφάπαξ έκθεση. Αν θέλετε πρώτα να γνωρίσετε αν ο οργανισμός σας υπόκειται απευθείας στην υποχρέωση φροντίδας ή επηρεάζεται μέσω της αλυσίδας εφοδιασμού, ή ο δωρεάν έλεγχος NIS2 σας δίνει σε λίγες ερωτήσεις μια πρώτη ένδειξη, με εξήγηση του λόγου.
Ξεκινήστε από το σημείο όπου είστε τώρα: δείτε τον δωρεάν έλεγχο NIS2 ή περιηγηθείτε την τράπεζα γνώσης για να δείτε ποια θέματα είναι σχετικά για τον οργανισμό σας.