Hu responsabbli personalment il-manidžer taħt NIS2?
Id-Direttiva NIS2 ma tirregola mhux biss dak li organizzazzjoni għandha tagħmel tekniku u organizzattivament, imma tipparla wkoll direttament mal-qadastru. Id-Direttiva titlob mill-membri tal-qadastru li jappruvaw il-miżuri ta' ġestjoni tar-riskji, jissorveljaw l-implimentazzjoni tagħhom u jirċievu taħriġ dwar dawn. Din hija rwol differenti minn dik tad-dipartiment IT jew supplier estern, u din ir-rwol ma tistax tiġi ddelegata.
Jekk dan idum iwassal għal responsabbiltà personali ta' membru tal-qadastru individwali, dan jiddipendi mill-liġi nazzjonali li timplimenta d-Direttiva u mill-liġi korporattiva aktar wiesgħa tal-pajjiż fejn l-organizzazzjoni hija stabbilita. Fl-Olanda, dan iseħħ permezz tal-Liġi tal-Cybersecurity u r-regoli eżistenti dwar ir-responsabbiltà tal-qadastru għal ġestjoni ħażina. Dak li eżatt huwa stabilit u dak li għadu qed jiġi żviluppat, l-aħjar tiddiskutih ma' ġurist; dan l-artikolu jiddeskrivi l-linja ġenerali, mhux is-sitwazzjoni indivdiduali tiegħek.
Dak li d-Direttiva titlob mill-qadastru
Iz-zarja tal-ħtija li tirriżulta minn NIS2 tikkonsisti minn żewġ saffi li jikkumplimentaw lil xulxin. L-ewwel saf hija l-organizzazzjoni: it-tmienja miżuri li jiffurmaw il-dossier tal-cybersecurity, minn ġestjoni tal-aċċess sal-immaniġġjar tal-inċidenti. It-tieni saf hija l-qadastru: irid jafu din il-miżuri, jappruvaw u jsegwuha. Dan ma jfisser li membru tal-qadastru irid jifhem it-teknika sal-dettall, imma għandu jafu liema riskji jfaċċja l-organizzazzjoni, liema għażliet ġew magħmula u jekk dawn il-għażliet qed jiġu rifless. Min jrid jaf eżatt liema miżuri dawn, isib ħlasub fi elenku tal-suġġetti kollha tal-NIS2.
Għaliex dan ma jistax jiġi delegat
Huwa normali ħafna li organizzazzjoni tiddelegat l-implimentazzjoni tal-miżuri ta' sigurtà lil supplier IT, managed service provider jew ufficjal ta' sigurtà intern. Dan huwa permess, u għal ħafna organizzazzjonijiet KME huwa wkoll l-uniku mod realistiku. Iżda d-Direttiva tagħmel distinzjoni bejn l-implimentazzjoni u r-responsabbiltà. Supplier jista' jimmaniġġja firewall, jistabbilixxi politika ta' password jew jmexxu backup; il-qadastru jibqa' dak li għandu jista' jpprova li jafu x'qed jiġri u li għal ħsieb ġew għażża dak. Kuntratt ma' supplier jirregola l-implimentazzjoni, mhux l-involviment tal-qadastru li d-Direttiva titlob.
Dan jitħalla wkoll mat-tema tal-għinea tal-provvista. Organizzazzjoni li tikkkadika taħt NIS2 għandha tissorvella r-riskji li supplieers jiġbu magħhom — għalhekk ir-rigward li kumpaniji KME jirċievu kwestjonarji ta' sigurtà mill-kliyenti tagħhom. L-istess loġika tapplika ġol-ġewwa: il-qadastru jissorvella dak li l-organizzazzjoni tagħmel, anke jekk ix-xogħol stess isir xi mkien ieħor.
X'tfisser is-sorveljanza fil-prattika
Is-sorveljanza mhix kwistjoni ta' wieħed li jittieqa dokumentu darba. Id-Direttiva titkellem dwar l-approvazzjoni tal-miżuri u t-taħriġ, li jissuġġerixxi li dan huwa proċess li jirrepeti: perjodikament tħares jekk il-miżuri għadu jemmlewx, jekk ġew implimentati, u jekk xi ħaġa tbaħadit li jeħtieġ aġġustament. Għal membru tal-qadastru mingħajr background teknici, il-forma l-aktar prattika hija normalment reġistru fiss: liema miżuri hemm, x'inhi l-istatus, min huwa l-proprjetarju, u liema evidenza jaqbel magħha. Mingħajr reġistru bħal dan, is-sorveljanza hija diffiċli li tipprova, anke jekk fatt ikkompla seħħ.
X'aħna nafu u x'aħna ma nnafu ċertament
Id-Direttiva stess tiddeskrivi r-rwol tal-qadastru fil-livell Ewropew; kif dan eżatt jiddixxendi fl-irħu tal-responsabbiltà jixtieq minn pajjiż għal ieħor, u l-leġislazzjoni nazzjonali mhix definittiva fil-lokazzjon kollu fl-istess ħin. L-awtoritajiet ta' sorveljanza jippublikaw il-propju tagħhom dwar dan, u din il-ħmija tista' tbiddel. Aħna naqsmu dan kull pajjiż u kull sors, bil-għamla meta rajna l-pubblicazzjoni; kif dik il-formazzjoni tas-sors taħdem eżatt, hija spjegata fuq il-paġna dwar kif aħna nsibu l-sorsi. Għal valutazzjoni dwar ir-responsabilità personali ta' amministratur speċifiku fi organizzazzjoni speċifika, avukat jew l-awtorità ta' sorveglianza kompetenti huma l-kontatti xierqa.
Dak li tista' tiddokumenta
Anki mingħajr ċertezza legali kompleta dwar ir-responsabilità personali, hemm ħidma prattika li tista' titwettaq: dokumenta liema miżuri hemm, min jiddestaħħabhom, u meta l-amministrazzjoni talmintsh diskutetjethom l-aħħar darba. Dik eżattament il-għemil li għaliha mqassem id-dossier cyber — reġistru ħaj minflok rapport ta' darba waħda. Jekk trid l-ewwel tkun taf jekk l-organizzazzjoni tiegħek stess taqa' taħt id-dmir tal-kura jew tkun milqugħa permezz tal-katina ta' provvista, allura iċ-ċekk NIS2 bla ħlas tagħti indikazzjoni inizjali fi ftit mistoqsijiet, bl-ispiegazzjoni tas-semmu.
Ibda minn fejn inti issa: aqdi rivedja tal-ċekk NIS2 bla ħlas jew iltaqgħ permezz tal-bank tal-għarfien biex tara liema suġġetti huma rilevanti għall-organizzazzjoni tiegħek.