Databáza vedomostí

Čo vyžaduje NIS2 od vašej organizácie?

Vysvetlené pre tých, ktorí sa s tým stretávajú prvýkrát. Každá skratka sa vysvetľuje na mieste, kde sa vyskytuje.

• Vzťahuje sa na moju spoločnosť smernica NIS2? — Dve veci to určujú: váš sektor a vaša veľkosť. Ale je tu tretia skupina, ktorá na to nedopadá, a napriek tomu dostáva požiadavky.
• Váš zákazník posiela zoznam otázok o bezpečnosti — čo teraz? — Na vás sa to priamo nevzťahuje, ale požiadavky dostávate. Prečo sa to stáva a čo je dobrá odpoveď.
• Povinnosť starostlivosti: desať opatrení z článku 21 — Čo sa od vás konkrétne očakáva, pre každé opatrenie — a ako vidíte, že je to usporiadané.
• Povinnosť nahlásenia: 24 hodín, 72 hodín a jeden mesiac — Tri momenty, a žiadny z nich nie je povinnosť nahlásenia do 24 hodín, na ktorý sa zvyčajne odkazuje.
• Zákon o kybernetickej bezpečnosti: čo platí v Holandsku — Holandská implementácia NIS2 a prečo neexistuje prechodné obdobie.
• NIS2 a ISO 27001: aký je rozdiel? — Norma pomáha, ale nepokrýva všetko. Kde sa prekrývajú a kde nie.

Desať opatrení z povinnosti starostlivosti

Článok 21, druhý odstavec smernice ich uvádzajú ako a až j. Z toho sa skladá dossier a na tom sa zakladá zoznam otázok o bezpečnosti od vášho zákazníka.

1. Analýza rizika a politika kybernetickej bezpečnosti (položka a)
   Zdokumentované posúdenie toho, čo môže zlyhať, a politika, ktorá na to reaguje. Toto je základ, na ktorom spočívajú ostatné deväť.
2. Manažment incidentov (položka b)
   Ako si všimnete, že niečo zlyháva, kto potom robí čo a ako si to zaznamenaváte. Tiež otázka, kto sa rozhoduje, či treba nahlasovať.
3. Kontinuita prevádzky a manažment kríz (položka c)
   Zálohy, obnova po výpadku a čo sa stane, ak váš najdôležitejší systém ležal týždeň. Vrátane testovania obnovy, nie len jej opisu.
4. Bezpečnosť v dodávateľskom reťazci (položka d)
   Bezpečnosť vašich dodávateľov a poskytovateľov služieb, pokiaľ to zasahuje vaše vlastné systémy. Toto je ustanovenie, vďaka ktorému vám vaši vlastní zákazníci posielajú zoznam otázok.
5. Bezpečnosť pri nákupe, vývoji a údržbe (položka e)
   Ako zapájate bezpečnosť pri kúpe alebo vývoji systémov a ako sa riešia zraniteľnosti, akonáhle sa stanú známymi.
6. Posúdenie účinnosti (položka f)
   Meranie, či to, čo ste usporiadali, skutočne funguje. Bez tohto zostáva zoznam opatrení len úmyslom.
7. Základná hygiena a vedomí (položka g)
   Aktualizácie, politika hesiel, práva, ktoré nie sú širšie, ako je potrebné — a ľudia, ktorí vedia, na čo majú dávať pozor. Tu sa viaže školenie.
8. Kryptografia a šifrovanie (sub h)
   Kedy sa údaje šifrujú, počas prenosu aj pri ukladaní, a aké sú dohody.
9. Bezpečnosť personálu, politika prístupu a správa majetku podniku (sub i)
   Kto má prístup k čomu, čo sa stane, keď niekto odíde, a aké zariadenia a systémy vlastne máte.
10. Viacfaktorová autentifikácia a bezpečná komunikácia (sub j)
    Dvojfaktorová autentifikácia tam, kde ide o veci, a bezpečná hlasová, video a textová komunikácia. Tiež núdzová komunikácia, ak bežné kanály zlyhajú.

Kedy musíte hlásiť?

Tri momenty, a žiaden z nich nie je "povinnosť hlásiť do 24 hodín", na ktorý sa často odvoláva. To platí iba ak ste sami podliehajúci subjekt podľa zákona.

Lehoty začínajú v okamihu, keď si uvedomíte incident. Pripravujeme texty; podávanie je vaša zodpovednosť na portáli vášho regulátora.