Готовност за NIS2: обхват, задължения на ръководството и доказателства

Готовността за NIS2 започва с документирано решение за приложимостта. Значение могат да имат секторът, услугата, размерът, мястото на установяване и специалните правила за включване. Въпросникът на клиент е полезен контекст, но не определя правния ви статус. Сертификатът за сигурност също не доказва, че всеки релевантен субект, всяка услуга и всяко задължение за докладване са взети предвид.

За главния изпълнителен директор готовността означава да може да обясни какво е одобрило ръководството, защо мерките са подходящи, кой ще ги изпълни и как ще бъде оценена тяхната ефективност. Тя означава също организацията да е в състояние да докладва значителен инцидент, докато информацията е непълна, а нормалната дейност е нарушена.

Практическата задача е да се свържат правният обхват, рисковете за услугите, приоритетите при изпълнението и прегледаните доказателства. Тази връзка дава на ръководството основа за решения относно инвестициите, оперативните прекъсвания, доставчиците и неразрешените експозиции.

Установете кои субекти и услуги попадат в обхвата

Директивата NIS2 въвежда общ за ЕС базов стандарт за киберсигурност в определени дейности. Членове 2 и 3 заедно с приложенията определят нейния обхват и структурата на класификация. Националното законодателство за транспониране определя приложимите местни задължения и процедури.

Оценявайте всеки релевантен юридически субект, вместо да приемате името на групата за регулаторна граница. Дейностите на дъщерното дружество, отношенията на собственост и местата на установяване могат да променят отговора. Ръководството трябва да изисква документирано заключение, подкрепящи факти и отговорник за неизяснените въпроси.

Съпоставете дейностите с изброените видове субекти

Приложение I включва сектори като енергетика, транспорт, здравеопазване, води, финансови услуги, цифрова инфраструктура, управление на услуги в областта на ИКТ, публична администрация и космическо пространство. Приложение II разширява обхвата към области, включително пощенски услуги, управление на отпадъци, химикали, храни, определени производствени дейности, доставчици на цифрови услуги и научни изследвания.

Заглавието на сектора е само отправна точка. Прочетете видовете субекти и дейностите в съответната позиция. Производството не е универсална категория за включване, а продажбата на софтуер не превръща автоматично едно дружество в доставчик на облачни услуги или на управлявани услуги.

Опишете какво реално предоставя субектът: услугата, нейните получатели, как функционира и дали администрира системи на клиенти. Кодовете за търговска регистрация и описанията на уебсайта могат да подкрепят този анализ, но не бива да го заменят.

Например продажбата на лицензирано приложение и експлоатацията на информационните системи на клиент са различни дейности. Дружество, описано като консултантско, въпреки това може да предоставя текуща администрация, която изисква оценка спрямо определенията за управлявани услуги. Изяснете подобни въпроси, преди да проектирате границата на съответствието.

Изчислете размера по приложимите правила

Член 2 използва определението на ЕС за размер на предприятията. Като първоначален ориентир при проверката общият праг за включване е 50 или повече служители или едновременно оборот и общ годишен баланс над 10 милиона евро. В общи линии превишаването на таваните за средно предприятие означава поне 250 служители или оборот над 50 милиона евро заедно с общ годишен баланс над 43 милиона евро.

Тези стойности не заменят пълното изчисление. Релевантните отчетни периоди, методиката за отчитане на персонала и партньорските или свързаните предприятия могат да повлияят на резултата. Дъщерно дружество, което е малко на местно ниво, може да премине прага, след като се вземат предвид съответните отношения на собственост.

Съхранявайте изчислението, изходните данни и мотивите относно отношенията в групата. Избягвайте да записвате само „средно предприятие“, без да обяснявате как е достигнато това заключение. Самият оборот не е пълната финансова алтернатива на броя на служителите.

Когато размерът е близо до граница или собствеността е сложна, възложете специална правна оценка. Разходите за изясняване на тази несигурност трябва да се разглеждат като част от установяването на оперативните изисквания, а не да се отлагат, докато орган или клиент не оспори заключението.

