Dolžnost previdnosti: deset ukrepov iz člena 21
Kaj se konkretno pričakuje od vas, za vsak ukrep — in kako vidite, da je uredjeno.
Deset tem, brez tehnične seznama zahtev
Direktiva ne predpisuje nobenih izdelkov in nobenih institucij. Omenja deset tem, na katerih morate sprejeti primerne in sorazmerne ukrepe, in vam prepušča njihovo izvajanje. Primerno in sorazmerno pomeni: v razmerju do vašega tveganja, vaše velikosti in stanja tehnike. Bolnica s tremi tisoč ljudmi naredi kaj drugega kot programsko podjetje s šestdeset zaposlenimi.
To je bolj zapleteno kot seznam za odčrtavanje, vendar tudi pravičnejše. In pojasnjuje, zakaj certifikat ne obstaja: ni standarda, na katerega bi ga potrdili.
Kje se večina organizacij zaplete
Ne pri tehniki. Praktično vsi imajo varnostne kopije, posodobitve in pravila za gesla. Napaka nastane pri dokazovanju: nikje ni napisano, ni odgovornega, in nihče ne more pokazati, kdaj je bilo zadnje testiranje.
Dolžnost skrbnosti ne zahteva le, da to počnete, temveč da to lahko pokažete. To je tudi natanko tisto, kar stranko zanima v svem vprašalniku in kar nadzornik najprej zahteva.
Začnite brez enega leta dolgega projekta
Začnite s tem, kar že imate. Za vsako od desetih tem: je uredjeno, delno, ne, ali se ne uporablja, in kdo je odgovoren. To samo po sebi vam daje sliko, ki jo lahko pokažete stranki, in pojasni, kateri dve ali tri stvari resnično potrebujejo pozornost.
Tega ne smete storiti: ne začnite z ničelno meritvijo za deset tisoč evrov. Najprej se sami inventarizujte, nato veste, za kateri nasvet ste jih potrebovali.
Pogosta vprašanja
Ali obstaja NIS2-certifikat?
Ne. Ni nobene institucije, ki bi izdala potrdilo, da ste skladni z NIS2, in kdor to ponuja, prodaja nekaj, kar ne obstaja. Mogoče je le dokazljivo dokumentirati, kaj ste uredili, s datumom in dokazom.
Ali pri tem pomaga ISO 27001?
Bistveno, ker je večina desetih tem v njem. Vendar to ni isto in ni nadomestilo: NIS2 ima dolžnost prijave in dolžnost registracije, ki ju norma ne vsebuje.
Kako pogosto moram to posodobiti?
Direktiva ne omenja roka, vendar zahteva, da ocenite učinkovitost. Enkrat na leto in po vsakem pomembnem dogodku je branljiva praksa.
To je razlaga, ne nasvet o vaši lastni situaciji. secria.eu ne ocenjuje vaše organizacije in ne daje zagotovil.