Povinnosť starostlivosti: desať opatrení z článku 21
Čo sa konkrétne od vás očakáva, pre každé opatrenie — a ako vidíte, že je to vyriešené.
Desať tém, žiadny technický zoznam požiadaviek
Smernica nepredpisuje žiadne produkty ani inštitúcie. Uvádza desať tém, pri ktorých musíte prijať vhodné a proporcionálne opatrenia, a ponecháva ich naplnenie na vás. Vhodné a proporcionálne znamená: v súlade s vašim rizikom, veľkosťou a úrovňou techniky. Nemocnica s tromi tisícmi ľudí robí niečo iné ako softvérová spoločnosť so šesťdesiatimi zamestnancami.
To je zložitejšie ako kontrolný zoznam, ale aj spravodlivejšie. A vysvetľuje, prečo neexistuje certifikát: neexistuje norma, podľa ktorej by sa dalo schválastiť.
Kde sa väčšina organizácií zasekne
Nie na technike. Takmer každý má zálohy, aktualizácie a politiku hesiel. Problém je v preukázaní: nikde nie je zaznamenané, nemá vlastníka a nikto nemôže ukázať, kedy to bolo naposledy testované.
Povinnosť starostlivosti vyžaduje nielen to, aby ste to robili, ale aby ste to mohli preukázať. To je presne to, čo chce zákazník vidieť vo svojom zozname otázok, a to, čo prvé požiada kontrolný orgán.
Začať bez ročného projektu
Začnite s tým, čo už máte. Pre každú z desiatich tém: je to vyriešené, čiastočne, nie, alebo sa to netýka, a kto za to zodpovedá. Už to samotné vám dá predstavu, ktorú môžete ukázať zákazníkovi, a objasní, ktoré dve alebo tri veci naozaj potrebujú pozornosť.
Čo by ste nemali robiť, je začať s merením od nuly za desaťtisíce eur. Najskôr si sami urobte inventúru, potom budete vedieť, o akej porade potrebujete.
Často kladené otázky
Existuje certifikát NIS2?
Nie. Neexistuje žiadny orgán, ktorý by vydal osvedčenie, že vyhovujete NIS2, a kto to ponúka, predáva niečo, čo neexistuje. Čo je možné, je preukázateľne zaznamenať, čo ste vyriešili, s dátumom a dôkazom.
Pomáha tu ISO 27001?
Výrazne, pretože veľa z desiatich tém je v nej zahrnutých. Ale nie je to rovnaké a nie je jej náhradou: NIS2 má oznamovaciu povinnosť a registračnú povinnosť, ktoré sa v norme nevyskytujú.
Ako často to musím aktualizovať?
Smernica neurčuje lehotu, ale vyžaduje, aby ste posúdili účinnosť. Raz ročne a po každom významnom incidente je obhájiteľný postup.
Ide o vysvetlenie, nie o poradenstvo vzťahujúce sa na vašu konkrétnu situáciu. secria.eu vaši organizáciu neposúdila a neposkytuje záväzné vyjadrenie.