Проверете специалните правила за включване и класификация

Някои категории услуги могат да бъдат включени независимо от размера. Член 2 урежда определени дейности в областта на съобщенията, удостоверителните услуги, DNS и домейните от първо ниво, някои органи на публичната администрация и субекти, определени като критични по съответната рамка на ЕС. Националното идентифициране също може да включи субекти в обхвата поради тяхното обществено значение или последиците от прекъсване.

След това член 3 определя дали субектът в обхвата е съществен или важен. Големите субекти по приложение I образуват една важна категория съществени субекти, но членът съдържа допълнителни правила за конкретни услуги и за определяне. Средно предприятие по приложение I не е автоматично съществено; приложенията не са просто два списъка с нива на надзор.

И двете класификации носят основните задължения за управление на риска за сигурността и за докладване на значителни инциденти. Статусът на важен субект променя модела на надзор; той не премахва необходимостта от ефективни мерки.

Прякото правно покритие и изискванията на клиентите трябва да се документират отделно. По-малък доставчик може да е извън прекия обхват, но да носи съществени договорни задължения за сигурност. Обратно, въпросник на клиент, в който пише „NIS2 се прилага“, не е авторитетно решение за класификация.

Обоснованият запис за обхвата трябва да съдържа:

• Юридическия субект и реалните му услуги.
• Релевантните позиции от приложенията или специалните основания за включване.
• Изчислението на размера и съответните отношения на собственост.
• Класификацията като съществен или важен субект, с мотиви.
• Местата на установяване и анализа на юрисдикцията.
• Приложимите национални правила, проверяващия, датата на одобрение и отворените въпроси.

Поводите за повторна оценка трябва да включват придобивания, нови услуги, съществени промени в размера и развитие на законодателството. Решение за изключване може да е обосновано в момента на вземането му и по-късно да остарее.

Превърнете базовия стандарт на ЕС в национални задължения

NIS2 е директива, която се прилага чрез националното право. Държавите членки имаха срок за транспониране до 17 октомври 2024 г., като мерките за прилагане трябваше да се прилагат от 18 октомври 2024 г. Тези дати не казват на отделно дружество какъв е текущият национален срок за регистрация или каква процедура трябва да използва.

Създайте регистър на задълженията за всеки релевантен субект и държава. Посочете приложимото законодателство, органа, процеса на регистрация, канала за докладване, секторните разпоредби и отговорния вътрешен собственик. Разграничавайте законовото изискване от насоките на органа или от вътрешна препоръка за изпълнение.

Определете юрисдикцията, преди да изберете канал за докладване

Член 26 по правило свързва юрисдикцията с мястото на установяване, но за някои услуги важат различни правила. Доставчиците на обществени електронни съобщителни услуги се регулират там, където предоставят съответните услуги. За определени доставчици на цифрови услуги се прилага подходът на основното място на установяване, включително за облачни услуги, центрове за данни, мрежи за доставка на съдържание, управлявани услуги, управлявани услуги за сигурност и някои онлайн платформи и дейности, свързани с домейни.

При тази оценка на основното място на установяване проверете къде в Съюза преобладаващо се вземат решенията за управление на риска в киберсигурността. Ако това място не може да бъде определено или тези решения не се вземат в Съюза, преценете къде в Съюза се извършват операциите по киберсигурност; ако и това не може да бъде определено, използвайте мястото на установяване в Съюза с най-много служители. Седалището на холдинговото дружество следователно може да е недостатъчно.

Някои доставчици, които предлагат услуги в Съюза без място на установяване в ЕС, трябва да определят представител в ЕС. Чуждестранното седалище не е автоматично освобождаване, но европейските клиенти също не включват автоматично в обхвата всяко предприятие извън ЕС. Видът на услугата и другите условия за приложимост продължават да имат значение.

Документирайте задълженията за регистрация и за предоставяне на информация за субекта отделно от програмата за сигурност. Пазете потвържденията за подаване, актуалните данни за контакт и отговорността за актуализациите. Ако регистрацията е просрочена, потвърдете текущия процес на органа и действайте незабавно. Приключването на регистрацията не доказва прилагането на мерките за сигурност.

