Hoolsusstandard: kümmekond abinõud artiklist 21
Mis konkretiselt teilt oodatakse, iga meetme kohta — ja kuidas näete, et see on korraldatud.
Kümme teemat, mitte tehniline nõuetete loend
Direktiiv ei määratle tooteid ega institutsioonide seadistust. See nimetab kümmet teemat, mille kohta peate võtma asjakohaseid ja proportsionaalseid meetmeid, ja jätab rakendamise teie otsustada. Asjakohane ja proportsionaalne tähendab: võrdelises seoses teie riskiga, teie mahuga ja tehnika seisuga. Kolmetuhande inimese haigla teeb midagi muud kui kuuekümnehimuline tarkvarafirma.
See muudab selle keerulisemaks kui linnukesekontrolli loend, kuid ka õiglasemaks. Ja see seletab, miks sertifikaati pole: ei ole standarti, millega kinnitada.
Kus enamik organisatsioone takerdub
Mitte tehnikasse. Peaaegu kõigil on varukoopiad, uuendused ja parooliga seotud poliitika. Kus see valesti läheb, on tõendatavaks muutmine: seda pole kuhugi kirja pandud, omanikat pole, ja keegi ei saa näidata, millal see viimati testiti.
Hoolikusplatvorm nõuab mitte ainult seda, et te seda teete, vaid et te saaksite seda näidata. See on ka täpselt see, mida klient oma küsitluses näha tahab, ja mida järelevalvija esmalt taotleb.
Alustamine ilma aastatepikkuse projektita
Alustage sellest, mis teil juba on. Iga kümne teema kohta: kas see on korraldatud, osaliselt, ei ole või ei ole asjakohane, ja kes selle eest vastutab. Juba see annab ülevaate, mida saate kliendile näidata, ja teeb selgeks, millised kaks või kolm asja vajavad tõesti tähelepanu.
Mida te ei tohi teha, on alustamine kümnete tuhandete eurode nullmõõtmisega. Tehke kõigepealt ise inventuur, siis teate, milliste küsimuste osas vajate nõu.
Korduma kippuvad küsimused
Kas NIS2-sertifikaat on olemas?
Ei. Puudub asutus, mis väljastaks kinnitust, et täidate NIS2-nõudeid, ja kes seda pakub, müüb midagi, mis ei ole olemas. Võimalik on aga tõendatavalt fikseerida, mis teil on korraldatud, koos kuupäeva ja tõendustega.
Kas ISO 27001 aitab selles?
Märkimisväärselt, sest paljud kümnest teemast on selles sees. Kuid see pole sama asi ja ei asenda seda: NIS2-s on teatamisplikt ja registreerimisplikt, mis normi sees puuduvad.
Kui tihti pean seda värskendama?
Direktiiv ei nimetagi ajaperioodi, kuid nõuab, et hinnataks tõhusust. Üks kord aastas ja pärast iga märkimisväärset juhtumit on kaitsekeelne joon.
See on selgitus, mitte nõu teie enda kohta. secria.eu ei hinda teie organisatsiooni ega anna kindlustust.