katerih deset ukrepov moram sprejeti po nis2

Deset ukrepov skupaj tvori dolžnost skrbi

Deset ukrepov iz člena 21(2) Direktive NIS2 skupaj tvorijo minimalni paket, s katerim organizacija izpolnjuje svojo dolžnost skrbi. Gre za: politiko za analizo tveganja in varnost informacijskih sistemov, obravnavo incidentov, nadaljevanje poslovanja in krizno upravljanje (razmislite na upravljanje varnostnih kopij in okrevanje po nujnem primeru), varnost verige oskrbe, varnost pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov (vključno s politiko ranljivosti), politiko in postopke za ocenjevanje učinkovitosti ukrepov, osnovno kibernetsko higieno in usposabljanja, politiko za kriptografijo in šifriranje, varnost osebja in politiko dostopa ter uporabo večfaktorske avtentikacije ali podobnih rešitev. Ta naštevka je dobesedno tako navedena v direktivi in se pojavlja tudi v njen nacionalni prenos.

V Združenih državah je to Zakon o kibernetski varnosti, ki enake deset točk prevzema kot obveznost za bistvene in pomembne subjekte. Za tiste, ki se s temi zahtevami srečujejo prek svojega stranke, vendar sami niso dolžni, je koristno vedeti, da je prav točka o varnosti verige oskrbe razlog, da se lastna varnost dobaviteljev ocenjuje. Deset ukrepov ni kontrolni seznam, ki bi se enkrat obkljukal: v praksi se razvojejo v politiko, postopke in dokazne dokumente, in prav ta razvojevanje vzame največ časa — poglej tudi kaj to pomeni v času in vložkih.

Kje je to v direktivi in standardih

Člen 21(1) Direktive NIS2 navaja deset točk kot minimalne zahteve, člen 21(1) pa se nanje naveže s tem, da morajo biti ukrepi »primerni in sorazmerni« — na podlagi ocene tveganja, ne glede na fiksno normo za vse. Zakon o kibernetski varnosti to obveznost prenese na slovensko situacijo, in pojasnilo NCSC opisuje, kako se ta dolžnost skrbi v praksi izpolnjuje. Marsikatera od desetih točk se vsebinsko prepleta z nadzornimi ukrepi iz Priloge A standarda ISO/IEC 27001, kar razlaga, zakaj imajo organizacije s certifikatom ISO pogosto že del temelja — vendar to samo po sebi ni zagotovilo, da so vse deset točk v celoti zajete.