kakšen dokaz moram predložiti za vsak varnostni ukrep

Pri vsakem ukrepu obstaja dokument, ki kaže stanje

Dokazilo je nekaj, kar dokazuje, da ukrep ni le zamišljen, temveč tudi resnično obstaja in se uporablja. Pri nadzoru dostopa je to na primer pregled tega, kdo ima dostop do katerih sistemov in kako se to spremlja; pri politiki popravkov dnevnik ali poročilo, ki dokazuje, da se posodobitve res izvajajo; pri procesu obravnavanja incidentov opis korakov, ki jih je treba slediti, po potrebi dopolnjen s poročilom o tem, da je bil proces že enkrat izveden ali testiran. Oblika se razlikuje glede na ukrep, vendar je načelo vedno enako: trditev brez podložnega dokumenta je težko razlikovati od namere.

Katero dokazilo je primerno, je odvisno od vsebine samega ukrepa — organizacijski ukrep, kot je politika, zahteva drugačno vrsto dokazila kot tehnični ukrep, kot sta šifriranje ali segmentacija omrežja. Na organizacijski strani gre pogosto za formalizirane politike; katera politična dokumenta moram imeti za nis2 se nadaljuje v tem kontekstu. Na tehnični strani pa gre bolj za konfiguracije, dnevnike ali rezultate testov. V vseh primerih velja, da dokazilo vsebuje ime, datum in po možnosti lastnika — osebo, ki lahko pojasni, zakaj dokument pravi tisto, kar pravi. Kdo je to v organizaciji, je posebno vprašanje, ki se obravnava posebej pri kdo mora biti v moji organizaciji odgovoren za ukrep.

Izvor te delitve na deset ukrepov

Člena 21(2) Direktive NIS2 našteva deset kategorij ukrepov, na katere se nanaša skrb za tveganja, od analize tveganj do nadzora dostopa in upravljanja kriz; Zakon o kibernetski varnosti to delitev prevzema v državo. Direktiva sama ne predpisuje fiksne oblike dokazila, vendar se običajno uporabljajo znani nadzorni ukrepi iz ISO/IEC 27001 Annex A, vključno s to vrsto dokazila, ki je primerna. NCSC daje navodila za zagotavljanje v splošnem smislu, brez predpisanega obveznega dokazila za vsak ukrep posebej.