ποια έγγραφα πολιτικής πρέπει να έχω για το NIS2

Η πολιτική προκύπτει από τα δέκα μέτρα, όχι από έναν σταθερό κατάλογο

Δεν υπάρχει επίσημη λίστα ελέγχου με ονόματα εγγράφων πολιτικής που είναι υποχρεωτικά σύμφωνα με τη NIS2. Αυτό που υπάρχει πράγματι: δέκα κατηγορίες μέτρων για τα οποία ένας οργανισμός πρέπει να είναι σε θέση να αποδείξει πώς αντιμετωπίζονται, και στην πράξη αυτό μεταφράζεται σε ένα σύνολο εγγράφων πολιτικής που ετοιμάζουν οι περισσότεροι οργανισμοί. Σκεφθείτε μια πολιτική ασφάλειας πληροφοριών ως ένα συνολικό έγγραφο, μια πολιτική κινδύνου, μια πολιτική για τη διαχείριση και την αναφορά περιστατικών, μια πολιτική για τη συνέχεια των επιχειρήσεων και τη διαχείριση κρίσεων, μια πολιτική προμηθευτών με απαιτήσεις για την αλυσίδα εφοδιασμού, μια πολιτική πρόσβασης και μια πολιτική για κρυπτογραφία και κρυπτογράφηση. Ορισμένοι οργανισμοί προσθέτουν μια ξεχωριστή πολιτική για την ασφάλεια του προσωπικού και την ευαισθητοποίηση, συνδεδεμένη με μια κατάρτιση με πιστοποιητικό συμμετοχής — το τελευταίο είναι σχετικό διότι γιατί χρειάζομαι πιστοποιητικό παρακολούθησης για κατάρτιση κυβερνοασφάλειας διευκρίνιση τι ακριβώς αποδεικνύει αυτό το πιστοποιητικό.

Πιο σημαντικό από τον ακριβή τίτλο κάθε εγγράφου είναι ότι κάθε κομμάτι ευθυγραμμίζεται μέτρο προς μέτρο με αυτό που συμβαίνει στην πράξη, συνοδευόμενο από ένα στοιχείο απόδειξης και ένα άτομο που είναι υπεύθυνο γι' αυτό. Ένα έγγραφο πολιτικής που κείται στο ράφι χωρίς σύνδεση με τις καθημερινές επιχειρήσεις, έχει μικρή αξία κατά τη διάρκεια μιας αξιολόγησης. Όποιος χρειάζεται ακόμα να μάθει ποια απόδειξη ταιριάζει σε ποιο μέτρο, θα την βρει στο ποιο αποδεικτικό στοιχείο πρέπει να υποβάλω ανά μέτρο ασφάλειας, και το ερώτημα ποιος πρέπει να διαχειριστεί αυτή την πολιτική εντός του οργανισμού θα αντιμετωπιστεί στο ποιος πρέπει να είναι υπεύθυνος μέσα στην οργάνωσή μου για ένα μέτρο.

Βάση: άρθρο 21 παράγραφος 2 της Οδηγίας NIS2

Τα δέκα μέτρα που χρησιμεύουν ως βάση για τα έγγραφα πολιτικής περιέχονται στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, με το Νόμο περί Κυβερνοασφάλειας ως την ολλανδική μεταφορά αυτής. Πολλοί οργανισμοί χρησιμοποιούν επιπλέον το Annex A του ISO/IEC 27001 ως πρακτική διάταξη για να καταστήσουν αυτά τα μέτρα συγκεκριμένα, και το NCSC δημοσιεύει κατευθυντήριες γραμμές σχετικά με τον τρόπο υλοποίησης της υποχρέωσης διαχείρισης κινδύνου στην πράξη.