kokias politikos dokumentus turiu turėti nis2

Politika išplaukia iš dešimties priemonių, o ne iš fiksuoto sąrašo

Nėra oficialaus kontrolinio sąrašo su privalomų politikos dokumentų pavadinimais pagal NIS2. Tačiau yra: dešimt priemonių kategorijų, kurioms organizacija turi sugebėti parodyti, kaip jas tvarko, ir praktiškai tai pavertėja politikos dokumentų rinkiniu, kurį rengia dauguma organizacijų. Pagalvokite apie informacijos saugumo politiką kaip apibendrinantį dokumentą, rizikos politiką, incidento valdymo ir pranešimo politiką, verslo tęstinumo ir krizės valdymo politiką, tiekėjo politiką su tiekimo grandinės reikalavimais, prieigos politiką ir kriptografijos bei šifravimo politiką. Kai kurios organizacijos prie to prideda atskirą personalo saugumo ir sąmoningumo politiką, susietą su mokymu, kuriame reikalingas dalyvavimo pažymėjimas — pastarasis yra svarbus, nes kodėl man reikalingas dalyvaujančiojo pažymėjimas apie kibernetinio saugumo mokymus paaiškinkite, ką tiksliai tas pažymėjimas rodo.

Svarbesnis nei tikslus kiekvieno dokumento pavadinimas yra tai, kad kiekvienas dokumentas priemonę po priemonės atitiktų tai, kas praktiškai dedasi, su prie jo pridėtu įrodymu ir asmeniu, atsakingu už tai. Politikos dokumentas, kuris gulėtų lentynoje be ryšio su kasdiene veikla, turi mažą vertę tobulinimo metu. Kas dar turi išsiaiškinti, kuris įrodymas priklauso kuriai priemonei, rasite tai kokį įrodymą turiu pateikti už kiekvieną saugumo priemonęir klausimas, kas organizacijoje turi valdyti tą politiką, atsiranda kas turi būti atsakingas už priemonę mano organizacijoje.

Pagrindas: NIS2 direktyvos 21 straipsnio 2 dalis

Dešimt priemonių, kurios yra pagrindas politikos dokumentams, yra nustatytos NIS2 direktyvos 21 straipsnio 2 dalyje, o Kibernetinio saugumo įstatymą sudaro šios direktyvos transponavimas Lietuvoje. Daugelis organizacijų naudojasi ir ISO/IEC 27001 A prieda kaip praktišku išdėstymu, kad būtų konkrečiai išreikštos tos priemonės, o NCSC skelbia orientacinius dokumentus, kaip praktiškai įgyvendinama rūpestingumo pareiga.