millised poliitikadokumendid pean mul NIS2 jaoks olema

Poliitika tuleneb kümnest meetmest, mitte fikseeritud nimekirjast

Ametlikku kontrolllisti ei ole, mis määratleks NIS2 alusel kohustusliku poliitikadokumentide nimed. Aga on olemas: kümme meetmete kategooriat, mille puhul peab organisatsioon suutma näidata, kuidas nendega käitutakse, ja praktikas tõlgendub see enamiku organisatsioonide koostatud poliitikadokumentide komplektiks. Mõelge ülekattuvaks infosurveraamistikuks, riskipoliitikaks, juhtumite käsitlemise ja teatamise poliitikaks, ärikontinuumsuse ja kriisijuhtimise poliitikaks, hankijate poliitikaks koos ketijuhtimise nõuetega, juurdepääsupoliitikaks ja krüptograafia ning krüpteerimise poliitikaks. Mõned organisatsioonid lisavad neile personali turvalisuse ja teadlikkuse eraldi poliitika, mis on seotud koolitusel osalemine tõendava tunnistusega — viimane on asjakohane sest miks on mulle vaja osalustõend küberjulgeoleku koolituse jaoks selgitada, mida täpselt see tõend näitab.

Tähtsam kui iga dokumendi täpne pealkiri on see, et iga osa vastab meetme-meetmelt sellele, mis praktikas toimub, koos tõendusdokumendiga ja isikuga, kes selle eest vastutab. Poliitikadokument, mis lauale jääb ilma seoseta igapäevase praktikaga, on auditi korral vähe väärt. Kes peab veel välja selgitama, milline tõend millisele meetmele sobib, leiab selle milline tõendusmaterjal pean ma iga turvameetme kohta esitama, ja küsimus, kes peab organisatsioonis seda poliitika haldama, tuleb kasutusele kes peab minu organisatsioonis vastutama meedetabeme eest.

Alus: NIS2 direktiivi artikkel 21 lõige 2

Kümme meetmet, mis on aluseks poliitikadokumentidele, on NIS2 direktiivi artiklis 21 lõiges 2 sätestatud, kusjuures Cyberbeveiligingswet on selle Hollandi omakssevõtt. Paljud organisatsioonid kasutavad lisaks ISO/IEC 27001 lisa A-t praktilise jaotusena nende meetmete konkreetse rakendamise jaoks, ja NCSC avaldab juhiseid, kuidas kohustust praktikas täidetakse.