mi a gondossági kötelezettség a NIS2 alatt közérthető nyelven

Tíz konkrét intézbedés a kiberveszélyek kezeléséhez

Az ellátási kötelezettség azt jelenti, hogy egy szervezet megfelelő intézkedéseket tesz hálózata és információs rendszerei védelme érdekében, és tudja igazolni, hogy mely intézkedéseket hozta meg. Nem egyetlen dokumentumról vagy egyetlen jelölőnégyzetről van szó, hanem tíz téma halmazáról, amely együttesen az alapot képezi: a kockázatelemzéstől és irányelvektől kezdve a beszállítók kezeléséig, a titkosításig, a hozzáférés-vezérlésig és az incidens során történtekig. Aki a Kibervédelmi törvény hatálya alá tartozik, mindegyik tíz témában szervezetlenül intézkedéseket hozott — és ezt nem csak papíron, hanem gyakorlatban is.

Fontos részlet: az ellátási kötelezettség nem rögzített lista a kötelező technikai termékekről. A "megfelelő" szó ebben az összefüggésben meghatározó — amit megfelelőnek tartanak egy nagy energiacéghez, az különbözik attól, ami megfelelő egy közepes méretű szoftverforgalmazóhoz. A szervezet mérete, az adatok érzékenysége és az a kockázat, amelyet egy meghibásodás vagy incidens magában rejt, szerepet játszanak. Az mely tíz intézkedést kell meghoznom a NIS2 szerint bemutatja, hogyan néznek ki tartalmilag ezek a témák. Aki már olyan irányítási rendszerrel dolgozik, mint az ISO/IEC 27001, sok ilyen témát felismer a 27001-es melléklet A részében található kontrollokon — azonban ez önmagában nem garancia arra, hogy az ellátási kötelezettség teljesül, ahogy az van-e még szükségem az ISO 27001-re, ha már teljesítem a NIS2 követelményeit.

Ahol ez ered: a NIS2 21. cikk és a Kibervédelmi törvény

Az ellátási kötelezettség és a tíz intézbedés a NIS2-irányelv 21. cikkének 2. bekezdésében található; a Kibervédelmi törvény ezt a kötelezettséget ülteti át magyar jogba az alá tartozó szervezetekre. Az NCSC-től származó tájékoztatás az ellátási kötelezettség és a bejelentési kötelezettség gyakorlati kapcsolatáról is elérhető. Az, hogy egy szervezetnek magának kell-e teljesítenie ezt a kötelezettséget, a sektortól és mérettől függ — ez visszavezethető a hogyan tudom meg, hogy a vállalkozásom a NIS2 hatálya alá tartozik-e.