kurias dešimt priemonių turiu imtis pagal nis2

Dešimt priemonių kartu sudaro rūpinimosi pareigą

Dešimt priemonių pagal NIS2 direktyvos 21 straipsnio 2 dalį sudaro minimalų paketą, kuriuo organizacija vykdo rūpinimosi pareigą. Tai apima: politiką rizikos analizei ir informacinių sistemų saugai, incidentams valdyti, verslo tęstinumui ir krizių valdymui (pvz., atsarginių kopijų valdymui ir atkūrimui po nelaimės), tiekimo grandinės saugai, saugai įgyti, plėtoti ir prižiūrėti tinklo bei informacines sistemas (įskaitant pažeidžiamumo politiką), politikai ir procedūroms priemonių veiksmingumui vertinti, pagrindinei kiberkietuolei ir mokymams, politikai šifravimui ir šifravimui, personalo saugai ir prieigos politikai, bei daugialypės autentifikacijos arba panašių sprendimų naudojimui. Šis sąrašas yra tiksliai nurodytas direktyvoje ir yra sudėtinis jos nacionalinio įgyvendinimo dalis.

Nyderlanduose tai yra Kibernetinio saugumo įstatymas, kuris perimtą tuos pačius dešimt punktų kaip pareigą esminėms ir svarbiam subjektams. Tiems, kurie susiduoda su šiais reikalavimais per klientą, neprivalomai patys būdami reguliuojami, naudinga žinoti, kad būtent tiekimo grandinės punktas yra priežastis, dėl kurios vertintinas pagrindinis tiekėjo kibernetinis saugumasDešimt priemonių nėra kontrolinis sąrašas, kuris būtų patikrintas vieną kartą: praktikoje jie yra išplėtoti į politiką, procedūras ir įrodymų medžiagą, o šia išplėtima yra daugiau laiko – taip pat žr. kokia tai yra laiko ir išteklių sąskaita.

Kur tai yra direktyvoje ir standartai

NIS2 direktyvos 21 straipsnio 2 dalis nustato dešimt punktų kaip minimalius reikalavimus, o 21 straipsnio 1 dalis suriša tai, kad priemonės turi būti "tinkamos ir proporcinės" – remiantis rizikos vertinimu, o ne fiksuota norma visiems. Kibernetinio saugumo įstatymas šią pareigą perneša į Nyderlandų situaciją, o NCSC paaiškinimai aprašo, kaip ši rūpinimosi pareiga yra praktikoje vykdoma. Daugelis iš dešimties punktų turinio požiūriu sutampa su ISO/IEC 27001 A priedo valdymo priemonėmis, o tai paaiškina, kodėl organizacijos, turinčios esamą ISO sertifikatą, dažnai jau turi dalis pamatų – nors tai savaime nėra garantija, kad visi dešimt punktų yra visiškai apimti.