Ar vadovas yra asmeniškai atsakingas pagal NIS2?
Direktyva NIS2 reglamentuoja ne tik tai, ką organizacija turi daryti techniškai ir organizaciškai, bet kreipiasi ir į valdymą. Direktyva reikalauja, kad valdymo asmenys patvirtintų rizikos valdymo priemones, prižiūrėtų jų įgyvendinimą ir iš jų gautų mokymus. Tai kitoks vaidmuo nei IT skyrius ar išorinė tiekėja, ir šis vaidmuo negali būti delegavimas.
Ar tai taip pat veda prie atskiro valdymo asmens asmeninės atsakomybės, priklauso nuo nacionalinio įstatymo, kuriuo direktyva perkeliama, ir nuo platesnės verslo teisės šalyje, kurioje organizacija yra registruota. Nyderlanduose tai vyksta per Kiberbausmės įstatymą ir galiojančias taisykles dėl valdymo asmeninės atsakomybės už netinkamą valdymą. Ką iš to tiksliai nustato ir kas dar yra tobulinimosi stadijoje, geriausiai aptarti su teisininku; šis straipsnis aprašo pagrindinę liniją, o ne jūsų individualią situaciją.
Ką direktyva reikalauja iš valdymo
Rūpinimosi pareiga, kylanti iš NIS2, susideda iš dviejų papildomų sluoksnių. Pirmasis sluoksnis yra organizacija: dešimt priemonių, sudarančių kibernetinio saugumo bylą, nuo prieigos kontrolės iki incidento valdymo. Antrasis sluoksnis yra valdymas: jis turi žinoti šias priemones, jas patvirtinti ir sekti. Tai nereiškia, kad valdymo asmuo pats turi suprasti techniką į smulkmenas, tačiau turi žinoti, kokias rizikas patiria organizacija, kokie sprendimai buvo priimti ir ar tie sprendimai yra laikomasi. Kas nori žinoti, kokios iš tikrųjų yra tos priemonės, rasti jų sąrašą visų NIS2 temų sąrašas.
Kodėl tai negali būti perduota
Yra labai įprastas dalykas, kai organizacija saugumo priemonių įgyvendinimą paveda IT tiekėjui, valdytam paslaugų teikėjui ar vidiniam saugumo vadovui. Tai yra leidžiama, ir daugeliui MKB organizacijų tai taip pat yra vienintelis realistiškas kelias. Tačiau direktyva daro skirtį tarp vykdymo ir atsakomybės. Tiekėjas gali valdyti ugniasienę, nustatyti slaptažodžio politiką ar vykdyti atsarginę kopiją; valdymas lieka tas, kuris turi turėti galimybę parodyti, kad žino, kas vyksta, ir kad jis sąmoningai tai pasirinkęs. Sutartis su tiekėju reglamentuoja vykdymą, o ne valdymą, kurio direktyva reikalauja.
Tai taip pat liečia tiekėjų grandinės temą. Organizacija, kuri pati patenka į NIS2, turi prižiūrėti rizikas, kurias nešioja tiekėjai – todėl MKB įmonės gauna saugumo klausimynų iš savo užsakovų. Ta pati logika taikoma viduje: valdymas prižiūri, ką daro pati organizacija, net jei darbas atliekamas kitur.
Ką praktikoje reiškia prižiūrėjimas
Prižiūrėjimas nėra vienkartinis dokumento pasirašymo reikalas. Direktyva kalba apie priemonių patvirtinimą ir mokymą, o tai rodo, kad tai yra pasikartojantis procesas: periodiškai patikrinti, ar priemonės vis dar tinkamos, ar jos buvo įgyvendintos, ir ar įvyko kažkas, dėl ko reikalingas pataisymas. Valdymo asmeniui be techninio pagrindo, dažnai praktiškiausia forma yra pastovus sąrašas: kokios yra priemonės, kokia jų būklė, kas yra savininkas ir koks yra atitinkamas įrodymas. Be tokio registro prižiūrėjimą sunku pagrįsti, nors iš facto tai gali būti padaryta.
Ką žinome ir ko nežinome tvirtai
Direktyva pati aprašo valdymo vaidmenį Europos lygiu; kaip tai tiksliai taikoma atsakomybės teisėje, skiriasi priklausomai nuo šalies, ir nacionalinis teisės aktas nėra galutinas visur tuo pačiu metu. Prižiūrėtojai savo darbuose tai publikuoja ir galimas jų nuomonės pokytis. Tai sekame pagal šalį ir šaltinį su data, kada jį pamatėme; kaip tiksliai vyksta šis šaltinių rinkimas, paaiškintas puslapyje apie tai, kaip mes šaltinius sekame. Norėdami gauti nuomonę apie konkrečios valdymo struktūros nario atsakomybę konkrečioje organizacijoje, tinkamiausi kontaktai yra teisininkas arba atitinkama priežiūros institucija.
Ką galite dokumentuoti
Neturint visiškos teisinės garantijos dėl asmeninės atsakomybės, praktinis darbas yra įmanomas: dokumentuoti, kokios priemonės egzistuoja, kas jas valdo ir kada valdyba jas paskutinį kartą aptarė. Būtent tam skirtas cyber-dossier — gyvasis registras vietoj vienkartinio ataskaito. Jei pirmiausia norite sužinoti, ar jūsų organizacija pati patenka į reguliacinį įpareigojimą arba yra suinteresuota per tiekimo grandinę, tada gausite nemokama NIS2-patikra atsakymą į kelis klausimus ir pirmą rodiklį su paaiškinimu, kodėl.
Pradėkite nuo to, kur esate dabar: peržvelkite nemokamą NIS2-patikrą arba naršykite žinių banką, kad pamatytumėte, kurie dalykai yra svarbūs jūsų organizacijai.