care sunt zece măsuri pe care trebuie să le iau conform NIS2

Zece măsuri formează împreună obligația de diligență

Zece măsuri din articolul 21 alineatul 2 al Directivei NIS2 formează împreună pachetul minim cu care o organizație și îndeplinește obligația de diligență. Acestea sunt: politica de analiză a riscurilor și securitate a sistemelor informatice, tratarea incidentelor, continuitatea activității și managementul crizelor (gândiți-vă la managementul copiilor de siguranță și la recuperarea după o situație de urgență), securitatea lanțului de aprovizionare, securitatea în achiziționarea, dezvoltarea și întreținerea sistemelor de rețea și informatice (inclusiv politica de vulnerabilități), politica și procedurile de evaluare a eficacității măsurilor, igiena cibernetică de bază și formare, politica de criptografie și criptare, securitatea personalului și politica de acces, și utilizarea autentificării cu mai mulți factori sau soluții similare. Această enumerație apare literal în directivă și se regăsește în transpunerea națională a acesteia.

În Țările de Jos, aceasta este Legea de securitate cibernetică, care preia aceleași zece puncte ca obligație pentru entitățile esențiale și importante. Pentru cei care se confruntă cu aceste cerințe prin intermediul unui client fără a fi ei înșiși obligați, este util să știe că tocmai punctul privind lanțul de aprovizionare este motivul pentru care securitatea proprie a furnizorilor este evaluată. Zece măsuri nu sunt o listă de control care se bifează o singură dată: sunt în practică detaliate în politici, proceduri și dovezi, și elaborarea aceasta este locul unde se petrece cea mai mare parte a timpului — consultați și ce înseamnă aceasta în timp și efort.

Unde se găsește aceasta în directivă și standarde

Articolul 21 alineatul 2 al Directivei NIS2 oferă zece puncte ca cerințe minime, iar articolul 21 alineatul 1 cuplează la acestea faptul că măsurile trebuie să fie "adecvate și proporționale" — bazate pe o evaluare a riscurilor, nu pe o normă fixă pentru toată lumea. Legea de securitate cibernetică transpune această obligație în situația neerlandeză, iar explicația NCSC descrie modul în care această obligație de diligență este pusă în practică. Multe dintre zece puncte se suprapun din punct de vedere al conținutului cu măsurile de control din Anexa A a ISO/IEC 27001, ceea ce explică de ce organizațiile cu un certificat ISO existent au de obicei deja o parte din fundament — deși aceasta nu este în sine o garanție că toate zece puncte sunt complet acoperite.