Ko podjetje odpre temo GAP analiza NIS2, običajno ne išče teorije, ampak jasen odgovor: kaj je treba preveriti, kje so tveganja, kdo mora sodelovati in katera dokazila bodo zdržala tudi pri presoji ali vprašanju poslovnega partnerja. Ta stran je pripravljena kot praktičen vodnik za odločanje; cilj je primerjati trenutno stanje z zahtevami NIS2 in dobiti prioritetni načrt ukrepov.
Če naletite na izraze GAP analiza NIS2, NIS2 readiness, NIS2 assessment, NIS2 skladnost, jih obravnavajte kot signal za preverjanje obsega, odgovornosti in dokazil. Tako se izognete temu, da bi varnost ostala na ravni besedila v dokumentu.
Kratek odgovor
GAP analiza NIS2 pomaga organizaciji razumeti, kaj je v obsegu, kje so glavna tveganja, kateri ukrepi so smiselni in kako dokazati, da se varnost ne dogaja samo na papirju. Najbolj koristno je za organizacije, ki ne želijo ugibati, kaj jim manjka za NIS2, ampak potrebujejo pregled vrzeli in dokazil.
Kdaj je to pomembno?
Varnostnih orodij je veliko, dokumentacije malo. GAP analiza NIS2 pokaže, kateri ukrepi so že izvedeni, kateri obstajajo samo delno in kje manjkajo odgovornosti ali dokazila.
Pravi trenutek za ureditev ni šele takrat, ko pride presoja ali incident. Bolje je začeti, ko lahko ekipa še mirno preveri obseg, podatke, dostopne pravice, dobavitelje, postopke in dokazila. Tako se izognemo paničnemu zbiranju informacij tik pred rokom ali med kriznim dogodkom.
Kaj preveriti najprej?
Spodnja tabela prikazuje praktičen začetek: na levi so področja, ki jih je smiselno preveriti, na desni pa dokazila, ki pokažejo, ali področje res deluje.
| upravljanje tveganj | matrika zahtev in dokazil |
| incident reporting | seznam vrzeli |
| dobavitelji | prioritetni načrt |
| varnostne kopije | lastniki ukrepov |
| usposabljanje in odgovornost vodstva | povzetek za vodstvo |
Praktični koraki
- Določite, ali je organizacija bistveni ali pomembni subjekt po NIS2/ZInfV-1, in kateri sektorji ter storitve so v obsegu.
- Popišite obstoječe varnostne ukrepe, politike in pogodbe ter jih primerjajte z zahtevami zakona.
- Razvrstite ugotovljene vrzeli po tveganju in regulatorni teži, ne po tehnični zahtevnosti.
- Pripravite prioritetni akcijski načrt z roki in odgovornimi osebami za vsako vrzel.
- Predstavite ugotovitve vodstvu in pridobite potrditev proračuna ter časovnice za odpravo vrzeli.
Tipične napake
Pri tej temi se največ težav pojavi takrat, ko organizacija uvede orodje ali napiše dokument, ne uredi pa odgovornosti, dokazil in rednega preverjanja.
- analiza brez poslovnega obsega
- preveč tehničnih podrobnosti brez prioritet
- ni lastnikov ukrepov
- ni povezave med vrzeljo in dokazilom
Dokazila, ki jih je vredno urediti
Dokazila niso birokracija sama sebi namen. So način, da organizacija pokaže, kaj je odločila, kaj izvaja in kako preverja učinkovitost ukrepov. Pri presoji, incidentu, zavarovalniškem vprašalniku ali zahtevi večjega kupca so dokazila pogosto razlika med mirnim odgovorom in improvizacijo.
- upravljanje tveganj
- incident reporting
- dobavitelji
- varnostne kopije
- usposabljanje in odgovornost vodstva
Kako izgleda dober rezultat?
Koristen rezultat pri GAP analiza NIS2 ni samo lep dokument ali seznam priporočil. Organizacija mora znati v nekaj minutah pokazati, kaj je v obsegu, kdo je odgovoren, kateri ukrepi so izvedeni, katera tveganja ostajajo odprta in kaj je naslednja odločitev. To je pomembno za vodstvo, ker varnost postane obvladljiva, in za IT ekipo, ker se delo razvrsti po prioritetah.
Uporabno poročilo ali izvedba mora zato vsebovati tri ravni informacij. Prva raven je povzetek za vodstvo: kaj je kritično, kaj se izboljšuje in katera odločitev je potrebna. Druga raven je operativni načrt za IT ali varnostno ekipo: konkretni ukrepi, lastniki, roki in odvisnosti. Tretja raven so dokazila: zapisi, konfiguracije, poročila, odobritve in rezultati preverjanj, ki jih lahko pokažete ob presoji, incidentu ali zahtevi poslovnega partnerja.
