kaj je obveznost skrbnosti pod nis2 v preprostih besedah

Deset konkretnih ukrepov za obvladovanje kibernetskih tveganj

Varnostna dolžnost pomeni, da organizacija sprejme primerne ukrepe za zaščito svojih omrežnih in informacijskih sistemov ter da lahko dokaže, katere ukrepe je sprejela. Ne gre za en sam dokument ali eno polje za potrditev, temveč za skupino desetih področij, ki skupaj tvorijo osnovo: od analize tveganja in politike do ravnanja s ponudniki, šifriranja, nadzora dostopa in tega, kaj se zgodi v primeru incidenta. Vsaka organizacija, ki je zavezana po slovenskem Zakonu o kibernetski varnosti, mora na vsakem od teh desetih področij nekaj organizirati — in to ne samo na papirju, temveč tudi v praksi.

Važna podrobnost: varnostna dolžnost ni fiksni seznam z obveznimi tehničnimi proizvodi. Beseda »primerno« je pri tem odločilna — kaj je primerno za veliko energetsko podjetje, je drugače kot za srednje veliko programsko podjetje. Velikost organizacije, občutljivost podatkov in tveganje, ki ga predstavlja motnja ali incident, imajo pri tem vlogo. Pregled katerih deset ukrepov moram sprejeti po nis2 prikazuje, kako ta področja vsebinsko izgledajo. Tisti, ki že delajo z upravljalskim sistemom, kot je ISO/IEC 27001, prepoznajo veliko teh področij v nadzornih ukrepih Priloge A — čeprav to samo po sebi ni zagotovilo, da je varnostna dolžnost izpolnjena, kot je pojasnjeno tudi pri ali še potrebujem iso 27001, če že izpolnjujem nis2.

Od koder to izhaja: člena 21 NIS2 in Zakon o kibernetski varnosti

Varnostna dolžnost in deset ukrepov so opisani v členu 21, odstavek 2 Direktive NIS2; Zakon o kibernetski varnosti to obveznost preslika v slovensko pravo za organizacije, ki so nanjo zavezane. NCSC poleg tega daje usmeritve o tem, kako sta varnostna dolžnost in obveznost prijave v praksi povezani. To, ali mora organizacija sama izpolniti to obveznost, je odvisno od sektorja in velikosti — to je mogoče razbrati prek kako vem, ali moje podjetje spada pod nis2.