ποια είναι η υπευθυνότητα διαχείρισης κάτω από το NIS2 σε απλά λόγια

Δέκα συγκεκριμένα μέτρα για τη διαχείριση κινδύνων διακοπής των δικτύων και πληροφοριών

Η υποχρέωση φροντίδας σημαίνει ότι ένας οργανισμός λαμβάνει κατάλληλα μέτρα για την προστασία των δικτύων και συστημάτων πληροφοριών του, και ότι μπορεί να αποδείξει ποια μέτρα είναι αυτά. Δεν πρόκειται για ένα έγγραφο ή ένα απλό κουτάκι ελέγχου, αλλά για ένα σύνολο δέκα θεμάτων που αποτελούν μαζί τη βάση: από ανάλυση κινδύνου και πολιτική έως διαχείριση προμηθευτών, κρυπτογράφηση, έλεγχος πρόσβασης και ό,τι συμβαίνει κατά τη διάρκεια ενός περιστατικού. Όποιος υπόκειται σε υποχρέωση σύμφωνα με το νόμο περί κυβερνοασφάλειας πρέπει να έχει οργανώσει κάτι σε καθένα από αυτά τα δέκα θέματα — και αυτό όχι μόνο στο χαρτί, αλλά και στην πράξη.

Σημαντική λεπτομέρεια: η υποχρέωση φροντίδας δεν είναι ένας σταθερός κατάλογος υποχρεωτικών τεχνικών προϊόντων. Η λέξη «κατάλληλα» είναι καθοριστική σε αυτό — αυτό που είναι κατάλληλο για μια μεγάλη εταιρεία ενέργειας διαφέρει από αυτό που είναι κατάλληλο για έναν μεσαίου μεγέθους προμηθευτή λογισμικού. Το μέγεθος του οργανισμού, η ευαισθησία των δεδομένων και ο κίνδυνος που ενέχει μια διακοπή ή ένα περιστατικό παίζουν ρόλο. Μια επισκόπηση του ποιες είναι οι δέκα μέτρα που πρέπει να λάβω σύμφωνα με το NIS2 δείχνει πώς αυτά τα θέματα φαίνονται περιεχόμενα. Όποιος εργάζεται ήδη με ένα σύστημα διαχείρισης όπως το ISO/IEC 27001 αναγνωρίζει πολλά από αυτά τα θέματα και πάλι στα μέτρα ελέγχου του Παραρτήματος A — αν και αυτό από μόνο του δεν είναι εγγύηση ότι η υποχρέωση φροντίδας έχει εκπληρωθεί, όπως επίσης εξηγείται στο χρειάζομαι ακόμα ISO 27001 αν ήδη συμμορφώνομαι με το NIS2.

Από όπου προέρχεται αυτό: άρθρο 21 NIS2 και ο νόμος περί κυβερνοασφάλειας

Η υποχρέωση φροντίδας και τα δέκα μέτρα περιγράφονται στο άρθρο 21, παράγραφος 2 της Οδηγίας NIS2· ο νόμος περί κυβερνοασφάλειας μεταφέρει αυτή την υποχρέωση στο ολλανδικό δίκαιο για τους οργανισμούς που εμπίπτουν σε αυτό. Η NCSC παρέχει επιπλέον πληροφορίες σχετικά με το πώς η υποχρέωση φροντίδας και η υποχρέωση ενημέρωσης συνδέονται στην πράξη. Το ερώτημα του εάν ένας οργανισμός πρέπει να συμμορφωθεί με αυτή την υποχρέωση εξαρτάται από τον τομέα και το μέγεθος — αυτό μπορεί να προσδιοριστεί μέσω του πώς ξέρω αν η επιχείρησή μου υπάγεται στο NIS2.