Baza znanja

Što NIS2 traži od vaše organizacije?

Objašnjeno za one koji se s time prvi put susreću. Svaka kratica bit će objašnjena na mjestu gdje se pojavljuje.

• Spada li moje poduzeće pod NIS2? — Dva čimbenika to određuju: vaš sektor i vaša veličina. Ali postoji treća skupina koja pada izvan nje i zahtjeve ipak dobija.
• Vaš klijent šalje upitnik o sigurnosti — što sada? — Ne podliježete joj sami, ali zahtjeve dobijate. Zašto se to događa, i što je dobar odgovor.
• Dužnost zaštite: deset mjera iz članka 21 — Što se konkretno od vas očekuje, po mjeri — i kako vidite da je to uređeno.
• Dužnost prijave: 24 sata, 72 sata i mjesec dana — Tri trenutka, i nijedan od njih nije dužnost prijave u roku od 24 sata na koju se obično misli.
• Zakon o kibernetskoj sigurnosti: što vrijedi u Nizozemskoj — Nizozemska primjena NIS2, i zašto nema razdoblja postupnog uvođenja.
• NIS2 i ISO 27001: koja je razlika? — Norma pomaže, ali ne pokriva sve. Gdje se preklapaju i gdje ne.

Deset mjera iz dužnosti zaštite

Članak 21, stavak 2 Direktive navodi ih kao a do j. To je ono od čega se dossier sastoji, i na čemu počiva upitnik o sigurnosti vašeg klijenta.

1. Analiza rizika i politika informatičke sigurnosti (pod a)
   Dokumentirana procjena onoga što može biti pogrešno, i politika koja na to odgovara. Ovo je osnova na kojoj se ostalih devet oslanja.
2. Rukovanje incidentima (pod b)
   Kako primijetite da nešto ide po zlu, tko tada što radi, i kako to dokumentirate. Također pitanje tko odlučuje trebala li se prijava dostaviti.
3. Kontinuitet poslovanja i upravljanje krizama (pod c)
   Sigurnosne kopije, oporavak nakon prekida, i što se događa ako vam je ključni sustav tjedan dana van pogona. Uključujući da je oporavak testiran, ne samo opisan.
4. Sigurnost u opskrbnom lancu (pod d)
   Sigurnost vaših dobavljača i davatelja usluga, u mjeri u kojoj se to tiče vaših vlastitih sustava. Ovo je odredba zbog koje vam vaši klijenti sami slanju upitnik.
5. Sigurnost pri nabavi, razvoju i održavanju (pod e)
   Kako sigurnost uključujete pri kupovanju ili razvoju sustava, i kako se ranjivosti obrađuju čim postanu poznate.
6. Procjena učinkovitosti (pod f)
   Mjerenje funkcionira li ono što ste uredili. Bez toga, popis mjera ostaje nakana.
7. Osnovna higijena i svijest (pod g)
   Ažuriranja, politika zaporki, prava koja nisu šira nego što je potrebno — i ljudi koji znaju na što trebaju paziti. Tu spada obuka.
8. Kriptografija i enkripcija (sub h)
   Kada se podaci šifriraju, tijekom prijenosa i pohrane, te s kojim dogovorima.
9. Sigurnost osoblja, politika pristupa i upravljanje poslovnom imovinom (sub i)
   Tko može što, što se događa kada osoba napusti tvrtku, te koji uređaji i sustavi zapravo postoje.
10. Višestruka provjera i osigurana komunikacija (sub j)
    Dvofaktorska provjera gdje je važna, te osigurana govornu, video- i tekstualnu komunikaciju. Također hitna komunikacija ako redoviti kanali propadnu.

Kada morate prijaviti?

Tri trenutka, niti jedan od njih nije "obaveza prijave u roku od 24 sata" na koju se često upućuje. To vrijedi samo ako sami spadate pod zakon.

Rokovi počinju od trenutka kada se postanete svjesni incidenta. Pripremamo tekste; prosljeđivanje vršite sami, putem portala vlastite regulatorne vlasti.