Este responsabil personal un administrator sub NIS2?
Directiva NIS2 nu reglementează doar ceea ce o organizație trebuie să facă din punct de vedere tehnic și organizațional, ci adresează și conducerea însuși. Directiva solicită conducerii să aprobe măsurile de gestionare a riscurilor, să supravegheze implementarea acestora și să se instruiască în acest sens. Aceasta este un rol diferit de cel al departamentului IT sau al unui furnizor extern, și acest rol nu poate fi delegat.
Dacă acest lucru duce, de asemenea, la răspundere personală a unui conducător individual depinde de legea națională care transpune directiva și de dreptul mai general al entităților din țara în care organizația este stabilită. În Olanda, aceasta se desfășoară prin Legea privind securitatea cibernetică și regulile existente privind răspunderea conducerii în caz de administrare necorespunzătoare. Ceea ce este exact stabilit în acesta și ceea ce este încă în dezvoltare, este mai bine să discutați cu un jurist; acest articol descrie linia principală, nu situația dumneavoastră individuală.
Ceea ce directiva solicită conducerii
Obligația de diligență care rezultă din NIS2 constă din două straturi care se completează reciproc. Primul strat este organizația: zece măsuri care formează dosarul de securitate cibernetică, de la controlul accesului până la gestionarea incidentelor. Al doilea strat este conducerea: trebuie să cunoască aceste măsuri, să le aprobe și să le urmărească. Aceasta nu înseamnă că un conducător trebuie să înțeleagă în detaliu tehnica, dar trebuie să știe ce riscuri căreia riscuri se confruntă organizația, ce alegeri au fost făcute în acest sens și dacă acele alegeri sunt respectate. Cine dorește să știe exact ce măsuri sunt implicate, găsește o prezentare generală în prezentarea generală a tuturor subiectelor NIS2.
De ce nu se poate externaliza
Este foarte obișnuit ca o organizație să încredințeze implementarea măsurilor de securitate unui furnizor IT, unui furnizor de servicii gestionate sau unui ofițer de securitate intern. Aceasta este permisă, și pentru multe organizații MKB, aceasta este și singura cale realistă. Dar directiva face distincție între executare și răspundere. Un furnizor poate gestiona o cărămidă de foc, stabili o politică de parolă sau opera o copie de siguranță; conducerea rămâne cea care trebuie să poată demonstra că știe ce se întâmplă și că a ales în mod deliberat. Un contract cu un furnizor reglementează execuția, nu implicarea conducerii pe care o solicită directiva.
Aceasta se referă, de asemenea, la tema lanțului de aprovizionare. O organizație care se încadrează în sine sub NIS2 trebuie să supravegheze riscurile pe care le aduc furnizorii — de aceea companiile MKB primesc chestionare de securitate de la clienții lor. Aceeași logică se aplică în interior: conducerea supraveghează ceea ce face propria organizație, chiar dacă munca în sine este făcută în alt loc.
Ce înseamnă supravegherea în practică
Supravegherea nu este o chestiune de semnare unică a unui document. Directiva vorbește despre aprobarea măsurilor și de instruire, ceea ce sugerează că aceasta este un proces recurent: verificând periodic dacă măsurile sunt încă corecte, dacă au fost implementate și dacă s-a schimbat ceva care să necesite ajustare. Pentru un conducător fără experiență tehnică, forma cea mai practică este de obicei o prezentare generală fixă: ce măsuri există, care este starea, cine este proprietarul și ce dovadă îi aparține. Fără un astfel de registru, supravegherea este dificil de dovedit, chiar dacă s-a întâmplat de fapt.
Ceea ce știm și ceea ce nu știm cu siguranță
Directiva în sine descrie rolul conducerii la nivel european; modul în care aceasta se întâmplă exact în dreptul răspunderii diferă de țară la țară, iar legislația națională nu este finalizată în același timp peste tot. Autoritățile de supraveghere publică propria interpretare a acestui lucru, iar interpretarea aceasta poate fi modificată. Urmărim aceasta pe țară și pe sursă, cu data în care am văzut o publicație; modul în care funcționează exact această formare a surselor este explicat în pagina despre modul în care urmărim sursele. Pentru o apreciere a răspunderii unui anumit administrator într-o organizație specifică, un jurist sau autoritatea de supraveghere competentă rămâne punctul de contact corespunzător.
Ce puteți documenta
Chiar și fără certitudine juridică completă privind răspunderea personală, există lucrări practice de efectuat: documentarea măsurilor existente, identificarea celor care le administrează și momentul în care conducerea le-a discutat pentru ultima dată. Aceasta este exact scopul dosarului de securitate cibernetică — un registru viu în loc de un raport unic. Dacă doriți mai întâi să aflați dacă organizația dumneavoastră se încadrează direct în obligația de diligență sau dacă este afectată prin lanțul de aprovizionare, atunci: verificarea NIS2 gratuită vă oferă în câteva întrebări o primă indicație, cu explicații privind motivul.
Începeți de unde sunteți acum: consultați verificarea NIS2 gratuită sau răsfoiți baza de cunoștințe pentru a vedea care sunt subiectele relevante pentru organizația dumneavoastră.