Wiadomości i zmiany
Zmiany w standardzie, nowe źródła prawa i to, o co abonenci i banki zaczęli pytać w praktyce — i co powinieneś z tym zrobić.
Weryfikacja wielopoziomowa w przemyśle metalowym i wytwórczym: gdzie jest wymagana, a gdzie nie?
Obowiązek dochowania należytej staranności nie wymienia technologii z nazwy, ale opisuje, gdzie oczekuje się silnego zabezpieczenia dostępu — i dlaczego starsze systemy produkcyjne często wymagają innego podejścia.
Czytaj więcej →Kopie zapasowe i przywracanie w przemyśle metali i produkcji: kiedy ostatnio przeprowadzono test?
Istnienie kopii zapasowej nic nie mówi, jeśli nikt nie próbował jej przywrócić. Artykuł wyjaśnia, dlaczego w przemyśle metali i produkcji test przywracania jest punktem ciężkości, a nie sama kopia zapasowa.
Czytaj więcej →Rejestracja incydentów w przemyśle metalowym i produkcyjnym: co dokumentujesz?
Co musisz dokumentować, gdy incydent cyberbezpieczeństwa dotknie Twoje środowisko produkcyjne, i dlaczego maszyny podłączone do sieci wymagają innego podejścia niż laptop w biurze.
Czytaj więcej →Kontrola dostępu w branży metali i produkcji: kto ma dostęp do których systemów produkcyjnych?
Praktyczne wyjaśnienie kontroli dostępu dla przedsiębiorstw produkcyjnych: kto ma dostęp do których systemów, jak to skonfigurować dla maszyn i sterowników PLC podłączonych do sieci, oraz jakie dokładnie pytania stawiają na ten temat odbiorcy.
Czytaj więcej →Jakie wymagania stawia zamawiający branży metalowej i produkcyjnej po NIS2?
Zamawiający, którzy sami podlegają NIS2, przekładają swój obowiązek staranności na wymagania umowne dla dostawców w branży metalowej i produkcyjnej — ze szczególną uwagą na maszyny i systemy produkcyjne podłączone do sieci.
Czytaj więcej →Czy branża metali i produkcji podlega NIS2?
Dla firm metalowych i producentów maszyn obowiązek wynikający z NIS2 zależy od trzech rzeczy jednocześnie: dokładnej branży, wielkości przedsiębiorstwa oraz roli w łańcuchu dostaw większego zamawiającego.
Czytaj więcej →Lista kontrolna bezpieczeństwa w przemyśle metali i produkcji: jakie pytania się powtarzają?
Dostawcy w przemyśle metali i produkcji otrzymują często te same pytania dotyczące ich środowiska produkcyjnego. Artykuł ten porządkuje powtarzające się kategorie, ze systemami produkcyjnymi podłączonymi do sieci jako jądro.
Czytaj więcej →Świadomość i szkolenie w branży instalacyjnej: co wymaga obowiązek ochrony z NIS2?
Obowiązek ochrony wymaga, aby pracownicy w firmie instalacyjnej byli regularnie zapoznawani z zagrożeniami cyberbezpieczeństwa; dla członków zarządu obowiązuje oddzielny, osobisty obowiązek szkoleniowy. Ten artykuł wyjaśnia różnicę.
Czytaj więcej →Co powinno zawierać politykę bezpieczeństwa informacji przedsiębiorstwa instalacyjnego?
Przegląd tego, co polityka bezpieczeństwa informacji dla branży instalacyjnej powinna zawierać, szczególnie dlatego że technicy na terenie klienta mają dostęp do budynków i systemów.
Czytaj więcej →Polityka dotycząca dostawców dla firm instalacyjnych: jak oceniają Państwo, kto ma dostęp do Waszego klienta?
Firma instalacyjna sama pracuje także z podwykonawcami, pracownikami na umowę śmieciową i dostawcami, którzy otrzymują dostęp do budynków i systemów Waszego klienta. Artykuł ten pokazuje, jak zmapować i ocenić własny łańcuch dostaw.
Czytaj więcej →Wieloetapowe uwierzytelnianie w branży instalacyjnej: gdzie jest obowiązkowe, a gdzie nie?
Przegląd sytuacji, w których uwierzytelnianie dwuetapowe jest oczekiwane w branży instalacyjnej i dlaczego dostęp do budynków i systemów u klientów na miejscu wymaga często osobnego rozpatrzenia.
Czytaj więcej →Kopie zapasowe i przywracanie w branży instalacyjnej: kiedy ostatnio przeprowadzili Państwo test?
Kopia zapasowa, którą nikt nigdy nie przywrócił, nie jest gwarancją, lecz założeniem. Niniejszy artykuł wyjaśnia, co konkretnie oznacza "testowanie" dla przedsiębiorstwa instalacyjnego mającego dostęp do budynków i systemów klientów.