Merila uspeha
Če ni meril uspeha, tema hitro ostane pri splošnih priporočilih. Pri GAP analiza NIS2 je smiselno spremljati nekaj preprostih kazalnikov, ki jih razumejo tako tehnične ekipe kot vodstvo.
- delež ključnih sistemov ali procesov, ki so vključeni v obseg;
- število odprtih kritičnih vrzeli in trend njihovega zapiranja;
- delež ukrepov z določenim lastnikom, rokom in dokazilom;
- čas od zaznave težave do odločitve ali eskalacije;
- kakovost poročanja vodstvu: ali poročilo omogoča odločitev, ne samo informiranje;
- redno preverjanje, ali ukrepi še delujejo po spremembah sistemov, ljudi ali dobaviteljev.
Vprašanja za interno ekipo ali ponudnika
Preden se odločite za projekt, orodje ali zunanjo pomoč, je koristno postaviti nekaj neprijetno konkretnih vprašanj. Odgovori hitro pokažejo, ali je pristop zrel ali pa gre samo za splošno obljubo.
- Ali smo formalno preverili status zavezanca po NIS2/ZInfV-1, ali le domnevamo?
- Katere zahteve zakona že izpolnjujemo in kje imamo samo delne ukrepe?
- Kdo bo lastnik posamezne vrzeli po koncu analize?
- Kako bomo dokazali napredek ob morebitnem nadzoru pristojnega organa?
- Kateri dobavitelji in tretje strani vplivajo na našo skladnost?
- Kdaj bomo ponovili GAP analizo, da preverimo, ali ukrepi še vedno držijo?
Povezava z regulativo in standardi
Pri NIS2 je pomembno ločiti splošno pripravo od formalnega statusa zavezanca. Obveznosti so odvisne od sektorja, velikosti, vrste storitev in slovenskega prenosa zahtev. Dober varnostni program zato najprej preveri obseg, nato odgovornosti, ukrepe, incidente, dobavitelje in dokazila.
Pri NIS2, ZInfV-1, DORA, AI Act, GDPR, ISO standardih ali pogodbenih zahtevah je pomembno, da se trditve ne pišejo na pamet. Kjer so roki, status zavezanca, sektorske izjeme ali obvezna poročanja pomembni, jih je treba preveriti po najnovejših uradnih virih in dokumentirati odločitev.
Kako CISOaaS pomaga?
CISOaaS pomaga prevesti temo v izvedljiv načrt: pregled stanja, prioritete, odgovorne osebe, dokazila, poročanje vodstvu in povezavo s širšim varnostnim programom. Cilj ni ustvariti še enega dokumenta, ampak urediti odločanje in zmanjšati realno tveganje.
Za organizacije, ki nimajo notranjega CISO, je posebej koristno, da nekdo poveže IT, vodstvo, skladnost in dobavitelje. Tako se ukrepi ne izgubijo med tehničnimi nalogami in pravnimi zahtevami.
Povezane vsebine
- GAP analiza kibernetske varnosti
- NIS2 direktiva
- Upravljanje kibernetskih tveganj
- Dokazila za revizije in presoje
- Kontakt za uvodni pogovor
Pogosta vprašanja
Ali je GAP analiza NIS2 dovolj za skladnost?
Ne samo po sebi. Lahko pokrije pomemben del zahtev ali tveganj, vendar je skladnost odvisna od obsega organizacije, izvedenih ukrepov, dokazil in veljavnih uradnih zahtev.
Kaj je prvi smiseln korak?
Najprej določite obseg in zberite obstoječa dokazila. Nato naredite kratek pregled vrzeli in izberite tri do pet ukrepov, ki najbolj zmanjšajo tveganje ali pomagajo pri dokazovanju skladnosti.
Kdo mora sodelovati?
Običajno sodelujejo IT, vodstvo, odgovorni za skladnost, lastniki procesov in po potrebi zunanji ponudniki. Če sodeluje samo IT, se pogosto spregledajo poslovna tveganja, pogodbe in odločitve vodstva.
Kaj mora ostati kot dokaz?
Ohraniti je treba odločitev, opis ukrepa, odgovorno osebo, datum izvedbe, rezultat preverjanja in povezano poročilo ali zapis. Brez dokazil je pozneje težko pokazati, da je bil ukrep res izveden.
Sorodne vsebine: NIS2 skladnost za podjetja.
Uradni viri za preverjanje
Želite jasen pregled vrzeli in prioritet?
GAP analiza pokaže, kaj je že urejeno, katera dokazila manjkajo in kateri ukrepi imajo največji vpliv na skladnost ter tveganje.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.