Baza de cunoștințe

Ce cere NIS2 organizației dumneavoastră?

Explicat pentru cine se confruntă cu aceasta pentru prima dată. Fiecare acronim este explicat în locul în care apare.

• Cadrul meu de lucru se încadrează în NIS2? — Două lucruri o determină: sectorul dumneavoastră și dimensiunea acestuia. Dar există o a treia grupă care nu se încadrează și totuși primește cerințele.
• Clientul dumneavoastră trimite un chestionar de securitate — ce faceți acum? — Nu sunteți în sfera de aplicare direct, dar primești totuși cerințele. De ce se întâmplă aceasta și care este un răspuns bun.
• Obligația de diligență: cele zece măsuri din articolul 21 — Ce se așteaptă concret de la dumneavoastră, per măsură — și cum vedeți că este reglementat.
• Obligația de raportare: 24 de ore, 72 de ore și o lună — Trei momente, și niciuna nu este obligația de raportare în 24 de ore la care se face de obicei referință.
• Legea privind securitatea cibernetică: ce se aplică în Olanda — Implementarea olandeză a NIS2 și de ce nu există o perioadă de tranziție.
• NIS2 și ISO 27001: care este diferența? — Standardul ajută, dar nu acoperă pe deplin. Unde se suprapun și unde nu.

Cele zece măsuri din obligația de diligență

Articolul 21, alineatul 2 din directivă le enumeră ca a până la j. Aceasta este din ce constă un dosar și pe ce se bazează chestionarul de securitate al clientului dumneavoastră.

1. Analiza riscurilor și politica de securitate a informațiilor (punctul a)
   O evaluare documentată a ceea ce poate merge prost și politica care răspunde acesteia. Aceasta este baza pe care se sprijin celelalte nouă.
2. Tratarea incidentelor (punctul b)
   Cum observați că ceva merge prost, cine face ce atunci și cum o documentați. De asemenea, întrebarea cui îi revine să decidă dacă trebuie raportate.
3. Continuitate și gestionarea crizelor (punctul c)
   Copii de rezervă, recuperare după o defecțiune și ce se întâmplă dacă sistemul dumneavoastră cel mai important este inactiv o săptămână. Inclusiv recuperarea testată, nu doar descrisă.
4. Securitate în lanțul de aprovizionare (punctul d)
   Securitatea furnizorilor și prestatorilor dumneavoastră de servicii, în măsura în care aceasta afectează sistemele dumneavoastră. Aceasta este regula din care rezultă că proprii dumneavoastră clienți vă trimit un chestionar.
5. Securitate în achiziție, dezvoltare și întreținere (punctul e)
   Cum încorporați securitatea atunci când cumpărați sau construiți sisteme, și cum sunt tratate vulnerabilitățile când sunt cunoscute.
6. Evaluarea eficacității (punctul f)
   Măsurând dacă ceea ce ați reglementat funcționează de fapt. Fără aceasta, o listă de măsuri rămâne o intenție.
7. Igienă de bază și conștientizare (punctul g)
   Actualizări, politica parolelor, drepturi nu mai larg decât este necesar — și oameni care știu la ce trebuie să se gândească. Aici se atașează antrenamentul.
8. Criptografie și criptare (sub h)
   Când datele sunt criptate, în tranzit și în stocare, și cu care acorduri.
9. Securitatea personalului, politica de acces și gestionarea activelor întreprinderii (sub i)
   Cine poate accesa ce, ce se întâmplă atunci când cineva pleacă din serviciu, și care sunt de fapt dispozitivele și sistemele.
10. Verificare multiplă și comunicare securizată (sub j)
    Verificare în două etape acolo unde contează, și comunicare vocală, video și text securizată. De asemenea, comunicare de urgență atunci când canalele obișnuite nu funcționează.

Când trebuie să raportați?

Trei momente, și niciunul dintre ele nu este "obligația de raportare în 24 de ore" la care se face adesea referire. Aceasta se aplică doar dacă voi înșivă cadeți sub lege.

Termenii încep din momentul în care vă conștientizați de incident. Noi pregătim textele; înmiterea o faceți voi înșivă, la portalul propriului dvs. organism de reglementare.