Czytaj więcej →Rejestracja incydentów w branży instalacyjnej: co dokumentuje się, gdy coś pójdzie nie tak?
Awaria, zagubiony klucz lub nieprawidłowe konto u klienta: co dokumentuje firma instalacyjna, gdy coś pójdzie nie tak, i dlaczego to więcej niż raport o błędzie w systemie zgłaszania
Czytaj więcej →Kontrola dostępu w branży instalacyjnej: kto ma dostęp do jakich systemów i kluczy?
Kontrola dostępu to środek, na który listy pytań dotyczące bezpieczeństwa najczęściej zwracają uwagę. W przypadku firm instalacyjnych nie chodzi tylko o hasła, ale także o klucze, karty dostępu i dostęp do pomieszczeń klienta na terenie jego siedziby.
Czytaj więcej →Jakie wymagania stawia zamawiający firmom instalacyjnym po NIS2?
Zamawiający, którzy sami podlegają obowiązkowi opieki NIS2, przekładają to zobowiązanie na wymagania umowne dla instalatorów — zwłaszcza dotyczące dostępu do budynków, kluczy i systemów budynkowych. Niniejszy artykuł wyjaśnia, czego możesz się spodziewać i dlaczego.
Czytaj więcej →Czy sektor instalacyjny podlega NIS2?
Dla firm instalacyjnych odpowiedź zależy od sektora, wielkości oraz dostępu, jaki mają do budynków i systemów klientów, którzy sami podlegają NIS2.
Czytaj więcej →Lista kontrolna bezpieczeństwa w branży instalacyjnej: jakie pytania się powtarzają?
Firma instalacyjna pracująca na miejscu u klientów i zarządzająca systemami zdalnie często otrzymuje listę kontrolną bezpieczeństwa zawierającą szczegółowe pytania dotyczące dostępu do budynków i systemów. Niniejszy artykuł przegląda pytania, które się powtarzają.
Czytaj więcej →Szkolenia z zakresu świadomości bezpieczeństwa w tworzeniu oprogramowania: co wymaga obowiązek należytej staranności?
Obowiązek należytej staranności wynikający z NIS2 wymaga od twórców oprogramowania szkolenia pracowników w zakresie świadomości bezpieczeństwa i dodatkowo nakłada odrębny, osobisty obowiązek szkoleniowy na kierownictwo. Artykuł ten wyjaśnia różnicę.
Czytaj więcej →Co należy umieścić w polityce bezpieczeństwa informacji dla tworzenia oprogramowania?
Polityka bezpieczeństwa informacji dla tworzenia oprogramowania opisuje zarówno sposób zabezpieczenia opracowywanego produktu, jak i ochronę własnego łańcucha dostaw w zakresie oprogramowania — artykuł ten wyjaśnia, które elementy powinny się w niej znaleźć.
Czytaj więcej →Polityka dostawców dla tworzenia oprogramowania: jak oceniasz swoich własnych dostawców?
Firmy zajmujące się tworzeniem oprogramowania otrzymują same listy kontrolne bezpieczeństwa, ale muszą również oceniać swoich własnych dostawców. Ten artykuł pokazuje, jak to zbudować, z linią rozwojową i kodem w twoim produkcie jako dwoma oddzielnymi obszarami uwagi.
Czytaj więcej →Uwierzytelnianie wielopoziomowe w tworzeniu oprogramowania: gdzie jest stosowane, a gdzie nie?
Przegląd miejsc, w których uwierzytelnianie dwuetapowe w tworzeniu oprogramowania jest uzasadnione, oraz sytuacji, w których jest mniej oczywiste.
Czytaj więcej →Kopie zapasowe i odzyskiwanie danych w tworzeniu oprogramowania: kiedy ostatnio to testowali?
Kopia zapasowa, którą nigdy nie przywrócili, to założenie, a nie środek — zwłaszcza dla kodu źródłowego, potoku wdrażania i tajemnic, które się za nim kryją.
Czytaj więcej →Rejestracja incydentów w oprogramowaniu: co dokumentujesz, gdy coś pójdzie nie tak?
Przegląd tego, co dokumentuje firma zajmująca się tworzeniem oprogramowania w przypadku incydentu: różnica między luką w kodzie, który dostarczasz, a problemem w twoim własnym procesie developmentu, i co chciałby to widzieć twój klient.
Czytaj więcej →Kontrola dostępu w tworzeniu oprogramowania: kto ma dostęp do kodu źródłowego i linii produkcyjnej?
Wyjaśnienie znaczenia kontroli dostępu dla zespołu programistów: kto ma dostęp do kodu źródłowego, potoku kompilacji i środowiska produkcyjnego, oraz co z tego dokumentujesz w swoim dossier cyberbezpieczeństwa.
