ktorých desať opatrení musím podľa NIS2 prijať

Desať opatrení tvoria spolu povinnosť starostlivosti

Desať opatrení z článku 21 odsek 2 smernice NIS2 tvoria spolu minimálny balík, pomocou ktorého organizácia plní svoju povinnosť starostlivosti. Ide o: politiku analýzy rizík a bezpečnosti informačných systémov, spracovanie incidentov, kontinuitu podnikania a riadenie kríz (vrátane správy zálohovania a obnovy po núdzovej situácii), bezpečnosť dodávateľského reťazca, bezpečnosť pri nákupe, vývoji a údržbe sieťových a informačných systémov (vrátane politiky zraniteľnosti), politiku a postupy na posúdenie účinnosti opatrení, základnú cyberúroveň a školenia, politiku kryptografie a šifrovania, bezpečnosť zamestnancov a politiku prístupu a používanie viacnásobného overovania alebo porovnateľných riešení. Tento zoznam je v smernici uvedený doslova a je zahrnutý v jej národnej transpozícii.

Na Slovensku je to zákon o kybernetickej bezpečnosti, ktorý tieto desať bodov prevezme ako povinnosť pre kritickej infraštruktúry a dôležité subjekty. Pre tých, ktorí sa s týmito požiadavkami stretávajú prostredníctvom klienta bez vlastnej právnej povinnosti, je užitočné vedieť, že práve bod týkajúci sa dodávateľského reťazca je dôvodom, prečo sa posúdava vlastná bezpečnosť dodávateľov. Desať opatrení nie je kontrolný zoznam, ktorý sa raz príde a odškrtne: v praxi sa rozvinú do politiky, postupov a dokladov a práve táto rozvinutie zaberie väčšinu času — pozri aj čo to znamená v čase a úsilí.

Kde je to v smernici a normách

Článok 21 odsek 2 smernice NIS2 stanovuje desať bodov ako minimálne požiadavky a článok 21 odsek 1 pripája, že opatrenia musia byť "primeraná a proporcionálna" — na základe posúdenia rizika, nie na základe pevnej normy pre všetkých. Zákon o kybernetickej bezpečnosti prenáša túto povinnosť starostlivosti na slovenskú situáciu a vysvetlenie NCSC opisuje, ako sa táto povinnosť starostlivosti v praxi plní. Veľa z desiatich bodov sa obsahovo prekrýva s opatreniami riadenia z prílohy A normy ISO/IEC 27001, čo vysvetľuje, prečo organizácie s existujúcim certifikátom ISO majú často už položené časť základu — hoci to samo osebe nie je zárukou, že všetkých desať bodov je úplne pokrytých.