mely tíz intézkedést kell meghoznom a NIS2 szerint

Tíz intézkedés alkotja együtt a gondossági kötelezettséget

A NIS2-irányelv 21. cikk (2) bekezdésében szereplő tíz intézkedés együttesen képezi azt a minimális csomagot, amellyel egy szervezet teljesíti gondossági kötelezettségét. Ezek a következők: információs rendszerek kockázatelemzésére és biztonságára vonatkozó politika, incidenskezelés, üzletfolytonosság és válságkezelés (például biztonsági mentések kezelése és katasztrófa utáni helyreállítás), az ellátási lánc biztonsága, a hálózati és informatikai rendszerek beszerzése, fejlesztése és karbantartása során alkalmazott biztonság (beleértve a sebezhetőség-kezelési politikát), az intézkedések hatékonyságának értékelésére vonatkozó politika és eljárások, alapvető kibernetikai higiénia és képzések, titkosítás és kódolás politikája, munkavállaló biztonsági és hozzáférési politika, valamint a többtényezős hitelesítés vagy hasonló megoldások alkalmazása. Ez a felsorolás szó szerint az irányelvben található, és visszatükröződik annak nemzeti átültetésében.

Hollandiában ez a Kibertámadások elleni védelem törvénye, amely ugyanezeket a tíz pontot írja elő az alapvető és fontos szervezetek számára. Azok számára, akik egy ügyfél közvetítésével szembesülnek ezekkel a követelményekkel, anélkül hogy maguk is kötelesek lennének, hasznos tudni, hogy kifejezetten az ellátási láncra vonatkozó pont az oka annak, hogy a szállítók saját biztonsági helyzete értékelésre kerül. A tíz intézkedés nem egy egyszeri ellenőrzési lista: a gyakorlatban az politikákká, eljárásokká és bizonyítékokká alakulnak, és ezeknek az elaborációjának megvalósítása igényli a legtöbb időt — lásd még mit jelent ez időben és erőforrásban.

Hol található ez az irányelvben és a szabványokban

A NIS2-irányelv 21. cikk (2) bekezdése a tíz pontot minimumkövetelményként határozza meg, és ugyanez a cikk (1) bekezdése azt írja elő, hogy az intézkedések "megfelelőek és arányosak" kell legyenek — a kockázatértékelésre alapozva, nem egy minden szervezetre érvényes rögzített norma. A Kibertámadások elleni védelem törvénye ezt a gondossági kötelezettséget a holland helyzetre fordítja le, és az NCSC magyarázata leírja, hogyan valósul meg ez a gondossági kötelezettség a gyakorlatban. A tíz pont közül sok tartalmilag átfed az ISO/IEC 27001 A. mellékletében szereplő irányítási intézkedésekkel, amely megmagyarázza, miért van már sok szervezetnek meglévő ISO-tanúsítványa alapján egy része az alapoknak — bár önmagában ez nem garantálja, hogy mind a tíz pont teljes mértékben meg van oldva.