Baza wiedzy

Co wymaga od Pani/Pana organizacji NIS2?

Wyjaśnione dla tych, którzy po raz pierwszy się z tym spotykają. Każdy skrót zostaje wyjaśniony w miejscu, gdzie się pojawia.

• Czy moje przedsiębiorstwo podlega NIS2? — Dwie rzeczy to decydują: Pani/Pana sektor i wielkość. Ale jest trzecia grupa, która spoza tego wypada i wymogi mimo to otrzymuje.
• Pani/Pana klient wysyła ankietę bezpieczeństwa — co teraz? — Sam/sama Pani/Pan nie podlega przepisom, ale wymogi mimo to otrzymuje. Dlaczego tak się dzieje i co to jest dobra odpowiedź.
• Obowiązek dołożenia należytej staranności: dziesięć środków z artykułu 21 — Co konkretnie od Pani/Pana się oczekuje w każdym środku — i po czym widać, że jest to uregulowane.
• Obowiązek zgłoszenia: 24 godziny, 72 godziny i miesiąc — Trzy momenty, i żaden z nich to obowiązek zgłoszenia w ciągu 24 godzin, do którego zwykle się odwołuje.
• Ustawa o cyberbezpieczeństwie: co obowiązuje w Holandii — Holenderskie wdrożenie NIS2 i dlaczego nie ma okresu przejściowego.
• NIS2 i ISO 27001: jaka jest różnica? — Norma pomaga, ale nie pokrywa całości. Gdzie się nakładają i gdzie się nie pokrywają.

Dziesięć środków z obowiązku dołożenia należytej staranności

Artykuł 21, ustęp drugi dyrektywy je wymienia jako podpunkty od a do j. To jest to, z czego składa się dossier i na czym opiera się ankieta bezpieczeństwa Pani/Pana klienta.

1. Analiza ryzyka i polityka bezpieczeństwa informacji (pkt a)
   Udokumentowana ocena tego, co może pójść nie tak, i polityka, która na to odpowiada. To jest podstawa, na której opierają się pozostałe dziewięć.
2. Obsługa incydentów (pkt b)
   Jak zauważa Pani/Pan, że coś poszło nie tak, kto wtedy co robi i jak to dokumentuje. Również pytanie o to, kto decyduje, czy zgłoszenie musi być dokonane.
3. Ciągłość działalności i zarządzanie kryzysowe (pkt c)
   Kopie zapasowe, odzyskiwanie po awarii i co się dzieje, jeśli Pani/Pana najważniejszy system leży przez tydzień. Łącznie z testem odzyskiwania, a nie tylko opisem.
4. Bezpieczeństwo w łańcuchu dostaw (pkt d)
   Bezpieczeństwo Pani/Pana dostawców i usługodawców, o ile dotyka to Pani/Pana własnych systemów. To jest przepis, przez który Pani/Pana właśni klienci wysyłają Pani/Panu ankietę.
5. Bezpieczeństwo przy zakupach, rozwoju i utrzymaniu (pkt e)
   Jak Pani/Pan uwzględnia bezpieczeństwo przy kupnie lub budowaniu systemów i jak obsługiwane są podatności, gdy tylko staną się znane.
6. Ocena skuteczności (pkt f)
   Mierzenie, czy to, co Pani/Pan uregulował/a, również działa. Bez tego lista środków pozostaje intencją.
7. Higiena podstawowa i świadomość (pkt g)
   Aktualizacje, polityka haseł, prawa, które nie są szersze niż potrzebne — i ludzie, którzy wiedzą, na co powinni zwracać uwagę. Tu wiąże się szkolenie.
8. Kryptografia i szyfrowanie (sub h)
   Kiedy dane są szyfrowane, w trakcie przesyłu i w przechowywaniu, oraz jakie są stosowne umowy.
9. Bezpieczeństwo personelu, polityka dostępu i zarządzanie majątkiem przedsiębiorstwa (sub i)
   Kto ma dostęp do czego, co się dzieje, gdy ktoś odejdzie z pracy, i jakie urządzenia oraz systemy naprawdę istnieją.
10. Weryfikacja wielopoziomowa i bezpieczna komunikacja (sub j)
    Weryfikacja dwuetapowa tam, gdzie jest ważna, oraz bezpieczna komunikacja głosowa, wideo i tekstowa. Również komunikacja nadzwyczajna, jeśli zwykłe kanały ulegną awarii.

Kiedy trzeba zgłosić?

Trzy momenty, i żaden z nich to nie jest "obowiązek zgłoszenia w ciągu 24 godzin", do którego często się odwołuje. Dotyczy to tylko wtedy, gdy sam podlegasz ustawie.

Terminy liczą się od momentu, gdy uświadomisz sobie incydent. Przygotowujemy teksty; przesyłasz je sam, do portalu własnego organu nadzoru.