Žinių bazė

Ką NIS2 reikalauja iš jūsų organizacijos?

Paaiškinta tiems, kurie su tuo susiduria pirmą kartą. Kiekvienas akronimas paaiškinta ten, kur jis naudojamas.

• Ar mano įmonė patenka į NIS2 taikymo sritį? — Du dalykai tai nulemia: jūsų sektorius ir jūsų dydis. Tačiau yra trečia grupė, kuriai tai netaikoma, ir vis tiek gauna reikalavimus.
• Jūsų klientas siunčia kibernetinio saugumo klausimyną — kas dabar? — Jums tai tiesiogiai netaikoma, bet reikalavimus gausite. Kodėl taip atsitinka ir koks yra geras atsakymas.
• Priežiūros pareiga: dešimt priemonių iš 21 straipsnio — Ką konkrečiai iš jūsų tikimasi, pagal kiekvieną priemonę — ir kaip žinoti, kad tai yra sutvarkyta.
• Pranešimo pareiga: 24 valandos, 72 valandos ir mėnuo — Trys momentai, ir nė vienas iš jų nėra pranešimo pareiga per 24 valandas, į kurią dažniausiai nurodoma.
• Kibernetinio saugumo įstatymas: kas galioja Nyderlanduose — Nyderlandų NIS2 įgyvendinimas ir kodėl nėra perimamojo laikotarpio.
• NIS2 ir ISO 27001: koks skirtumas? — Standartas padeda, bet neapima viso. Kur jie sutampa ir kur skiriasi.

Dešimt priemonių iš priežiūros pareigos

21 straipsnio antrasis dalis juos sąrašo nuo a iki j. Iš to susideda dossier ir iš to semiasi jūsų kliento kibernetinio saugumo klausimynas.

1. Incidento valdymas (sub a)
   Dokumentuota rizikos vertinimo sistema apie tai, kas gali nutikti, ir politika, atsakanti į šią riziką. Tai yra pamatas, kuriame remiasi kitos devynios.
2. Incidento tvarkymas (sub b)
   Kaip jūs pastebite, kad kažkas nutinka, kas tada ką daro ir kaip tai dokumentuojate. Taip pat klausimas, kas nusprendžia, ar reikia pranešti.
3. Verslo tęstinumas ir krizės valdymas (sub c)
   Atsarginės kopijos, atkūrimas po atsitraukimo ir kas atsitinka, jei jūsų svarbiausias kompiuterinė sistema yra neveikli savaitę. Įskaitant atkūrimą testą, o ne tik aprašymą.
4. Saugumas tiekimo grandinėje (sub d)
   Jūsų tiekėjų ir paslaugų teikėjų saugumas tiek, kiek jis paveikia jūsų sistemas. Tai yra sąlyga, dėl kurios jūsų patys klientai jums siunčia klausimyną.
5. Saugumas įsigijus, kuriant ir prižiūrint (sub e)
   Kaip jūs įtraukiate saugumą perkant ar kuriant sistemas ir kaip tvarkomos spragos iš karto, kai jos pasidaro žinomos.
6. Veiksmingumo įvertinimas (sub f)
   Matuoti, ar tai, ką jūs sutvarkėte, iš tikro veikia. Be to, priemonių sąrašas lieka sąmata.
7. Pagrindinė higiena ir sąmoningumas (sub g)
   Atnaujinimai, slaptažodžio politika, teisės, kurios ne platesnės nei reikalinga — ir žmonės, kurie žino, į ką turėtų atkreipti dėmesį. Čia priklauso mokymai.
8. Kriptografija ir šifravimas (sub h)
   Kada duomenys šifruojami, persiuntimo metu ir saugojimo metu, ir kokiomis susitarimais.
9. Personalo sauga, prieigos politika ir įmonės turto valdymas (sub i)
   Kas turi prieigą prie ko, kas vyksta išeinant iš darbo, ir kokie iš viso yra įrenginiai bei sistemos.
10. Daugialypė autentifikacija ir saugi komunikacija (sub j)
    Dviejų veiksnių autentifikacija ten, kur ji reikalinga, ir saugi balso, vaizdo bei teksto komunikacija. Taip pat kritinės komunikacijos kanai, jei paprastieji negali veikti.

Kada turite pranešti?

Trys momentai, ir nei vienas iš jų nėra "pranešimas per 24 valandas", į kurį dažnai nurodoma. Tai galioja tik jei patys priklausote įstatymui.

Terminai pradedami nuo momento, kai jūs suvokiate incidentą. Mes ruošiame tekstus; jūs sami turite pateikti per savo reguliatoriaus portalą.