Czytaj więcej →Jakie wymagania pojawiają się w umowie o tworzenie oprogramowania po NIS2?
Zamawiający, który sam podlega obowiązkowi opieki wynikającemu z NIS2, przekłada ten obowiązek na wymagania umowne dotyczące oprogramowania, które Pan/Pani tworzy, i sposobu jego tworzenia. Ten artykuł wyjaśnia, jakie zwykle są to wymagania.
Czytaj więcej →Czy tworzenie oprogramowania podlega NIS2?
Tworzenie oprogramowania nie jest wymienionym jako odrębny sektor w załącznikach NIS2, ale przez usługi w chmurze lub ICT, wielkość Twojej firmy i Twoją pozycję jako dostawcy, możesz i tak podlegać tej dyrektywie.
Czytaj więcej →Jakie pytania otrzymuje firma zajmująca się oprogramowaniem na liście kontrolnej NIS2?
Przegląd pytań, które regularnie pojawiają się na listach kontrolnych bezpieczeństwa specyficznych dla twórców oprogramowania: o kodzie, który budujesz, i o ciągu rozwojowym, w którym to robisz.
Czytaj więcej →Czy szkolenie w zakresie świadomości bezpieczeństwa jest obowiązkowe dla dostawców usług ICT zgodnie z NIS2?
NIS2 wymienia świadomość i szkolenie jako jeden z dziesięciu środków obowiązkowych zarządzania ryzykiem, niezależnie od oddzielnego obowiązku szkolenia dla kierownictwa. Artykuł ten wyjaśnia różnicę i co to oznacza dla dostawcy usług ICT.
Czytaj więcej →Co powinna zawierać polityka bezpieczeństwa informacji dostawcy usług ICT?
Polityka bezpieczeństwa informacji dostawcy usług ICT opisuje, jak obsługuje się zarządzanie zdalne, dostęp do systemów klientów i podwykonawców — ten artykuł pokazuje, które elementy powinny się w niej znaleźć.
Czytaj więcej →Opracowanie polityki wobec dostawców usług ICT: od czego zacząć?
Dostawcy usług ICT otrzymują kwestionariusze od klientów, ale powinni również oceniać swoich własnych dostawców: podwykonawców, narzędzia do zdalnego zarządzania i każdego, kto ma dostęp do systemów klientów.
Czytaj więcej →Uwierzytelnianie wieloetapowe w usługach ICT: gdzie jest obowiązkowe, a gdzie nie?
Uwierzytelnianie wieloetapowe pojawia się w prawie każdym obowiązku ochrony wynikającym z NIS2 i w każdej liście bezpieczeństwa, ale wymóg różni się w zależności od sposobu dostępu. Ten artykuł pokazuje, gdzie MFA jest oczekiwane strukturalnie, a gdzie dyskusja wciąż jest otwarta.
Czytaj więcej →Kopie zapasowe i odzyskiwanie w usługach ICT: kiedy ostatnio przeprowadzono test?
Kopia zapasowa, która istnieje, ale nigdy nie została przywrócona, nie jest uwzględniana w ocenie obowiązków ochrony. Co to konkretnie oznacza dla zarządzania zdalnego, dostępu do systemów klientów i podwykonawców.
Czytaj więcej →Rejestracja incydentów w usługach ICT: co dokumentujesz?
Jako dostawca usług ICT często pracujesz zdalnie w systemach klientów, czasami wraz z podwykonawcą. Ten artykuł opisuje, co dokumentujesz w momencie, gdy coś pójdzie nie tak, aby można było to później wykazać.
Czytaj więcej →Zarządzanie dostępem w świadczeniu usług ICT: kto ma dostęp dokąd?
Wyjaśnienie, co zarządzanie dostępem w ramach obowiązku staranności NIS2 oznacza i dlaczego listy kontrolne właśnie tutaj zadają najbardziej wnikliwe pytania dotyczące zarządzania zdalnego, dostępu klientów i podwykonawców.
Czytaj więcej →Co wymaga zamawiający od usługodawcy ICT po NIS2
Zamawiający, którzy sami podlegają obowiązkowi opieki NIS2, tłumaczą ten obowiązek na wymogi umowne wobec swoich dostawców ICT — dotyczące dostępu do systemów, zarządzania zdalnego i podwykonawców.
Czytaj więcej →Czy usługi ICT podlegają NIS2?
Dla dostawców usług ICT odpowiedź jest dwuczęściowa: część z nich sama podlega liście sektorów NIS2, a znacznie większa część zostaje dotknięta, ponieważ klienci muszą ich ocenić jako dostawcę z dostępem do systemów.
