Ako riešite NIS2 ako MSP bez toho, aby ste z toho robili ročný projekt?
Najkratšia cesta nie je písať veľký plán, ale začať s tým, čo už máte. Väčšina MSP má už politiku hesiel, plán zálohovania, zoznam toho, kto má prístup ku ktorým systémom a kontaktnú osobu na IT. To nie je úplná politika kybernetickej bezpečnosti, ale je to počiatočný bod dossiera: zaznamenať si pre každé opatrenie, aký je jeho stav, kto je naň zodpovedný a ktorý dokument dokazuje, že sa skutočne vykonáva.
Budovať dossier týmto spôsobom nie je projekt na mesiace. Je to zoznam, ktorý dnes otvoríte a ktorý rastie, keď pracujete: jedno opatrenie tam už je, ďalšie sa pridá tento mesiac. Nie je chvíľa, kedy je to "hotové", a to nie je ani zamýšľané. Povinnosť starostlivosti vyplývajúca z Smernice NIS2 a príslušných národných zákonov nie je jednorazové cvičenie, ale pokračujúca prax. Živý register sa sem hodí lepšie ako tlstý dokument, ktorý po odovzdaní zmizne v zložke.
Začnite s tým, čo už máte, nie s prázdnou stránkou
Mnoho spoločností si myslí, že začínajú od nuly, keď sa objaví slovo NIS2. Tak sa to zriedka stáva. Inštalačná spoločnosť má zvyčajne už dohovory o tom, kto má prístup k systémom zákazníkov, oddelenie HR má proces na zrušenie prístupu pri ukončení pracovného pomeru a takmer každá spoločnosť má nejakú formu zálohovania, aj keď nie je papierom zafixovaná ako "politika zálohovania". Prvým krokom teda nie je písať, ale inventarizovať: čo už robíme, kde je to zaznamenané a kto to môže preukázať.
Potom až nasleduje otázka, ktoré časti ešte chýbajú. To šetrí nielen čas, ale tiež predchádza tomu, že by ste robili duplicitný majetok alebo vytvorili politiku pre niečo, čo je v praxi už dobre zaradené, iba ešte nie je viditeľné. Chcete-li najprv vedieť, či vaša organizácia tu vôbec spadá alebo či je dotknutá prostredníctvom zákazníka, je to vidieť na pár otázka vidieť približne, kde stojíte, bez toho, aby ste museli kúpiť čokoľvek.
Jedno opatrenie, jeden stav, jeden vlastník, jeden dôkazný materiál
Jadro funkčného spisu je jednoduché: na každé opatrenie štyri pevné polia. Stav naznačuje, či je vec vyriešená, čiastočne vyriešená alebo ešte musí byť urobená. Vlastník je osoba, ktorá je za ňu zodpovedná, nie nutne sám riaditeľ. Dôkazný materiál je to, čo dokazuje, že opatrenie existuje: schéma, export zo systému, podpísaný dokument. Bez týchto štyroch polí zostáva spis zbierkou dobrých úmyslov; s týmito poľami sa stáva niečím, s čím môžete odpovedať aj na kontrolný zoznam kybernetickej bezpečnosti svojho klienta, pretože nemusíte improvizovať, ale môžete sa opierať o to, čo je už stanovené.
Táto štruktúra funguje aj príjemne, pretože nemusíte všetko riešiť naraz. Môžete začať s opatreniami, na ktoré máte už najviac, ktoré sa ľahko dajú uviesť do poriadku, a zvyšok riešiť postupne. Prehľad opatrení, ktoré povinnosť starostlivosti presne očakáva, a čo pod ňu patrí, nájdete v časti rozpracované témy podľa situácie.
Prečo to trvá rýchlejšie, ako to znie
Dojem, že NIS2 je ročný projekt, vzniká často preto, že ľudia myslia na úplný dokument s politikou, ktorý musí byť hotový na raz. Živý register funguje opačne: začína malý a neúplný, a pri každej zmene vo vašej organizácii sa automaticky aktualizuje, pretože ste na tej zmene už tak či tak pracujú. Nový dodávateľ, iný systém prístupu, nový zamestnanec s právami správcu — každý moment je prirodzeným bodom na to, aby ste spis aktualizovali, namiesto aby ste všetko robili raz za rok.
Čo spis prináša a čo nie
Z vedenia dossiera vyplývajú dokumenty, ktoré potrebujete: samotná politika, odpovede na kontrolné zoznamy od vašich zákazníkov a pripravené texty na registráciu alebo hlásenie orgánu dohľadu. Toto hlásenie alebo registráciu však musíte sami podať prostredníctvom portálu vášho orgánu dohľadu; dossier to pripravuje, ale neprevezme vašu povinnosť podania. Dossier nie je ani náhradou za audit, penetračný test alebo certifikáciu — to zostáva úlohou špecializovaných subjektov, rovnako ako riešenie incidentov, ak sa niečo skutočne pokazí.
Ak chcete vedieť presne, ako takéto dossier vzniká a aké zdroje sa pri tom používajú, prečítajte si to na stránke o odkiaľ pochádza informácia v platforme. Pri situácii vašej vlastnej organizácie so súvisiacimi právnymi následkami zostáva právnik alebo príslušný orgán dohľadu vhodným kontaktným miestom.
Ak chcete vidieť, kde sa vaša organizácia v súčasnosti nachádza, vykonajte bezplatný NIS2-check alebo prehliadajte témy, ktoré sa najviac približujú vašej situácii.