Dužnost zaštite: deset mjera iz članka 21
Što se od vas očekuje u konkretnom smislu, po mjeri — i kako ćete vidjeti da je to uređeno.
Deset tema, nije tehnička lista zahtjeva
Direktiva ne propisuje proizvode niti institucije. Navodi deset tema na koje morate poduzeti odgovarajuće i proporcionalne mjere, a način provedbe prepušta vam. Odgovarajuće i proporcionalno znači: u skladu s vašim rizikom, vašom veličinom i razinom tehnike. Bolnica s tri tisuće zaposlenih radi drugačije od softverske tvrtke sa šezdeset.
To je teže nego lista za provjeru, ali i pravedniji je pristup. Također objašnjava zašto nema certifikata: nema standarda prema kojem bi se moglo dati odobrenje.
Gdje se većina organizacija zapetljava
Nije na tehnologiji. Gotovo svako ima sigurnosne kopije, ažuriranja i politiku zaporki. Gdje se krešće je u dokazivanju: nigdje to nije navedeno, nema odgovornog lica, i nitko ne može pokazati kada je zadnje testirano.
Obveza pažnje ne traži samo da to činite, već da to možete dokazati. To je baš ono što klijent želi vidjeti u svojoj listi pitanja, i ono što nadzorni organ prvi traži.
Početi bez godinu dana trajnog projekta
Počnite s onim što već imate. Za svaku od deset tema: je li uređeno, djelomično, nije, ili nije primjenjivo, i tko je za to odgovoran. To samo po sebi vam daje pregled koji možete pokazati klijentu, i pojašnjava koja dva ili tri stvari zaista trebaju pažnju.
Ono što ne trebate činiti je započeti s mjerenjem na nuli vrijednom više od deset tisuća eura. Prvo sami odgovarajuće izvršite inventuru, pa onda znate za koju vrstu savjeta trebate pomoć.
Često postavljana pitanja
Postoji li NIS2-certifikat?
Ne. Nema institucije koja potvrđuje da zadovoljavate NIS2, a tko to nudi prodaje nešto što ne postoji. Ono što je moguće je dokazivo zabilježiti što ste uređavali, s datumom i dokazom.
Pomaže li ISO 27001 u tome?
Znatno, jer je mnogo od deset tema sadržano u njemu. No nije isto i nije zamjena: NIS2 ima obvezu prijave i obvezu registracije koje se ne pojavljuju u normi.
Koliko često trebam to ažurirati?
Direktiva ne navodi vremenski rok, ali traži da ocijenite učinkovitost. Jednom godišnje i nakon svakog značajnog incidenta je branljiva linija.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.