Priežiūros pareiga: dešimt priemonių iš 21 straipsnio
Kas konkrečiai iš jūsų tikimasi, pagal kiekvieną priemonę — ir kaip matyti, kad tai sutvarkyta.
Dešimt temų, ne techninio reikalavimo sąrašas
Direktyva nenumato konkrečių produktų ir nenustatymų. Ji nurodo dešimt temų, kurioms turite imtis tinkamų ir proporcingų priemonių, o jų įgyvendinimą palieka jums. Tinkama ir proporcinga reiškia: atsižvelgiant į jūsų riziką, jūsų dydį ir technologijos būseną. Treitūstantis žmonių ligoninė daro kažką kitaip nei šešiasdešimties žmonių programinės įrangos įmonė.
Tai sudėtingiau nei kontrolinis sąrašas, bet ir teisingiau. Ir tai paaiškina, kodėl nėra sertifikato: nėra standarto, pagal kurį patvirtinti.
Kur dauguma organizacijų užstrigsta
Ne technologijoje. Beveik visi turi atsargines kopijas, atnaujinimus ir slaptažodžių politiką. Klaida atsiranda jį įrodant: jis niekur nenustatytas, jo niekas nesavininkauja, ir niekas negali parodyti, kada jis buvo paskutinį kartą išbandytas.
Priežiūros pareiga reikalauja ne tik to, kad jūs tai darytumėte, bet ir kad galėtumėte tai parodyti. Tai yra lygiai tai, ką klientas nori matyti savo klausimyne, ir tai yra pirmas dalykas, kurį prašo prižiūrėtoja.
Pradėkite be metų projekto
Pradėkite nuo to, ką jau turite. Kiekvienai iš dešimties temų: tai sutvarkyta, iš dalies, ne, ar netaikoma, ir kas už tai atsakingas. Vien tik tas jau duoda vaizdą, kurį galite parodyti klientui, ir aiškiai nurodo, kurie du ar trys dalykai tikrai reikalingi dėmesio.
Ką jūs neturėtumėte daryti, tai pradėti nuo dešimties tūkstančių eurų nulinės linijos. Pirmiausia atlikite inventorinę apskaitą pats, tada žinote, dėl ko jums reikalingas patarimas.
Dažnai užduodami klausimai
Ar yra NIS2 sertifikatas?
Ne. Nėra institucijos, kuri patvirtina, kad jūs atitinkate NIS2, ir kas tai siūlo, parduoda tai, ko nėra. Tai, ką galima daryti, yra įrodytai dokumentuoti tai, ką sutvarkėte, su data ir įrodymu.
Ar ISO 27001 padeda?
Reikšmingai, nes daugelis iš dešimties temų jame yra. Tačiau tai nėra tas pats ir nėra pakeitimas: NIS2 turi pranešimo pareigą ir registracijos pareigą, kurių standarte nėra.
Kaip dažnai tai turėčiau atnaujinti?
Direktyva nenurodytermino, bet prašo įvertinti veiksmingumą. Kartą per metus ir po kiekvieno reikšmingo incidento yra pagrindžiama linija.
Tai yra paaiškinimas, o ne patarimas dėl jūsų situacijos. secria.eu nevertina jūsų organizacijos ir neteikia garantijos.