Piesardzības pienākums: desmit pasākumi no 21. panta
Kas jums konkrēti tiek sagaidīts katram pasākumam — un kā jūs redzat, ka tas ir nokārtots.
Desmit tēmas, ne tehniskas prasību saraksts
Direktīva neprescribes produktus un ne institūcijas. Tā nosaka desmit tēmas, par kurām jums jāpieņem atbilstoši un proporcionāli pasākumi, un risināšanas veids ir jūsu ziņā. Atbilstošs un proporcionāls nozīmē: attiecībā pret jūsu riskus, jūsu lielumu un tehnoloģiju līmeni. Trīstūkstoš cilvēku liela slimnīca rīkojas citādi nekā sešdesmit cilvēku liels programmatūras uzņēmums.
Tas padarīs to sarežģītāku nekā vienkāršs kontrolsaraksts, bet arī taisnīgāku. Un tas izskaidro, kāpēc sertifikāta nav: nav normas, pēc kuras to parakstīt.
Kur lielākā daļa organizāciju iestrēgst
Ne tehnikā. Gandrīz ikvienam ir dublējumi, atjauninājumi un paroles politika. Problēma rodas noraides spējā: tas nekur nav dokumentēts, nav atbildīgā, un neviens nespēj rādīt, kad tas tika pēdējoreiz pārbaudīts.
Piesardzības pienākums prasa ne tikai to, ka jūs to darāt, bet arī to, ka jūs to varat pierādīt. Tas ir arī tieši tas, ko klients vēlas redzēt savā jautājumu sarakstā, un ko uzraugs pirmkārt pieprasa.
Sākt bez gada ilga projekta
Sāciet ar to, kas jums jau ir. Desmitām tēmām: vai tas ir nokārtots, daļēji, nē, vai nav piemērojams, un kas par to atbild. Tas vien jau dod attēlu, ko varat parādīt klientam, un tas skaidro, kuri divi vai trīs jautājumi tiešām prasīs uzmanību.
Jūs nedrīkstat sākt ar desmit tūkstošu eiro lielāku novērtējumu. Vispirms padariet inventāru paši, tad zināsiet, par kādu padomu jums ir nepieciešams.
Bieži uzdotie jautājumi
Vai pastāv NIS2 sertifikāts?
Nē. Nav iestādes, kas izdotu sertifikātu par NIS2 atbilstību, un tas, kas to piedāvā, pārdod kaut ko, kas neeksistē. Tas, kas ir iespējams, ir pierādāmi dokumentēt, kas jums ir nokārtots, ar datumu un pierādījumiem.
Vai ISO 27001 palīdz?
Būtiski, jo daudz no desmit tēmām tajā ir iekļautas. Bet tas nav vienāds un nav aizstājējs: NIS2 paredz paziņojuma pienākumu un reģistrācijas pienākumu, kas normas doktrīnā nav.
Cik bieži man tas jāatjaunina?
Direktīva nenorāda termiņu, bet pieprasa, lai jūs novērtētu efektivitāti. Reizi gadā un pēc katra nozīmīga incidenta ir aizstāvama stratēģija.
Šis ir skaidrojums, nevis padoms par jūsu situāciju. secria.eu nenovērtē jūsu organizāciju un nedod jokus.