Obowiązek dołożenia należytej staranności: dziesięć środków z artykułu 21
Co konkretnie się od Państwa oczekuje, dla każdego wariantu — i jak widać, że jest to uregulowane.
Dziesięć tematów, nie lista wymogów technicznych
Dyrektywa nie nakazuje produktów ani instytucji. Wymienia dziesięć tematów, dla których należy podjąć odpowiednie i proporcjonalne środki, a szczegóły pozostawia Państwu. Odpowiednie i proporcjonalne oznacza: w stosunku do Państwa ryzyka, wielkości i stanu techniki. Szpital trzytysięczny postępuje inaczej niż firma programistyczna sześćdziesięcioosobowa.
To utrudnia wykonanie listy kontrolnej, ale również sprawiedliwsze. I wyjaśnia, dlaczego nie istnieje certyfikat: nie ma normy do porównania.
Gdzie większość organizacji napotyka problemy
Nie w technice. Prawie każdy ma kopie zapasowe, aktualizacje i politykę haseł. Gdzie się nie powiada, to wykazanie tego: nigdzie nie jest udokumentowane, nie ma właściciela i nikt nie może wykazać, kiedy ostatnio zostało to przetestowane.
Obowiązek staranności wymaga nie tylko tego, aby Państwo to robili, ale aby mogli Państwo to wykazać. To dokładnie to, co klient chce zobaczyć na swojej liście pytań i co kontroler żąda w pierwszej kolejności.
Zacznij bez rocznego projektu
Zacznij od tego, co już Państwo macie. Dla każdego z dziesięciu tematów: czy jest uregulowane, częściowo, nie, czy nie dotyczy, i kto za to odpowiada. Sam to wynik daje obraz, który można pokazać klientowi, i wyjaśnia, które dwie czy trzy rzeczy naprawdę wymagają uwagi.
Czego Państwo nie powinni robić, to zaczynać od zerowej oceny za dziesiątki tysięcy euro. Najpierw sami przeprowadźcie inwentaryzację, wtedy wiecie, w jakie sprawy potrzebna Wam jest rada.
Często zadawane pytania
Czy istnieje certyfikat NIS2?
Nie. Nie ma instytucji wydającej zaświadczenie, że spełniacie NIS2, i kto to oferuje, sprzedaje coś, co nie istnieje. Co możliwe, to udokumentować w widoczny sposób, co uregulowaliście, z datą i dowodem.
Czy ISO 27001 pomaga tutaj?
Znacznie, bo wiele z dziesięciu tematów się w nim pojawia. Ale to nie to samo i nie zastępuje: NIS2 zakłada obowiązek zgłaszania i obowiązek rejestracji, których norma nie zawiera.
Jak często powinienem to aktualizować?
Dyrektywa nie wspomina o terminie, ale wymaga oceny skuteczności. Raz w roku i po każdym znaczącym incydencie to linia, którą można bronić.
To wyjaśnienie, nie rada dotycząca waszej konkretnej sytuacji. secria.eu nie ocenia waszej organizacji i nie udziela żadnych zapewnień.