katera politična dokumenta moram imeti za nis2

Pravilniki izhajajo iz desetih ukrepov, ne iz fiksnega seznama

Uradnega seznama z imeni pravilnikov, ki so obvezni v skladu z NIS2, ni. Kaj pa obstaja: deset kategorij ukrepov, za katere mora organizacija dokazati, kako se s tem spopada, in v praksi se to prevede v sklop pravilnikov, ki jih pripravlja večina organizacij. Mislite na splošni pravilnik o varnosti informacij, pravilnik o tveganju, pravilnik za obravnavo incidentov in poročanje o njih, pravilnik za poslovni kontinuitete in krizno upravljanje, pravilnik o dobaviteljih z zahtevami do oskrbne verige, pravilnik o dostopu ter pravilnik o kriptografiji in šifriranju. Nekatere organizacije dodata še ločen pravilnik za varnost zaposlenih in ozaveščenost, povezan s treningom z dokazilom udeležbe — slednje je pomembno, ker zakaj potrebujem potrdilo o udeležbi na usposabljanju iz kibernetske varnosti pojasnite, kaj tisti dokaz točno dokazuje.

Bolj kot natančen naslov vsakega dokumenta je važno, da vsak dokument mero za mero sledi temu, kar se v praksi dogaja, s priloženim dokazilom in osebo, ki je zanjo odgovorna. Pravilnik, ki leži v predalu brez povezave na vsakodnevno prakso, ima malo vrednosti pri reviziji. Kdor še mora ugotoviti, katero dokazilo sodi k kateremu ukrepu, ga najde nazaj v kakšen dokaz moram predložiti za vsak varnostni ukrep, vprašanje pa, kdo mora ta pravilnik v organizaciji upravljati, pa pride na vrsto pri kdo mora biti v moji organizaciji odgovoren za ukrep.

Osnova: člen 21 odstavek 2 Direktive NIS2

Deset ukrepov, ki služijo kot osnova za pravilnike, so navedeni v členu 21 odstavku 2 Direktive NIS2, s slovenskim Zakonom o kibernetski varnosti kot nacionalne izvedbe tega. Mnoge organizacije poleg tega uporabljajo prilogo A standarda ISO/IEC 27001 kot praktično razdelitev za konkretizacijo teh ukrepov, NCSC pa objavlja smernice, kako se dolžnost skrbi v praksi izpolnjuje.