Kas juhid on NIS2 alusel isiklikult vastutavad?
NIS2-direktiiv reguleerib mitte ainult seda, mida organisatsioon tehniliselt ja organisatsiooniliselt peab tegema, vaid pöördub ka otse juhtimuse poole. Direktiiv nõuab juhtidelt, et nad kiidaksid heaks riskide maandamise meetmed, jälgiksid nende rakendamist ja saaksid nende kohta koolitust. See on erinev roll kui IT-osakonna või välise tarnija roll, ja seda rolli ei saa delegeerida.
Kas see toob kaasa üksikjuhi isikliku vastutuse, sõltub direktiivi ülevõtva riiklike seadustest ja suuremast õigusest kasutusse võttev riik, kus organisatsioon on registreeritud. Hollandis käib see läbi küberjulgeoleku seaduse ja kehtivate reeglite kaudu juhtide vastutuse kohta ebaõige juhtimise eest. Mida täpselt selles määratletakse ja mis on veel arenguprotsessis, on parim arutada juristiga; see artikkel kirjeldab peamist joont, mitte teie individuaalset olukorda.
Mida direktiiv juhtidelt nõuab
NIS2-st tulenev hoolsuskohustus koosneb kahest kihist, mis üksteist täiendavad. Esimene kiht on organisatsioon: kümme meetodit, mis moodustavad küberturvalisuse dossiee, pääsujuhtimisest häire käitlemiseni. Teine kiht on juhtkond: ta peab neid meetmeid tundma, heaks kiitma ja jälgima. See ei tähenda, et juhil peab olema tehniline teadmine detaili tasandil, kuid tal peab olema teadmine, millised riskid organisatsioonile esinevad, millised valikud neis on tehtud ja kas neid valikuid järgitakse. Kes täpselt teada, milliseid meetmeid see hõlmab, leiab ülevaate kõigi NIS2 teemade ülevaates.
Miks seda ei saa delegeerida
On igati loomulik, et organisatsioon paihutab turbemeetmete rakendamise IT-tarnijale, hallatavate teenuste pakkujale või sisemisele turvalisuse juhtijale. See on lubatud ja paljude VKE-organisatsioonide jaoks ainus realistlik viis. Kuid direktiiv teeb vahet rakendamise ja vastutavuse vahel. Tarija võib hallata tulemüüri, seada paroolide poliitikat või käivitada varundamist; juhtkond jääb selleks, kes peab suutma näidata, et ta teab, mis toimub ja et ta on selleks teadlikult valinud. Lepingut tarnijaga reguleerib rakendamine, mitte juhtimuse kaasamine, mida direktiiv nõuab.
See puudutab ka hankimisel olevate riskide teemat. Organisatsioon, kes ise NIS2 alla kuulub, peab jälgima riske, mida tarnijad kaasa toovad — sellest tulenes, et VKE-ettevõtted saavad oma tellijatelt turvalisuse küsimustike. Sama loogika kehtib seespool: juhtkond jälgib, mida organisatsioon ise teeb, isegi kui töö ise toimub mujal.
Mida järelevalve praktikas tähendab
Järelevalve pole ühekordsest dokumendi allkirjastamisest. Direktiiv räägib meetmete heakskiitmisest ja koolitusel, mis viitab, et see on korduv protsess: aeg-ajalt vaadata, kas meetmed on endiselt kehtivad, kas neid on rakendatud ja kas midagi on muutunud, mis nõuab kohandamist. Juhi jaoks, kellel pole tehnilist tausta, on kõige praktilisem vorm tavaliselt fikseeritud ülevaade: millised meetmed on, milline on staatus, kes on omanik ja milline tõendus nendega käib kaasa. Ilma sellise registrita on järelevalvet raske tõendada, isegi kui see oli tegelikult toimunud.
Mida me kindlasti ja kindlasti ei tea
Direktiiv ise kirjeldab juhatuse rolli Euroopa tasandil; kuidas see täpselt iga riigi kontekstis avaldub, erineb vastutusõiguse osas riigiti, ja rahvuslik seadusandlus ei ole kõikjal samal ajal lõplik. Järelevalveasutused avaldavad selles küsimuses oma tõlgendusi, ja need tõlgendused võivad muutuda. Jälgime seda iga riigi ja iga allika kohta koos kuupäevaga, millal oleme avaldise näinud; kuidas see allikate moodustamine täpselt toimib, on selgitatud aadressil lehel, kus selgitatakse, kuidas me allikaid jälgime. Konkreetse juhatuse liikme konkreetse organisatsiooni kontekstis vastutusena hindamise küsimuses on õigesti aadresseerituna jurist või pädev järelevalveasutus.
Mida te saate fikseerida
Isegi ilma täieliku juriidilise kindluseta isikliku vastutuse osas saab teha praktilist tööd: fikseerida, millised meetmed on olemas, kes neid haldatavad, ja millal juhatusest viimati neid arutasid. Just selleks on mõeldud küberjulgeoleku fail — alaline register ühekordse aruande asemel. Kui soovite kõigepealt teada, kas teie organisatsioon ise hoolduskohustuse reguleeringute alla kuulub või läbi tarneahela mõjutatusena puutub kokku, siis annab tasuta NIS2-kontroll sellele mõne küsimusega esimese näituse, selgitusega kaasa.
Alustage sealt, kus te praegu olete: vaadake tasuta NIS2-kontrolli või sirvige teadmusbaasi, et näha, millised teemad teie organisatsiooni jaoks asjakohased on.