ποιες είναι οι δέκα μέτρα που πρέπει να λάβω σύμφωνα με το NIS2

Δέκα μέτρα αποτελούν μαζί την υπευθυνότητα φροντίδας

Τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της οδηγίας NIS2 αποτελούν μαζί το ελάχιστο πακέτο με το οποίο ένας οργανισμός εκπληρώνει την υπευθυνότητα φροντίδας. Αφορά: πολιτική για ανάλυση κινδύνου και ασφάλεια συστημάτων πληροφοριών, διαχείριση περιστατικών, συνέχεια της δραστηριότητας και διαχείριση κρίσης (σκεφτείτε διαχείριση αντιγράφων ασφαλείας και ανάκαμψη μετά από έκτακτη ανάγκη), ασφάλεια της αλυσίδας εφοδιασμού, ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση δικτύων και συστημάτων πληροφοριών (συμπεριλαμβανομένης της πολιτικής ευπαθειών), πολιτική και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων, βασική κυβερνοϋγεία και κατάρτιση, πολιτική για κρυπτογραφία και κρυπτογράφηση, ασφάλεια του προσωπικού και πολιτική ελέγχου πρόσβασης, και τη χρήση πολυπλοκής ταυτοποίησης ή συγκρίσιμων λύσεων. Αυτή η απαρίθμηση εμφανίζεται κυριολεκτικά έτσι στην οδηγία και επαναλαμβάνεται στην εθνική της ενσωμάτωση.

Στην Ολλανδία είναι ο Κανόνας Κυβερνοασφάλειας, ο οποίος αναλαμβάνει τα ίδια δέκα σημεία ως υποχρέωση για θεμελιώδεις και σημαντικές οντότητες. Για όσους έχουν να αντιμετωπίσουν αυτές τις απαιτήσεις μέσω ενός πελάτη χωρίς να είναι οι ίδιοι υποχρεωμένοι, είναι χρήσιμο να γνωρίζουν ότι ακριβώς το σημείο σχετικά με την αλυσίδα εφοδιασμού είναι ο λόγος για τον οποίο αξιολογείται η δική ασφάλεια των προμηθευτών. Τα δέκα μέτρα δεν είναι μια λίστα ελέγχου που σημειώνεται μία φορά: στην πράξη ενσωματώνονται σε πολιτική, διαδικασίες και αποδεικτικά στοιχεία, και είναι αυτή η ενσωμάτωση που απαιτεί το περισσότερο χρόνο — δείτε επίσης τι σημαίνει αυτό σε χρόνο και προσπάθεια.

Πού εμφανίζεται αυτό στην οδηγία και τα πρότυπα

Το άρθρο 21 παράγραφος 2 της οδηγίας NIS2 θέτει τα δέκα σημεία ως ελάχιστες απαιτήσεις, και το άρθρο 21 παράγραφος 1 συνδέει με αυτό ότι τα μέτρα πρέπει να είναι "κατάλληλα και ανάλογα" — βασισμένα σε αξιολόγηση κινδύνου, όχι σε σταθερό πρότυπο για όλους. Ο Κανόνας Κυβερνοασφάλειας μεταφράζει αυτή την υποχρέωση στην ολλανδική κατάσταση, και η επεξήγηση του NCSC περιγράφει πώς αυτή η υπευθυνότητα φροντίδας εκπληρώνεται στην πράξη. Πολλά από τα δέκα σημεία επικαλύπτονται ουσιαστικά με τα μέτρα ελέγχου από το Παράρτημα Α του ISO/IEC 27001, το οποίο εξηγεί γιατί οι οργανισμοί με ένα υπάρχον πιστοποιητικό ISO συχνά έχουν ήδη τμήμα του θεμελίου — αν και αυτό από μόνο του δεν είναι εγγύηση ότι και τα δέκα σημεία καλύπτονται πλήρως.