Kako pristupiti NIS2 kao MKB, bez da to postane godišnji projekt?
Najbrži put nije pisanje velikog plana, već početak od onoga što već postoji. Većina MKB-tvrtki već ima politiku lozinki, raspored sigurnosnih kopija, popis osoba koje imaju pristup pojedinim sustavima i kontaktnu osobu za IT. To nije potpuna politika kibernetske sigurnosti, ali je to početna točka dosjea: za svaku mjeru zabilježiti što je status, tko je za to odgovoran i koji dokaz pokazuje da se to zaista provodi.
Izgradnja dosjea na ovaj način nije projekt od mjeseci. To je popis koji otvarate danas i koji raste dok radite: jedna mjera je već tu, druga se dodaje ovaj mjesec. Nema trenutka kada je "gotovo", i to nije ni namjera. Obveza zaštite koja proizlazi iz Direktive NIS2 i nacionalnih zakona o njoj nije jednokratna vježba već kontinuirana praksa. Živući registar više odgovara tome nego debelim dokumentom koji nakon dostave nestane u mapi.
Počnite od onoga što već postoji, ne od prazne stranice
Mnoge tvrtke misle da počinju od nule čim padne riječ NIS2. To je rijetko slučaj. Instalacijska tvrtka obično već ima dogovore o tome tko ima pristup sustavima klijenta, odjel za ljudske resurse ima proces povlačenja pristupa pri otkazu, i gotovo svaka tvrtka ima neki oblik sigurnosne kopije, čak i ako nije zabilježena kao "politika sigurnosne kopije". Prvi korak dakle nije pisanje, već inventarizacija: što već radimo, gdje je to zabilježeno, i tko to može dokazati.
Tek nakon toga dolazi pitanje koji dijelovi još nedostaju. To ne štedi samo vremenom, već sprječava i da radite dvostruki posao ili da osmišljate politiku za nešto što je u praksi već dobro uređeno, samo nije vidljivo. Želite li prvo saznati je li vaša organizacija uopće podložna tome, ili je zahvaćena kroz klijenta, to se vidi s nekoliko pitanja gdje otprilike stojite, bez da za to trebate nešto kupiti.
Jedna mjera, jedan status, jedan vlasnik, jedan dokaz
Srž djelatnog dosjea je jednostavna: za svaku mjeru četiri fiksna polja. Status pokazuje je li nešto uređeno, dijelomično uređeno ili tek trebam biti poduzeto. Vlasnik je osoba odgovorna za to, ne nužno sam direktor. Dokaz je ono što dokazuje da mjera postoji: raspored, izvoz iz sustava, potpisani dokument. Bez ta četiri polja dosije ostaje zbirka dobrih namjera; s tim poljima postaje nešto s čim možete odgovoriti i na sigurnosnu listu pitanja od klijenta, jer ne trebate improvizirati već se možete vratiti onome što je već zabilježeno.
Ova struktura dobro funkcionira i zato što ne trebate sve rješavati odjednom. Možete početi od mjera gdje već imate najviše, koje se brzo mogu uređiti, i ostatak razrađivati postupno. Pregled koji su točno mjere koje obveza zaštite očekuje, i što pod to spada, nalazi se u detaljno razrađenim temama po situaciji.
Zašto ovo ide brže nego što zvuči
Dojam da je NIS2 godišnji projekt često nastaje jer ljudi misle u potpunom dokumentu politike koji mora biti gotov odjednom. Živući registar funkcionira obrnuto: počinje mali i nepotpun, a automatski se ažurira pri svakoj promjeni u vašoj organizaciji, jer ionako već radite na toj promjeni. Novi dobavljač, drugi sustav pristupa, novi zaposlenik s pravima upravljanja — svaki trenutak je prirodno polazište za ažuriranje dosjea, umjesto da sve ponavljate jednom godišnje.
Što dosije donosi i što ne
Iz vođenog dosijea proizlaze dokumenti koji vam trebaju: samo pravilo, odgovori na upitnice preuzetnika, te pripravljeni tekstovi za registraciju ili prijavu nadzornom tijelu. Tu prijavu ili registraciju trebate sami podnijeti na portalu vašeg nadzornog tijela; dosije to priprema, ali ne preuzima podnošenje. Dosije također nije zamjena za reviziju, test penetracije ili certifikaciju — to ostaje posao specijaliziranih strana, kao i odgovor na incident ako se nešto doista dogodi.
Tko želi točno znati kako takav dosije nastaje i koje se izvore pri tome koriste, pročitat će to na stranici o odakle dolaze informacije u platformi. Za situaciju u vašoj vlastitoj organizaciji, s pripadajućim zakonskim posljedicama, odvjetnik ili mjerodavno nadzorno tijelo ostaju prikladan kontakt.
Želite li vidjeti gdje se vaša organizacija trenutno nalazi, tada obavite besplatnu provjeru NIS2 ili pregledajte teme koje se najviše poklapaju s vašom situacijom.