Je li upravitelj osobno odgovoran prema NIS2?
Direktiva NIS2 regulira ne samo ono što organizacija mora učiniti tehnički i organizacijski, već se obraća i samom upravnom tijelu. Direktiva zahtijeva od članova uprave da odobru mjere za upravljanje rizicima, nadziru njihovu provedbu i da se osposobe za rad s njima. To je druga uloga od one IT-odjela ili vanjskog dobavljača, te ta uloga se ne može delegirati.
Vodi li to do osobne odgovornosti pojedinog člana uprave, ovisi o nacionalnom zakonu koji transponira direktivu i o širem korporativnom pravu zemlje u kojoj je organizacija sjedinjena. U Nizozemskoj to prolazi kroz Zakon o kibernetskoj sigurnosti i postojeća pravila o odgovornosti članova uprave za nepravilno upravljanje. Što je točno definirano u tome i što je još uvijek u razvoju, najbolje je razmotriti s pravnikom; ovaj članak opisuje glavnu liniju, ne vašu pojedinačnu situaciju.
Što direktiva zahtijeva od uprave
Obveza brige koja proizlazi iz NIS2-a sastoji se od dva sloja koja se međusobno dopunjuju. Prvi sloj je organizacija: deset mjera koje čine kibernetski dosje, od upravljanja pristupom do upravljanja incidentima. Drugi sloj je uprava: mora poznavati te mjere, odobriti ih i pratiti. To ne znači da član uprave mora razumjeti tehniku u svakom detalju, ali znači da zna koji rizici organizaciji prijete, koji su izbori učinjeni u tom pogledu i jesu li ti izbori poštovani. Tko želi točno znati koje mjere su u pitanju, nalazi pregled na pregledi svih tema NIS2-a.
Zašto se to ne može outsourcati
Posve je uobičajeno da organizacija provedbu sigurnosnih mjera preda IT-dobavljaču, pružatelju upravljanih usluga ili internom stručnjaku za sigurnost. To je dozvoljeno, a za mnoge male i srednje trgovačke organizacije to je i jedini realistični put. Međutim, direktiva pravi razliku između provedbe i odgovornosti. Dobavljač može upravljati vatrozidima, postaviti politiku lozinki ili pokrenuti sigurnosnu kopiju; uprava ostaje osoba koja mora moći dokazati da zna što se zbiva i da je za to namjerno odlučila. Ugovor s dobavljačem regulira provedbu, ne angažiranost uprave koju direktiva zahtijeva.
To se također tiče teme dobavljačkog lanca. Organizacija koja sama pada pod NIS2 mora nadzirati rizike koje donose dobavljači — zato MKB-poduzeća dobivaju liste za provjeru sigurnosti od svojih nalogodavaca. Ista logika vrijedi i prema unutarnjosti: uprava nadzire što vlastita organizacija čini, čak i ako se rad obavlja negdje drugdje.
Što nadzor znači u praksi
Nadzor nije samo potpisivanje dokumenta jednom. Direktiva govori o odobravanju mjera i osposobljavanju, što ukazuje na to da je to tekući proces: povremeno provjeriti jesu li mjere još relevantne, su li provedene i je li se nešto promijenilo što zahtijeva prilagodbu. Za člana uprave bez tehničke pozadine, najjednostavniji oblik obično je stalan pregled: koje mjere postoje, koji je njihov status, tko je vlasnik i koji dokaz joj pripada. Bez takvog registra teško je dokazati nadzor, čak i ako se on faktički dogodio.
Što znamo sigurno, a što ne
Sama direktiva opisuje ulogu uprave na europskoj razini; kako se to točno primjenjuje u zakonu o odgovornosti razlikuje se po zemlji, te nacionalne zakone nisu svugdje konačno doneseni u isto vrijeme. Regulatori izdaju vlastita objašnjenja o tome, a ta objašnjenja mogu se promijeniti. Pratimo to po zemlji i po izvoru, s datumom kada smo vidjeli publikaciju; kako točno funkcionira taj oblik formiranja izvora, objašnjeno je na stranica kako pratimo izvore. Mišljenje o osobnoj odgovornosti određenog člana uprave u određenoj organizaciji najbolje je trebalo tražiti od pravnika ili nadležnog regulatora.
Što možete dokumentirati
Čak i bez potpune pravne sigurnosti oko osobne odgovornosti, postoji praktičan posao koji treba obaviti: dokumentirati koje mjere postoje, tko ih upravlja i kada ih je uprava zadnji put razmotrila. Upravo je to svrha cyber-dosijea — živih registra umjesto jednokratnog izvješća. Želite li prvo saznati jesu li vaša organizacija i sami predmet dužnosti brže ili jesu zahvaćeni kroz lanac opskrbe, tada daje besplatnu NIS2-provjeru odgovor u nekoliko pitanja s prvom procjenom, s objašnjenjem zašto.
Počnite od svoje trenutne pozicije: pregledajte besplatnu NIS2-provjeru ili pretražite bazu znanja kako biste vidjeli koja su područja relevantna za vašu organizaciju.