Разграничавайте KRITIS и секторните задължения

За дейности в Германия проверявайте изискванията на KRITIS заедно с приложимите правила за прилагане на NIS2. Двата режима се припокриват, но не са идентични. Покритието по NIS2 не определя автоматично всеки обект като критично съоръжение, а една утвърдена програма по KRITIS не изпълнява автоматично всяко задължение по NIS2.

Поддържайте отделни записи за класификацията на субекта, критичните съоръжения и допълнителните задължения. За текущия национален процес се обръщайте към информацията на BSI за NIS2, вместо да разчитате на стари съобщения за срокове.

Член 4 урежда и равностойните секторни изисквания на ЕС. За финансовите субекти в обхвата DORA може да урежда съответните области. Определете кои задължения се прилагат за конкретния субект и услуга, вместо по подразбиране да поддържате дублиращи се канали за докладване.

Изградете план, който е собственост на ръководството

Член 20 възлага одобрението и надзора върху изпълнението на управителните органи на съществените и важните субекти. Той предвижда и отговорност за нарушения на член 21; правните последици зависят от националното право и от правната форма на субекта.

Изпълнението може да бъде делегирано на екипите по сигурност, ИТ, операции, снабдяване и други. Делегирането трябва да запазва видимия надзор от ръководството. Ролята на главния изпълнителен директор не е да конфигурира системи, а да гарантира, че значимите рискове за услугите получават информирани решения, ресурси и последователно изпълнение.

Одобрявайте решения, а не само документи

Пакетът за одобрение трябва да свързва оценката на риска с изпълним план. Включете услугите в обхвата, основните сценарии на прекъсване, предлаганите мерки, алтернативите, зависимостите при изпълнението, нуждите от персонал, етапите и очакваните доказателства.

За всяко задължение документирайте изпълнението, отговорника, доказателствата, пропуска и следващото решение. Това дава възможност да се разграничи одобреното намерение от завършената способност. То разкрива и мерките, които нямат отговорен собственик или зависят от ресурси, които така и не са били разпределени.

Протоколите на ръководството трябва да обясняват решението и неговото основание. Например одобряването на инвестиция във възстановяването трябва да посочва кое прекъсване на услугата адресира, очаквания резултат от възстановяването и оперативните ограничения. Подписът върху политика не обяснява дали ръководството е разгледало проблема с изпълнението, който стои зад нея.

Обсъжданията на бюджета трябва да включват вътрешния капацитет и прекъсването на дейността, а не само разходите за софтуер. Една промяна в мрежата може да изисква спиране на производствената среда; прегледът на доставчик може да наложи правни преговори; тестът за възстановяване може да изисква изолирана среда и оперативен персонал.

Приемането на риск заслужава особено внимание. То може да документира решение за третиране в рамките на процеса по управление на риска, но не може да отмени законово изискване. Когато изключение би могло да противоречи на задължение, получете правно тълкуване, определете временна защита и поддържайте неизяснения въпрос видим.

Разграничавайте напредъка в изпълнението от ефективността на контролите

Един проект може да завърши внедряването на мярка, без да постигне целената защита. Отчетите към ръководството трябва да отговарят едновременно дали одобрената работа е завършена и дали тя действа в рамките на съответната граница на услугата.

Определете честота на прегледите, съразмерна на програмата. Тримесечните прегледи от ръководството може да са практични за стабилна дейност, с по-чести прегледи по време на внедряването. Това е препоръка, а не универсална честота, предписана от член 20.

Определете ескалацията между заседанията. Неуспешен тест за възстановяване, компрометиран привилегирован акаунт или новоустановена критична зависимост не бива да чакат следващата планирана презентация.

Направете обучението на ръководството полезно за решенията

Член 20 изисква членовете на управителните органи да преминават обучение, достатъчно, за да им помогне да идентифицират рисковете, да оценяват практиките за управление на риска и да разбират последиците за услугите. Той не определя една универсална продължителност на курса или интервал за подновяване.

