Je manažér osobne zodpovedný podľa NIS2?
Smernica NIS2 nereguluje iba to, čo musí organizácia robiť z technického a organizačného hľadiska, ale priamo sa obracia aj na vedenie organizácie. Smernica požaduje od vedúcich pracovníkov, aby schválili opatrenia na riadenie rizík, dozorovali ich vykonávanie a absolvovali príslušné školenie. Ide o inú úlohu, ako má IT oddelenie alebo externý poskytovateľ, a túto úlohu nie je možné delegovať.
To, či to vedie aj k osobnej zodpovednosti jednotlivého člena vedenia, závisí od národného zákona, ktorým sa smernica transponuje, a od širšej legislatívy v oblasti práva spoločností v krajine, kde je organizácia sídliskom. V Holandsku to prebieha prostredníctvom Zákona o kybernetickej bezpečnosti a existujúcich pravidiel o zodpovednosti vedúcich pracovníkov za nesprávne riadenie. Čo je v tom presne pevne stanovené a čo je ešte vo vývoji, je najlepšie konsultovať s právnikom; tento článok opisuje hlavný smer, nie vašu individuálnu situáciu.
Čo smernica požaduje od vedenia
Záväzok vyplývajúci z NIS2 pozostáva z dvoch vrstiev, ktoré sa navzájom dopĺňajú. Prvá vrstva je organizácia: desať opatrení, ktoré tvoria kybernetický súbor, od kontroly prístupu až po riešenie incidentov. Druhá vrstva je vedenie: musí tieto opatrenia poznať, schváliť a sledovať. To neznamená, že vedúci pracovník musí rozumieť technike v každom detaile, ale znamená to, že vie, akým rizikám organizácia čelí, ktoré rozhodnutia sa v tejto súvislosti prijali a či sa tieto rozhodnutia dodržiavajú. Kto chce vedieť presne, o ktoré opatrenia ide, nájde prehľad v prehľade všetkých tém NIS2.
Prečo to nie je možné zveriť
Je veľmi bežné, že organizácia zverí vykonávanie bezpečnostných opatrení poskytovateľovi IT služieb, poskytovateľovi spravovaných služieb alebo internému bezpečnostnému špecializovi. To je povolené a pre mnoho malých a stredných podnikov je to aj jediná realistická cesta. Smernica však rozlišuje medzi vykonávaním a nesením zodpovednosti. Poskytovateľ môže spravovať firewall, nastaviť politiku hesiel alebo spustiť zálohu; vedenie zostáva tou stranou, ktorá musí vedieť, čo sa deje, a vedome sa pre to rozhodlo. Zmluva s poskytovateľom upravuje vykonávanie, nie zapojenie vedenia, ktoré smernica požaduje.
Tiež sa to týka témy dodávateľskej reťaze. Organizácia, ktorá sama spadá pod NIS2, musí monitorovať riziká, ktoré so sebou prinášajú dodávatelia — preto malé a stredné podniky dostávajú zoznam otázok o bezpečnosti od svojich objednávateľov. Rovnaká logika platí dovnútra: vedenie monitoruje to, čo robí vlastná organizácia, aj keď sa práca samotná vykonáva inde.
Čo v praxi znamená vykonávať dohľad
Dohľad nie je záležitosťou jednorazového podpisu dokumentu. Smernica hovorí o schválení opatrení a o školení, čo naznačuje, že ide o opakujúci sa proces: periodicky skontrolovať, či sú opatrenia stále relevantné, či boli vykonané, a či sa niečo nezmenilo, čo by si vyžadovalo úpravu. Pre vedúceho pracovníka bez technického vzdelania je zvyčajne najpraktickejšia forma pevný prehľad: ktoré sú tu opatrenia, aký je ich stav, kto je za ne zodpovedný a aký dôkazný materiál k nemu patrí. Bez takéhoto registra je vykonávanie dohľadu ťažko dokazovateľné, aj keď sa fakticky uskutočnil.
Čo vieme a čo nie
Smernica samotná opisuje úlohu vedenia na úrovni Európskej únie; ako sa to presne premietne do práva týkajúceho sa zodpovednosti, sa v jednotlivých krajinách líši a národná legislatíva nie je všade finalizovaná v rovnakom čase. Dozorovacie orgány na túto tému vydávajú vlastný výklad a tento výklad sa môže meniť. Sledujeme to pre každú krajinu a každý zdroj s údajom, kedy sme publikáciu zaznamenali; ako presne táto tvorba zdrojov funguje, je vysvetlené na stránke o tom, ako sledujeme zdroje. Aby sa vyjadrili k zodpovednosti konkrétneho manažéra v konkrétnej organizácii, je vhodné obrátiť sa na právnika alebo príslušný dohľadný orgán.
Čo môžete zaznamenať
Aj bez úplnej právnej istoty týkajúcej sa osobnej zodpovednosti existuje praktická práca, ktorú je možné vykonať: zaznamenať, aké opatrenia existujú, kto ich spravuje a kedy ich vedenie naposledy prerokuvalo. Práve na to je určený cyber-spis — živý register namiesto jednorázovej správy. Ak chcete najskôr vedieť, či vaša organizácia sama podlieha povinnosti starostlivosti alebo je zasiahnutá prostredníctvom dodávateľského reťazca, poskytuje bezplatná NIS2-kontrola v niekoľkých otázkach prvé orientačné zistenie s vysvetlením prečo.
Začnite tam, kde teraz stojíte: pozrite si bezplatnú NIS2-kontrolu alebo prelistujte banku vedomostí, aby ste videli, ktoré témy sú pre vašu organizáciu relevantné.