A NIS2 hatálya alá tartozó szervezet vezetője személyesen felelős?
Az NIS2-irányelv nem csak azt szabályozza, hogy egy szervezetnek mit kell technikai és szervezeti szempontból tennie, hanem magát az irányítást is érinti. Az irányelv az igazgatóktól azt követeli, hogy jóváhagyják a kockázatkezelési intézkedéseket, felügyeljenek azok végrehajtása felett, és abban képzésben részesüljenek. Ez más szerepkör, mint az informatikai osztály vagy egy külső szállító szerepe, és ez a szerepkör nem delegálható.
Az, hogy ez egyéni igazgató személyes felelősségéhez vezet-e, az irányelvet átültető nemzeti törvénytől és az adott ország tágabb cégirányítási jogától függ, ahol a szervezet működik. Hollandiában ez a Cyberbeveiligingswet és a nem megfelelő irányítással kapcsolatos meglévő igazgatói felelősségi szabályok útján valósul meg. Azt, hogy pontosan mi van rögzítve és mi még fejlesztés alatt áll, legjobb jogi tanácsadóval megbeszélni; jelen cikk a fővonalat írja le, nem az Ön egyedi helyzetét.
Az irányelv által az irányítástól követelt elvárások
Az NIS2-ből következő gondossági kötelezettség két egymást kiegészítő rétegből áll. Az első réteg a szervezet: a tíz intézkedés, amely a cyberdossziét alkotja, a hozzáférés-szabályozástól az incidens-kezeléséig. A második réteg az irányítás: ismerni kell ezeket az intézkedéseket, jóvá kell hagynia azokat, és követnie kell azokat. Ez nem azt jelenti, hogy az igazgatónak részletekig meg kell értenie a technikát, hanem azt, hogy tudnia kell, milyen kockázatoknak van kitéve a szervezet, milyen választások történtek emiatt, és hogy azok a választások betartódnak-e. Aki pontosan tudni szeretné, mely intézkedésekről van szó, a következőben talál áttekintést: az összes NIS2-téma áttekintésében.
Miért nem lehet ezt kiszervezni
Teljesen szokásos, hogy egy szervezet a biztonsági intézkedések végrehajtását egy informatikai szállítóra, felügyelt szolgáltatásbeszerzőre vagy belső biztonsági tisztviselőre bízza. Ez megengedett, és számos kkv-szervezet számára ez az egyetlen reális megoldás. Az irányelv azonban különbséget tesz a végrehajtás és a felelősség között. Egy szállító kezelheti egy tűzfalat, beállíthat egy jelszavak kezelésére vonatkozó szabályzatot vagy futtathat egy biztonsági mentést; az irányítás marad az, akinek meg kell tudnia mutatni, hogy tudja, mi játszódik le, és hogy tudatosan döntött így. Egy szállítóval kötött szerződés a végrehajtást rendezi, nem pedig azt az irányítási részvételt, amelyet az irányelv követel.
Ez az ellátási lánc témáját is érinti. Az NIS2 alá tartozó szervezetnek felügyelnie kell a szállítók által jelentett kockázatokat – ezért kapnak az kkv-vállalatok biztonsági kérdőíveket az megbízóik részéről. Ugyanez a logika alkalmazandó befelé: az irányítás felügyeli, amit a saját szervezet tesz, még akkor is, ha a munkát máshol végzik.
Mit jelent a gyakorlatban a felügyelet
A felügyelet nem az egyszer aláírt dokumentumról szól. Az irányelv az intézkedések jóváhagyásáról és képzésről szól, ami arra utal, hogy ez egy visszatérő folyamat: időszakonként ellenőrizni, hogy az intézkedések még helyesek-e, hogy végre lettek-e hajtva, és hogy történt-e olyan változás, amely módosítást igényel. Egy technikai háttérrel nem rendelkező igazgató számára a legmegvalósíthatóbb forma általában egy rögzített áttekintés: melyek az intézkedések, mi az állapot, ki az tulajdonos, és melyik bizonyíték tartozik hozzá. Egy ilyen nyilvántartás nélkül a felügyeleti gyakorlat nehéz igazolni, még akkor is, ha ténylegesen megtörtént.
Amit tudunk és nem tudunk biztosan
Az irányelv maga az irányítás szerepét európai szinten írja le; hogy ez pontosan hogyan érvényesül az anyagi jogi felelősségben, az országonként eltérő, és a nemzeti jogszabályok nem mindenütt ugyanabban az időben véglegesek. A felügyeleti hatóságok ebben saját értelmezéseket tesznek közzé, és ezek az értelmezések változhatnak. Ezt országonként és forrásonként nyomon követjük az olyan dátummal, amelyen láttuk a publikációt; hogyan működik pontosan ez a forrásfeldolgozás, az alábbiakban olvasható: az oldal arról, hogyan követjük nyomon a forrásokat. Egy adott szervezet adott vezetőjének felelősségéről hozott ítélet tekintetében egy jogász vagy a megfelelő felügyeleti hatóság az helyes kapcsolattartó.
Mit is rögzíthet
Bár nincs teljes jogi biztonság a személyes felelősséggel kapcsolatban, praktikus munka végezhető: rögzítse, mely intézkedések léteznek, ki kezeli azokat, és mikor tárgyalta azokat utoljára a vezetés. Pontosan erre szolgál a kibervédelmi dossié — élő nyilvántartás az egyszeri jelentés helyett. Ha előbb szeretne arról tudni, hogy szervezete közvetlenül a gondossági kötelezettség alá tartozik-e, vagy az ellátási láncon keresztül érintett-e, akkor a ingyenes NIS2-ellenőrzés néhány kérdésben ad egy első jelzést, magyarázattal együtt, hogy miért.
Kezdje ott, ahol most van: nézze meg az ingyenes NIS2-ellenőrzést, vagy böngésszen a tudásbázisban, hogy lássa, mely témák relevánsak szervezete számára.