Czytaj więcej →Lista kontrolna bezpieczeństwa w usługach ICT: jakie pytania pojawiają się najczęściej?
Dostawcy usług ICT ze względu na dostęp do systemów klientów otrzymują najczęściej bardziej szczegółowe listy kontrolne bezpieczeństwa. Artykuł ten porządkuje powtarzające się zagadnienia: zarządzanie zdalne, dostęp do systemów klientów i podwykonawcy.
Czytaj więcej →Ponowne wykorzystanie listy kontrolnej bezpieczeństwa: dlaczego drugi raz zajmuje minuty
Pierwsza lista kontrolna bezpieczeństwa klienta zajmuje wiele godzin poszukiwania i formułowania. Kto zapisze odpowiedzi w pliku, zauważy, że druga i trzecia lista kontrolna wymagają tylko weryfikacji i kilku zmian.
Czytaj więcej →Podejście do NIS2 jako MŚP: jak zbudować dokumentację bez zamieniania tego w roczny projekt?
Dokumentacja NIS2 nie musi być długotrwałym projektem: zacznij od tego, co Twoja firma już posiada, i uzupełniaj każde środek o stan, właściciela i dowód.
Czytaj więcej →NIS2 czy DORA: które przepisy mają zastosowanie do mojej organizacji?
Instytucje finansowe podlegają DORA, a nie NIS2. Niniejszy artykuł wyjaśnia, jak na podstawie Pani/Pana sektora działalności można określić, które przepisy mają zastosowanie do Pani/Pana organizacji.
Czytaj więcej →Jak wysoka jest kara za NIS2 i kto ją może faktycznie otrzymać?
Dyrektywa wymienia wysokie kwoty maksymalne, ale dotyczą one wyłącznie organizacji, które same podlegają NIS2. Dla znacznie większej grupy dostawców ryzyko nie stanowi kara, ale umowa, która znika wcześniej.
Czytaj więcej →Czy kierownictwo ponosi osobistą odpowiedzialność zgodnie z dyrektywą NIS2?
Dyrektywa NIS2 nakłada na zarząd część obowiązków w zakresie zarządzania ryzykiem bezpośrednio: zatwierdzanie, nadzór i szkolenia. Niniejszy artykuł wyjaśnia, co to konkretnie oznacza i dlaczego nie można powierzać tego zadania dostawcy.
Czytaj więcej →Czy istnieje certyfikat NIS2?
Nie — nie istnieje oficjalny certyfikat NIS2 i żadna instytucja go nie wydaje. Niniejszy artykuł wyjaśnia, co wymaga dyrektywa i jak to wiarygodnie wykazać.
Czytaj więcej →NIS2 i ISO 27001: jaka jest różnica?
Certyfikat ISO 27001 obejmuje wiele wymogów dotyczących obowiązków bezpieczeństwa wynikających z dyrektywy NIS2, ale nie dotyczy obowiązku rejestracji ani obowiązku zgłaszania do organu nadzoru.
Czytaj więcej →Rejestracja NIS2 u organu nadzorczego: jak to działa?
Podmioty uważane za kluczowe i ważne muszą się samodzielnie zarejestrować u krajowego organu nadzoru — niniejszy artykuł wyjaśnia, jakie dane są do tego potrzebne i dlaczego nikt nie będzie wam o tym przypominać.
Czytaj więcej →Obowiązek powiadomienia NIS2: co dokładnie oznaczają 24 godziny, 72 godziny i jeden miesiąc?
Dyrektywa NIS2 przewiduje trzy momenty powiadomienia po znaczącym incydencie. To, co oczekiwane na każdym etapie, różni się od tego, co zwykle się twierdzi.
Czytaj więcej →Jakie dziesięć środków wymaga obowiązek dołożenia należytej staranności z dyrektywy NIS2 od Twojej organizacji?
Obowiązek opieki wynikający z dyrektywy NIS2 wymienia dziesięć rodzajów środków bezpieczeństwa. Ten artykuł wyjaśnia w przystępnym języku, na czym polega każdy środek i jak rozpoznać, że jest należycie wdrożony.
Czytaj więcej →Questionnaire bezpieczeństwa od klienta: co z tym zrobić?
Klient wysyła długą listę pytań dotyczącą Waszego bezpieczeństwa i powołuje się na dyrektywę (UE) 2022/2555. Co oznacza ta lista, dlaczego ją otrzymujecie i jak udzielić przydatnej odpowiedzi.
Czytaj więcej →Czy moje przedsiębiorstwo podlega NIS2?
Dwa pytania decydują o tym, czy Twoja firma sama podlega dyrektywnie NIS2: sektor, w którym działasz, i wielkość Twojej organizacji. Jeśli nie podlegasz, możesz jednak spotkać się z tym poprzez klienta lub dostawcę.
Czytaj więcej →