Tudásbázis

Mit kíván a NIS2 a szervezetétől?

Elmagyarázva azoknak, akik ezt első alkalommal találkoznak ezzel. Minden rövidítést a helyén magyarázunk meg.

• Érinti az én vállalkozásomat a NIS2? — Két dolog határozza meg: az Ön szektora és mérete. De van egy harmadik csoport, amely nem tartozik rá, mégis megkapja az követelményeket.
• Az Ön ügyfele biztonsági kérdőívet küld — mi a teendő? — Ön maga nem tartozik rá, de az követelmények akkor is Önt érintik. Miért történik ez, és mi a helyes válasz.
• Az irányítási kötelezettség: a tíz intézkedés a 21. cikkből — Mit pontosan vár el Öntől minden intézkedés — és hogyan látja, hogy rendezve van.
• A bejelentési kötelezettség: 24 óra, 72 óra és egy hónap — Három pont, és egyik sem az a 24 órás bejelentési kötelezettség, amelyre általában hivatkoznak.
• A Kiberbiztonsági törvény: mi vonatkozik Hollandiában — A NIS2 holland alkalmazása, és miért nincs átmeneti időszak.
• A NIS2 és az ISO 27001: mi a különbség? — A szabvány segít, de nem fedi le az egészet. Ahol átfednek és ahol nem.

A tíz intézkedés az irányítási kötelezettségből

A irányelv 21. cikkének második bekezdése felsorolja őket a-tól j-ig. Ez az, amiből egy dosszié áll, és amelyre az ügyfele biztonsági kérdőíve támaszkodik.

1. Kockázatelemzés és információbiztonsági politika (a pont)
   Az dokumentált értékelése annak, hogy mi mehet félre, és az a politika, amely erre válaszol. Ez az alap, amelyen a másik kilenc támaszkodik.
2. Incidenskezelés (b pont)
   Hogyan veszi észre, hogy valami nem működik, ki mit csinál majd, és hogyan dokumentálja. Valamint hogy ki dönt a bejelentés szükségességéről.
3. Üzletfolytonosság és válságkezelés (c pont)
   Biztonsági másolatok, helyreállítás egy leállás után, és mi történik, ha a legfontosabb rendszere egy hétig nem működik. Ideértve a helyreállítást, amely tesztelve van, nem csak leírva.
4. Biztonság az ellátási láncban (d pont)
   Szállítói és szolgáltatói biztonsága, amennyiben az saját rendszereire hat. Ez az a rendelkezés, amely miatt saját ügyfelei Önnek küldik a kérdőívet.
5. Biztonság a beszerzésben, fejlesztésben és karbantartásban (e pont)
   Hogyan veszi figyelembe a biztonságot rendszerek vásárlása vagy fejlesztése során, és hogyan kezelik a sebezhetőségeket, amint azok ismertté válnak.
6. A hatékonyság értékelése (f pont)
   Mérje meg, hogy a rendezett intézkedések működnek-e. Enélkül egy intézkedéslistája szándék marad.
7. Alapvető higiénia és tudatosság (g pont)
   Frissítések, jelszóhaus, jogosultságok, amelyek nem tágabbak, mint szükséges — és olyan emberek, akik tudják, mire kell figyelniük. Az oktatás erre kapcsolódik.
8. Kriptográfia és titkosítás (h. alpont)
   Mikor kerülnek az adatok titkosításra, azok továbbítása és tárolása során, és milyen megállapodásokkal.
9. Személyzeti biztonság, hozzáférési szabályzatok és vállalati eszközök kezelése (i. alpont)
   Ki kinek járhat, mi történik, ha valaki kilép a cégtől, és mely eszközök és rendszerek értelmezhető módon megléteznek.
10. Többszörös azonosítás és biztonságos kommunikáció (j. alpont)
    Kétlépcsős azonosítás ahol szükséges, valamint biztonságos hang-, videó- és szöveges kommunikáció. Továbbá vészhelyzeti kommunikáció abban az esetben, ha a szokásos csatornák meghiúsulnak.

Mikor kell bejelentenie?

Három pillanat, és egyik sem az az "24 órán belüli bejelentési kötelezettség", amelyre gyakran utalnak. Ez csak akkor vonatkozik, ha Ön maga tartozik a törvény alá.

Az időhatárok akkor kezdődnek, amikor Ön tudomást szerzett az incidensről. Mi előkészítjük a szövegeket; a bejelentést Ön maga végzi, saját felügyeleti szerve portálján.