czym jest obowiązek opieki w ramach NIS2 w zwykłym języku

Dziesięć konkretnych środków do zarządzania ryzykiem cybernetycznym

Obowiązek staranności oznacza, że organizacja podejmuje odpowiednie środki w celu ochrony swoich sieci i systemów informatycznych i może wykazać, jakie środki są wdrażane. Nie chodzi o jeden dokument ani jedno pole wyboru, ale o zbiór dziesięciu obszarów tematycznych, które stanowią razem podstawę: od analizy ryzyka i polityki poprzez relacje z dostawcami, szyfrowanie, zarządzanie dostępem, aż do tego, co się dzieje w przypadku incydentu. Kto jest zobowiązany na mocy ustawy o cyberbezpieczeństwie, musi mieć coś zorganizowane w każdym z tych dziesięciu obszarów — i to nie tylko na papierze, ale także w praktyce.

Ważny szczegół: obowiązek staranności nie jest stałą listą wymaganych produktów technicznych. Słowo "odpowiedni" jest przy tym decydujący — to, co jest odpowiednie dla dużego przedsiębiorstwa energetycznego, wygląda inaczej niż to, co jest odpowiednie dla średniej wielkości dostawcy oprogramowania. Wielkość organizacji, wrażliwość danych i ryzyko, które stwarza zakłócenie lub incydent, odgrywają tutaj rolę. Przegląd jakie dziesięć środków muszę podjąć zgodnie z NIS2 pokazuje, jak te obszary tematyczne wyglądają pod względem treści. Kto już pracuje z systemem zarządzania takim jak ISO/IEC 27001, rozpozna wiele z tych obszarów w środkach kontroli z załącznika A — chociaż samo w sobie nie gwarantuje to zgodności z obowiązkiem staranności, jak również wyjaśniono w czy nadal potrzebuję ISO 27001, jeśli już spełniam wymogi NIS2.

Źródło tego: artykuł 21 NIS2 i ustawa o cyberbezpieczeństwie

Obowiązek staranności i dziesięć środków są opisane w artykule 21, ust. 2 dyrektywy NIS2; ustawa o cyberbezpieczeństwie transpozycji tego obowiązku na prawo krajowe dla organizacji, które tam się znajdują. NCSC dodatkowo udziela informacji na temat tego, jak obowiązek staranności i obowiązek zgłaszania są powiązane w praktyce. To, czy organizacja musi sama wywiązywać się z tego obowiązku, zależy od sektora i wielkości — można to ustalić za pośrednictwem skąd wiem, czy moja firma podlega NIS2.