aké politické dokumenty musím mať pre NIS2

Politika vyplýva z desiatich opatrení, nie z pevného zoznamu

Neexistuje žiadny oficiálny kontrolný zoznam s názvami politických dokumentov, ktoré sú povinné podľa NIS2. Čo však existuje: desať kategórií opatrení, pre ktoré musí organizácia ukázať, ako sa s nimi zaobchádza, a v praxi sa to premieňa na súbor politických dokumentov, ktoré väčšina organizácií vypracuje. Myslite na politiku informačnej bezpečnosti ako na všeobjímajúci dokument, politiku rizík, politiku zaobchádza s incidentmi a ich hlásenia, politiku kontinuity podnikania a manažmentu kríz, politiku dodávateľov s požiadavkami na reťazec, politiku prístupu a politiku kryptografie a šifrovania. Niektoré organizácie pridávajú samostatný dokument o bezpečnosti personálu a povedomí, prepojený s školením s certifikátom účasti — posledné uvedené je relevantné pretože prečo potrebujem certifikát o účasti na školení kybernetickej bezpečnosti vysvetlite, čo tento certifikát presne dokazuje.

Dôležitejšie ako presný názov každého dokumentu je to, aby každý dokument opatrenie po opatrení korešpondoval s tým, čo sa v praxi deje, spolu s dôkazným materiálom a osobou, ktorá je za to zodpovedná. Politický dokument, ktorý leží na poličke bez väzby na dennú prax, má pri overovaní málu hodnotu. Kto ešte musí zistiť, ktorý dôkaz k akému opatreniu patrí, nájde to späť v aký doklad musím poskytnúť za každé bezpečnostné opatrenie, a otázka, kto by mal túto politiku v rámci organizácie spravovať, sa rieši v kto by mal byť v mojej organizácii zodpovedný za opatrenie.

Základ: článok 21 bod 2 smernice NIS2

Desať opatrení, ktoré slúžia ako základ pre politické dokumenty, sa nachádza v článku 21 bod 2 smernice NIS2, pričom Zákon o kybernetickej bezpečnosti je jeho transpozíciou v Holandsku. Mnoho organizácií navyše využíva prílohu A normy ISO/IEC 27001 ako praktické rozdelenie, aby sa tieto opatrenia konkretizovali, a NCSC zverejňuje pokyny na to, ako sa opatrenia starostlivosti v praxi robia.