Vai vadības loceklis ir personīgi atbildīgs saskaņā ar NIS2?
NIS2 direktīva regulē ne tikai to, kas organizācijai ir jādara tehniski un organizatoriski, bet arī pievērš uzmanību pašam vadībai. Direktīva prasa no vadības, lai tā apstiprinātu riska pārvaldības pasākumus, uzraudzītu to īstenošanu un piedalītos to apmācībā. Tas ir atšķirīga loma nekā IT nodaļai vai ārējam pakalpojumu sniedzējam, un šo lomu nevar delegēt.
Vai tas noved pie individuālās vadības locekļa personīgās atbildības, ir atkarīgs no nacionālā likuma, kas transponē direktīvu, un no plašāka uzņēmējdarbības tiesību rāmja valstī, kurā organizācija ir reģistrēta. Nīderlandē tas notiek, izmantojot Kiberdrošības likumu un esošos noteikumus par vadības locekļu atbildību par nepienācīgu vadību. Lai uzzinātu, kas no tā precīzi ir noteikts un kas vēl ir attīstībā, vislabāk ir to pārrunāt ar tiesību konsultantu; šis raksts apraksta galvenās līnijas, nevis jūsu individuālo situāciju.
Ko direktīva prasa no vadības
Rūpības pienākums, kas izriet no NIS2, sastāv no diviem slāņiem, kas papildo viens otru. Pirmais slānis ir organizācija: desmit pasākumi, kas veido kiberdrošības dosijas, sākot no piekļuves kontroles līdz incidentu apstrādei. Otrais slānis ir vadība: tai ir jāzina šie pasākumi, jātos apstiprina un jātos seko. Tas nenozīmē, ka vadības loceklim pašam ir jāsaprot tehnika detalizēti, bet tas nozīmē, ka viņam vai viņai ir jāzina, kādi riski draud organizācijai, kādi lēmumi ir pieņemti un vai šie lēmumi tiek pildīti. Ja kāds vēlas precīzi uzzināt, kuri pasākumi ir iesaistīti, atradīs pārskatu sadaļā visu NIS2 tēmu pārskats.
Kāpēc to nevar outsourcēt
Ir diezgan parasts, ka organizācija bezpečnostī pasākumus noliek IT pakalpojumu sniedzējam, vadītam pakalpojumu sniedzējam vai iekšējam drošības speciālistam. Tas ir atļauts, un daudzām maziem un vidējiem uzņēmumiem tas ir arī vienīgais reālistiskais ceļš. Bet direktīva noraida starpību starp izpildi un atbildību. Pakalpojumu sniedzējs var pārvaldīt ugunsmūri, noteikt paroles politiku vai palaist dublējumu; vadībai joprojām ir jāvar pierādīt, ka tā zina, kas notiek, un ka tā apzināti to ir izvēlējusies. Līgums ar pakalpojumu sniedzēju regulē izpildi, nevis vadības iesaistīšanu, ko pieprasa direktīva.
Tas attiecas arī uz piegādes ķēdes tēmu. Organizācijai, kas pati ietilpst NIS2 jomā, ir jāuzrauga riski, ko līdzi neso pakalpojumu sniedzēji — tāpēc maziem un vidējiem uzņēmumiem no viņu pasūtītājiem tiek saņemtas drošības anketas. Tas pats pamatojums attiecas arī uz iekšējo: vadība uzrauga, ko dara pati organizācija, pat ja darbu veic citur.
Ko praktiski nozīmē uzraudzība
Uzraudzība nav vienkārši dokumenta vienreizēja parakstīšana. Direktīva runā par pasākumu apstiprināšanu un apmācību, kas liecina, ka tas ir periodisks process: periodiski pārbaudīt, vai pasākumi joprojām ir pareizi, vai tie ir īstenoti, un vai ir notikušas izmaiņas, kas prasa pielāgošanu. Vadības loceklim bez tehniskas iepriekšējās pieredzes parasti praktiski izmantojamākā forma ir pastāvīgs pārskats: kādi pasākumi ir, kāds ir statuss, kurš ir īpašnieks un kāds pierādījums tam pieder. Bez šāda reģistra uzraudzības viešošana ir grūta pierādīt, lai arī tas faktiski varētu būt notikusi.
Ko mēs zinām droši un ko nē
Direktīva pati apraksta vadības lomu Eiropas līmenī; kā tas precīzi saistoši ir atbildības tiesībās, atšķiras katrai valstij, un nacionālā likumdošana ne visur ir vienlaicīgi galīga. Uzraudzības iestādes par to publicē savu skaidrojumu, un šis skaidrojums var mainīties. Mēs to sekojam katrai valstij un katram avotam ar datumu, kad esam redzējuši publikāciju; kā šī avotu veidošanās precīzi notiek, ir skaidrot lapā par to, kā mēs sekojam avotiem. Lai izvērtētu konkrēta vadītāja atbildību konkrētā organizācijā, labākie kontaktpunkti ir jurists vai kompetentas uzraudzības iestādes.
Ko jūs varat dokumentēt
Pat bez pilnīgas juridiskas pārliecības par personisko atbildību ir praktiski darbi, ko veikt: dokumentēt, kādi pasākumi pastāv, kas viņus pārvalda un kad vadība tos pēdējoreiz pārskatīja. Tieši tam ir paredzēts kibernetiskās drošības dosijas — dzīvs reģistrs, nevis vienreizējs ziņojums. Ja vēlaties vispirms uzzināt, vai jūsu organizācija pati pakļauta pienākumam veikt drošības pasākumus vai ir iesaistīta piegādes ķēdē, tad bezmaksas NIS2 pārbaude var sniegt pirmo norādi dažos jautājumos ar skaidrojumu, kāpēc.
Sāciet no tā, kur jūs joprojām esat: skatieties bezmaksas NIS2 pārbaudi vai pārlūkojiet zināšanu bāzi, lai redzētu, kuri jautājumi ir svarīgi jūsu organizācijai.