NIS2 skladnost: iz zahtev direktive v izvedljive varnostne ukrepe.
NIS2 dviguje pričakovanja glede upravljanja kibernetskih tveganj, incidentov, dobaviteljev in odgovornosti vodstva. CISOaaS pomaga zahteve pretvoriti v obseg, GAP analizo, roadmap, dokazila in redno poročanje.
Priprava
NIS2 zahteva upravljanje, ne samo tehnične zaščite.
Status in obseg
Preverimo, katere storitve, sistemi, dobavitelji in odgovornosti sodijo v program.
Ocena tveganj
Uredimo register tveganj, vpliv na poslovanje, prioritete in sprejem tveganj.
Incidenti in odpornost
Pripravimo postopke, eskalacije, vloge, evidence, vaje in izboljšave.
Naš proces
Kako CISOaaS vodi pripravo na NIS2?
Obseg
Določimo zavezance, procese, storitve, sisteme, dobavitelje in notranje vloge.
GAP
Primerjamo trenutno stanje z zahtevami in ugotovimo manjkajoče kontrole ter dokazila.
Roadmap
Ukrepe razvrstimo po tveganju, vplivu, regulatorni pomembnosti in izvedljivosti.
Spremljanje
Vzpostavimo redno poročanje, lastnike, status dokazil in izboljševanje programa.
Povezava z ZInfV-1
Za slovenske organizacije se NIS2 pogosto izvaja skozi nacionalne zahteve.
Zato NIS2 priprave ne obravnavamo ločeno od ZInfV-1, ISO 27001, incident response, dobaviteljev, dokazil in vodenja varnostnega programa.
ZInfV-1
Nacionalni okvir, ki ga mora organizacija razumeti v svojem obsegu.
GAP analiza
Praktičen način za pregled zahtev, vrzeli in dokazil.
vCISO
Vodenje izvedbe, poročanja in izboljševanja skozi čas.
Zahteve
Deset minimalnih ukrepov po NIS2
NIS2 (21. člen direktive) določa deset kategorij minimalnih ukrepov, ki jih morajo zavezanci vzpostaviti sorazmerno tveganju in velikosti organizacije.
- Politike analize tveganj in varnosti informacijskih sistemov
- Obravnava incidentov (zaznava, odziv, poročanje)
- Neprekinjeno poslovanje: varnostne kopije, obnovitev po nesreči, krizno upravljanje
- Varnost dobavne verige, vključno z odnosi do posameznih dobaviteljev
- Varnost pri pridobivanju, razvoju in vzdrževanju sistemov, vključno z ravnanjem z ranljivostmi
- Politike za ocenjevanje učinkovitosti ukrepov obvladovanja tveganj
- Osnovna kibernetska higiena in redno usposabljanje zaposlenih
- Politike in postopke za uporabo kriptografije in šifriranja
- Kadrovska varnost, nadzor dostopa in upravljanje sredstev
- Večfaktorska avtentikacija in varni komunikacijski sistemi
Obseg in način izvedbe posameznega ukrepa se določi glede na oceno tveganja, ne po enotnem seznamu tehnologij za vse organizacije.
FAQ
Pogosta vprašanja o NIS2
Kaj je prvi korak pri NIS2 pripravi?
Prvi korak je preverjanje obsega, statusa zavezanca, ključnih storitev, dobaviteljev, obstoječih kontrol in dokazil.
Ali je ISO 27001 dovolj za NIS2?
ISO 27001 lahko zelo pomaga, vendar sam po sebi ne pomeni avtomatske skladnosti. Potrebna je preslikava zahtev, dokazil, incidentnih postopkov in odgovornosti.
Kdo mora biti vključen v NIS2 program?
Poleg IT ekipe morajo biti vključeni vodstvo, lastniki poslovnih procesov, pravna oziroma compliance funkcija, nabava, dobavitelji in varnostne operacije.
Uradni okvir
NIS2 je direktiva EU; izvedba je odvisna od nacionalnih pravil.
Direktiva (EU) 2022/2555 je uradni EU okvir za visoko skupno raven kibernetske varnosti v Uniji. Za slovenske organizacije je pomembno, da NIS2 ne obravnavajo kot izoliran seznam IT nalog, temveč kot program upravljanja tveganj, incidentov, dobaviteljev, odgovornosti in dokazil, ki se v Sloveniji povezuje z ZInfV-1.
Pri pripravi zato začnemo z obsegom: katere storitve organizacija izvaja, v katerem sektorju deluje, katere sisteme potrebuje za izvajanje ključnih procesov, kdo so kritični dobavitelji in kako se danes sprejemajo varnostne odločitve. Šele nato je smiselno govoriti o kontrolah, rokih, poročanju incidentov in dokazilih.
CISOaaS NIS2 pripravo poveže z ZInfV-1, GAP analizo, ISO 27001, incident response, dobaviteljskimi tveganji in vCISO vodenjem. To zmanjša tveganje, da bi organizacija pripravila veliko dokumentov, ki jih v praksi nihče ne uporablja.
Uradni viri: EUR-Lex – Directive (EU) 2022/2555, ZInfV-1 priprava, GAP analiza.
Kaj NIS2 priprava običajno razkrije?
Preveč neformalnih odgovornosti
Varnost je pogosto razpršena med IT, pravno službo, nabavo in vodstvom, brez jasnega lastništva odločitev.
Premalo dokazil
Kontrole obstajajo, vendar niso povezane z evidencami, poročili, odobritvami in rednimi pregledi.
Dobavitelji niso vključeni
Kritične zunanje storitve niso vedno vključene v oceno tveganj, pogodbe, varnostne zahteve in incidentne poti.
Izvedbeni program
NIS2 priprava mora povezati tveganja, incidente in dobavitelje.
V praksi se NIS2 najhitreje zatakne pri povezovanju oddelkov. IT pozna sisteme, pravna oziroma compliance funkcija pozna obveznosti, nabava pozna dobavitelje, vodstvo pa mora sprejemati odločitve o tveganjih. Program priprave mora te vloge povezati v skupno evidenco in ritem poročanja.
Dobro izhodišče je delavnica obsega, kjer se določijo ključne storitve, podporni sistemi, zunanji ponudniki, obstoječe kontrole in trenutna dokazila. Nato se pripravi seznam vrzeli in ukrepov. Vsak ukrep mora imeti poslovni razlog, odgovorno osebo, pričakovano dokazilo in kriterij, kdaj je zaključen.
Prvi merljiv rezultat NIS2 priprave je usklajen seznam ključnih storitev, sistemov, dobaviteljev, odgovornih oseb in obstoječih kontrol. Iz tega nastane roadmap, ki loči nujne ukrepe od izboljšav, ki jih lahko izvedete postopno.
Sorodne vsebine: NIS2 zahteve, NIS2 zavezanci, NIS2 dokumentacija, NIS2 ocena tveganja, NIS2 poročanje incidentov in GAP analiza NIS2. Za praktičen pregled priprave glejte tudi NIS2 skladnost za podjetja in NIS2 implementacijo korak za korakom.
Naslednji korak
Preverite, kaj je treba urediti najprej.
Na uvodnem posvetu razjasnimo obseg, prioritete in najhitrejso pot do dokazljivega napredka.
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.