Baza znanja

Kaj NIS2 zahteva od vaše organizacije?

Pojasnjeno za tiste, ki se s tem srečavajo prvič. Vsak kratica je razložena na mestu, kjer se pojavlja.

• Ali moje podjetje spada pod NIS2? — Dve stvari to določata: vaš sektor in vaša velikost. Vendar obstaja tretja skupina, ki ne spada pod to, vendar kljub temu prejme zahteve.
• Vaš odjemalec pošilja vprašalnik o varnosti — kaj sedaj? — Sami ne spadate pod to, vendar prejmate zahteve. Zakaj se to dogaja in kaj je dober odgovor.
• Dolžnost previdnosti: deset ukrepov iz člena 21 — Kaj se od vas konkretno pričakuje, za vsak ukrep — in kako vidite, da je uredu.
• Obveznost prijave: 24 ur, 72 ur in en mesec — Tri trenutki, in niti eden ni obveznost prijave v 24 urah, na katero se običajno sklicuje.
• Zakon o kibernetski varnosti: kaj velja v Veliki Britaniji — Britanska implementacija NIS2 in zakaj ni prehodnega obdobja.
• NIS2 in ISO 27001: kakšna je razlika? — Standard pomaga, vendar ne pokriva vsega. Kjer se prekrivata in kjer ne.

Deset ukrepov iz dolžnosti previdnosti

Člen 21, drugi odstavek Direktive jih navaja kot a do j. To je tisto, iz česar je sestavljena mapa, in na čemer temelji vprašalnik o varnosti vaše stranke.

1. Analiza tveganja in pravilnik o varnosti informacij (točka a)
   Dokumentirana ocena tega, kaj se lahko zgodi, in pravilnik, ki na to odgovori. To je osnova, na kateri počivajo drugih devet.
2. Obravnava varnostnih incidentov (točka b)
   Kako opazite, da se kaj dogaja, kdo kaj počne in kako to dokumentirate. Tudi vprašanje, kdo odloči, ali je treba prijaviti.
3. Kontinuiteta poslovanja in krizno upravljanje (točka c)
   Varnostne kopije, okrevanje po izpadu in kaj se zgodi, če je vaš najpomembnejši sistem en teden v celoti nedelujoč. Vključno s testiranim okrevanjem, ne samo opisanim.
4. Varnost v dobavni verigi (točka d)
   Varnost vaših dobaviteljev in ponudnikov storitev, kolikor to vpliva na vaše lastne sisteme. To je določilo, zaradi katerega vaše lastne stranke vam pošljejo vprašalnik.
5. Varnost pri nabavi, razvoju in vzdrževanju (točka e)
   Kako vključite varnost pri nakupu ali gradnji sistemov in kako se ranljivosti obravnavajo, takoj ko postanejo znane.
6. Ocena učinkovitosti (točka f)
   Merjenje, ali tudi deluje tisto, kar ste uredili. Brez tega je seznam ukrepov ostane namen.
7. Osnovna higiena in ozaveščenost (točka g)
   Posodobitve, pravilniki za gesla, pravice, ki niso širše kot potrebno — in ljudje, ki vedo, na kaj morajo biti pozorni. Tu je pripeta usposabljanja.
8. Kriptografija in šifriranje (pod h)
   Kako se podatki šifrirajo med prenosom in shranjevanjem ter katere so dogovore.
9. Varnost osebja, politika dostopa in upravljanje poslovnih sredstev (pod i)
   Kdo ima dostop do česa, kaj se zgodi, ko oseba zapusti podjetje, in kateri so pravzaprav naprave ter sistemi.
10. Večfaktorska avtentifikacija in varna komunikacija (pod j)
    Двостопенsko preverjanje, kjer je to potrebno, in varna govorna, video in besedilna komunikacija. Tudi nujne komunikacijske kanale, če redni kanali odpovedejo.

Kdaj je treba prijaviti?

Tri trenutki, in noben od njih ni »obvieza prijave v 24 urah«, na katero se pogosto sklicuje. To velja samo, če sami spadate pod zakon.

Roki se štejejo od trenutka, ko postanete ozaveščeni o incidentu. Pripravimo besedila; vložiti jih morate sami, pri portalu svojega lastnega nadzornega organa.