čo je povinnosť starostlivosti podľa NIS2 v bežnej reči

Desať konkrétnych opatrení na riadenie kybernetických rizík

Povinnosť starostlivosti znamená, že organizácia prijíma vhodné opatrenia na ochranu svojich sietí a informačných systémov a že dokáže preukázať, aké opatrenia to sú. Nejde o jeden dokument alebo jednu políčko, ale o súbor desiatich oblastí, ktoré spolu tvoria základ: od analýzy rizík a politiky až po riadenie dodávateľov, šifrovanie, riadenie prístupu a to, čo sa stane pri incidente. Kto je povinný podľa Zákona o kybernetickej bezpečnosti, musí mať na každej z tých desiatich oblastí niečo zorganizované — a to nielen na papieri, ale aj v praxi.

Dôležitý detail: povinnosť starostlivosti nie je pevný zoznam povinných technických produktov. Slovo "vhodné" je pri tom rozhodujúce — čo je vhodné pre veľký energetický podnik, vyzerá inak ako to, čo je vhodné pre stredne veľkého softvérového dodávateľa. Veľkosť organizácie, citlivosť údajov a riziko, ktoré so sebou prináša výpadok alebo incident, zohrajú úlohu. Prehľad ktorých desať opatrení musím podľa NIS2 prijať ukazuje, ako tieto oblasti vyzerajú obsahovo. Kto už pracuje s managementovým systémom ako ISO/IEC 27001, pozná veľa z týchto oblastí z opatrení na riadenie rizík z prílohy A — aj keď to samo osebe nie je zárukou, že je povinnosť starostlivosti splnená, ako je tiež vysvetlené pri potrebujem stále ISO 27001, ak už spĺňam NIS2.

Odkiaľ to vyplýva: článok 21 NIS2 a Zákon o kybernetickej bezpečnosti

Povinnosť starostlivosti a desať opatrení sú opísané v článku 21, odsek 2 Smernice NIS2; Zákon o kybernetickej bezpečnosti preberá túto povinnosť do slovenskej legislatívy pre organizácie, ktoré pod ňu spadajú. NCSC poskytuje okrem toho informácie o tom, ako spolu v praxi súvisia povinnosť starostlivosti a povinnosť hlásenia. To, či musí organizácia samy dodržiavať túto povinnosť, závisí od sektora a veľkosti — to sa dá zistiť prostredníctvom ako zistím, či moje podnikanie podlieha NIS2.