Kādi politikas dokumenti man jāpiemīl NIS2 ievērošanai

Politika izriet no desmit pasākumiem, nevis no fiksēta saraksta

Neexistē oficiāls kontrolsaraksts ar dokumentu nosaukumiem, kas ir obligāti saskaņā ar NIS2. Kas pastāv: desmit pasākumu kategorijas, kurām organizācija jāspēj parādīt, kā tās tiek pārvaldītas, un praksē tas pārtop politikas dokumentu kopumā, ko vairums organizāciju izstrādā. Domājiet par informācijas drošības politiku kā jumtošu dokumentu, riska politiku, incidentu apstrādes un ziņošanas politiku, biznesa nepārtrauktības un krīzes pārvaldības politiku, piegādātāju politiku ar prasībām piegādes ķēdei, piekļuves politiku un kriptogrāfijas un šifrēšanas politiku. Dažas organizācijas tam pievieno atsevišķu personāla drošības un informētības politiku, saistītu ar apmācību ar dalības sertifikātu — pēdējais ir svarīgs, jo Kāpēc man nepieciešams dalības sertifikāts kiberndraudu drošības apmācībai paskaidrojiet, ko tieši tas sertifikāts pierāda.

Svarīgāk nekā katra dokumenta precīzs nosaukums ir tas, ka katrs dokuments mēru pēc mēra atbilst tam, kas notiek praksē, ar pierādījuma dokumentu un personu, kas par to atbildīga. Politikas dokuments, kas gulētu plauktos bez saites uz ikdienas praksi, pie pārbaudes nav daudz vērtīgs. Kurš joprojām jāizskaidro, kāds pierādījums attiecas uz kuru pasākumu, atradīs to Kādu pierādījuma dokumentu man jāiesniedz katram drošības pasākumam, un jautājums par to, kuram organizācijā jāpārvalda šī politika, tiek aplūkots Kurš manā organizācijā ir atbildīgs par mēru īstenošanu.

Pamats: NIS2 direktīvas 21. panta 2. punkts

Desmit pasākumi, kas kalpo par pamatu politikas dokumentiem, ir norādīti NIS2 direktīvas 21. panta 2. punktā, un Kibernozieguma joma ir tā Nīderlandes transponēšana. Daudz organizāciju bez tam izmanto ISO/IEC 27001 pielikumu A kā praktisku sistematizēšanu, lai šos pasākumus padarītu konkrētus, un NCSC publicē norādes par to, kā aprūpes pienākums praksē tiek izpildīts.