Az irányítási kötelezettség: a tíz intézkedés a 21. cikkből
Mit konkrét elvárások van Önre, intézkedésenként — és hogyan látja, hogy rendezve van.
Tíz téma, nem technikai követelmények listája
Az irányelv nem előír konkrét termékeket vagy intézményeket. Tíz témakört nevez meg, amelyekben megfelelő és arányos intézkedéseket kell hoznia, és a megvalósítás Önre van bízva. Megfelelő és arányos azt jelenti: az Ön kockázatainak, méretének és a technika aktuális állásának megfelelően. Egy háromezer fős kórház másként jár el, mint egy hatvan fős szoftvercég.
Ez nehezebb, mint egy ellenőrzési lista, de igazságosabb is. És azt is magyarázza, miért nem létezik tanúsítvány: nincs norma, amely alapján hiteleznénk.
Ahol a legtöbb szervezet megakad
Nem a technikai részen. Szinte mindenkinél vannak biztonsági másolatok, frissítések és jelszókezelési szabályzatok. A gond ott kezdődik, hogy ezt igazolható módon kell dokumentálnia: semmilyen rögzítés nincsen, nincs felelős, és senki nem tudja bemutatni, hogy mikor volt az utolsó teszt.
Az ellátási kötelezettség nem csak azt követeli meg, hogy megtegyük, hanem azt is, hogy ezt be tudjuk bizonyítani. Ez pontosan az, amit az ügyfél kérdőívében szeretne látni, és amit a felügyeleti hatóság először kér be.
Indítson el egy évnyi projekt nélkül
Kezdje azzal, amit már meglévőnek tekinthet. A tíz téma mindegyikéről: rendezve van, részben, nem, vagy nem értelmezhető, és ki felel érte. Ez önmagában egy képet ad, amelyet megoszthat az ügyféllel, és világossá teszi, mely két-három dolog igényel valóban figyelmet.
Ne kezdjen el egy több tízezer eurós nullmérésből. Először csinálja meg saját készletezését, majd tudni fogja, milyen tanácsra van szüksége.
Gyakran ismételt kérdések
Létezik NIS2-tanúsítvány?
Nem. Nincs olyan szervezet, amely tanúsítaná, hogy Ön megfelel az NIS2-nek, és aki ezt ajánlja, valami nem létezőt árul. Ami azonban lehetséges, az a megvalósított intézkedések dokumentált rögzítése, dátummal és igazolással.
Segít-e ebben az ISO 27001?
Jelentősen, mert a tíz témából sok benne van. De nem ugyanez és nem helyettesíti: a NIS2-nek van egy bejelentési kötelezettsége és nyilvántartási kötelezettsége, amely a normában nem fordul elő.
Milyen gyakran kell ezt frissítenie?
Az irányelv nem határoz meg határidőt, de megköveteli az efectivitás értékelését. Évente egyszer és minden jelentősnek ítélt incidens után egy indokolt lépés.
Ez magyarázat, nem tanács az Ön saját helyzetéről. A secria.eu nem értékeli az Ön szervezetét, és nem nyújt garanciát.