Cum abordați NIS2 ca IMM, fără a o transforma într-un proiect anual?
Calea cea mai scurtă nu este să redactați un plan amplu, ci să pornim de la ceea ce există deja. Majoritatea întreprinderilor mici și mijlocii au deja o politică de parolă, un calendar de copii de rezervă, o listă cu cine are acces la ce sisteme și o persoană de contact pentru IT. Nu este o politică completă de securitate cibernetică, dar este punctul de plecare al unui dosar: pentru fiecare măsură, documentați starea, cine este responsabil și ce dovezi demonstrează că se întâmplă cu adevărat.
Construirea unui dosar în acest mod nu este un proiect de luni. Este o listă pe care o deschideți astazi și care crește pe măsură ce lucrați: o măsură este deja acolo, alta se adaugă luna aceasta. Nu există un moment în care este "gata", și nici nu ar trebui să existe. Obligația de diligență care decurge din Directiva NIS2 și legile naționale corespunzătoare nu este un exercițiu unic, ci o practică continuă. Un registru activ se potrivește mai bine decât un document gros care dispare într-un dosar după finalizare.
Începeți de la ceea ce există deja, nu de la o pagină goală
Multe întreprinderi cred că pornesc de la zero imediat ce se menționează NIS2. Rareori este cazul. O întreprindere de instalații are de obicei deja acorduri privind cine are acces la sistemele clienților, un departament HR are un proces de revocare a accesului la pensionare, și aproape fiecare întreprindere are o formă de copie de rezervă, chiar dacă nu este documentată ca "politică de copii de rezervă". Primul pas nu este deci redactarea, ci inventarierea: ce facem deja, unde este asta documentat și cine poate dovedi asta.
Abia după aceea vine întrebarea ce componente lipsesc. Nu numai că economisește timp, dar previne și lucrul dublu sau elaborarea unei politici pentru ceva ce este deja bine organizat în practică, doar că nu este vizibil. Dacă doriți mai întâi să știți dacă organizația dvs. cade sub această jurisdicție sau este afectată printr-un client, puteți vedea aproximativ unde vă situați cu câteva întrebări, fără să trebuie să cumpărați ceva.
O măsură, o stare, un responsabil, o dovadă
Nucleul unui dosar funcțional este simplu: patru câmpuri fixe per măsură. Starea indică dacă ceva este rezolvat, parțial rezolvat sau trebuie încă făcut. Responsabilul este persoana care răspunde pentru asta, nu neapărat directorul însuși. Dovada este ceea ce demonstrează că măsura există: un calendar, o exportare dintr-un sistem, un document semnat. Fără aceste patru câmpuri, un dosar rămâne o colecție de bunelor intenții; cu aceste câmpuri devine ceva cu care puteți răspunde și la lista de verificare a securității unui client, deoarece nu trebuie să improvizați, ci puteți apela la ceea ce este deja documentat.
Această structură funcționează și plăcut pentru că nu trebuie să abordați totul deodată. Puteți începe cu măsurile pentru care aveți deja cel mai mult gata, care sunt ușor de pus în ordine, și puteți aborda restul treptat. Un rezumat al măsurilor pe care obligația de diligență le impune exact și ce cuprind acestea, îl găsiți la subiectele detaliate pe situație.
De ce merge mai repede decât sună
Impresia că NIS2 este un proiect anual apare adesea pentru că oamenii gândesc în termeni de document de politică complet care trebuie gata deodată. Un registru activ funcționează invers: pornește mic și incomplet și se actualizează automat la fiecare schimbare din organizația dvs., deoarece deja aveți de-a face cu acea schimbare. Un furnizor nou, un alt sistem de acces, un angajat nou cu drepturi administrative — fiecare moment este un punct natural de contact pentru a actualiza dosarul, în loc să refaceți totul o dată pe an.
Ce produce și ce nu produce dosarul
Din dosarul pe care îl păstrați urmează documentele de care aveți nevoie: politica în sine, răspunsurile la chestionarele furnizorilor, și texte pregătite pentru înregistrare sau notificare la autoritatea de reglementare. Notificarea sau înregistrarea aceasta trebuie să o efectuați dvs. pe portalul autorității de reglementare; un dosar prepară asta, dar nu preia depunerea. Dosarul nu este nici un înlocuitor pentru audit, testare de penetrare sau certificare — aceea rămâne munca unor părți specializate, la fel ca răspunsul la incidente dacă ceva merge cu adevărat prost.
Cine dorește să știe cu exactitate cum se construiește un astfel de dosar și ce surse se folosesc în acest scop, citește asta pe pagina despre de unde provin informațiile din platformă. Pentru situația organizației dvs., cu consecințele juridice corespunzătoare, un avocat sau autoritatea de reglementare competentă rămân interlocutorul potrivit.
Doriți să vedeți unde se află organizația dvs. în acest moment? Efectuați atunci verificarea gratuită NIS2 sau răsfoiți subiectele care se apropie cel mai mult de situația dvs.