Обучението трябва да обхваща значимостта на инцидентите, компромисите при възстановяването, концентрацията на доставчици, ограниченията на доказателствата и вземането на решения в условия на несигурност. Включете сценарий, при който ръководителите трябва да разрешат подаването на доклад, да ограничат дейността или да финансират спешно третиране.

Пазете датите, участниците, съдържанието и последващите действия. Обучението на служителите също е уредено в член 21, но сесиите за повишаване на осведомеността на персонала не заменят собственото обучение на ръководството. Ръководството трябва да може да оспорва твърденията за увереност, без да е необходимо да става технически специалист.

Превърнете член 21 в мерки на ниво услуга

Член 21 изисква пропорционална техническа, оперативна и организационна защита. Оценката на пропорционалността взема предвид експозицията, размера на организацията, разходите за изпълнение и вероятността и тежестта на инцидентите, включително по-широките обществени и икономически последици.

Изискваният подход обхваща опасности отвъд злонамерената киберактивност. Спиране на електрозахранването, наводнение, физическо проникване, отсъствие на персонал и прекъснати телекомуникации могат да застрашат една и съща услуга.

Следващите примери за изпълнение са практически препоръки. Те обясняват десетте тематични области, без да предписват еднакъв технически дизайн за всеки субект. За някои цифрови услуги се прилагат и по-подробни изисквания от актове на ЕС за изпълнение; проверете приложимостта, преди да разчитате само на общ контролен списък.

Анализ на риска и политики за сигурност на системите

Започнете с услугата: какво трябва да продължи да функционира, кой зависи от нея и какво би означавало прекъсването ѝ. Картографирайте поддържащите системи, съоръжения, хора и външни доставчици, преди да определяте оценки на риска.

Използвайте критерии за въздействие, които разграничават финансовата загуба от безопасността, вредата за получателите на услугата и по-широкото прекъсване. Документирайте сценариите, съществуващата защита, предлаганите мерки за третиране, остатъчната експозиция и поводите за повторна оценка. Общ списък с киберзаплахи е по-малко полезен от обяснението как конкретна зависимост може да прекъсне услугата.

Резултатът е оценка на риска, която подкрепя решенията, с политики, които описват как тези решения се превръщат в оперативни изисквания.

Управление на инциденти

Определете откриването, първоначалната оценка, ескалацията, ограничаването, разследването, координацията на възстановяването и приключването. Назначете координатор и заместници и дайте на реагиращите използваеми процедури за вероятните инциденти.

Оперативната тежест и законовата значимост са свързани, но различни. Спешен технически инцидент може да изисква ограничаване, преди да е изяснено дали подлежи на докладване по закон. Процесът трябва да поддържа и двете дейности, без да позволява едната да блокира другата.

Пазете времевите линии на инцидентите, решенията, релевантните доказателства и коригиращите действия. Проверявайте дали договорените подобрения са изпълнени; документ с поуки без последващи действия дава слаба увереност.

Непрекъснатост, резервни копия, възстановяване и управление на кризи

Използвайте анализ на въздействието върху дейността, за да идентифицирате основните дейности и допустимото прекъсване. Договорете с отговорниците за услугите целевото време за възстановяване и целевата точка на възстановяване. Първото се отнася до времето за възстановяване, второто до допустимата загуба на данни.

Записите за успешно завършено архивиране са полезни, но не доказват, че услугата може да бъде възстановена. Тествайте възстановяването, поддържащите идентичности, ключовете, интерфейсите и използваемите данни. Проверете дали възстановените системи могат да поддържат реалния бизнес процес.

Механизмите за управление на кризи трябва да обхващат оперативните решения и комуникацията, както и техническото възстановяване. Документирайте резултатите от тестовете, непостигнатите цели, действията и решенията на ръководството относно оставащата експозиция.

Отношения с доставчици

Идентифицирайте преките доставчици, чийто отказ или компрометиране би могло съществено да засегне услугата. Вземете предвид администраторския достъп, чувствителната информация, софтуерните зависимости и наличността.

Оценете значимостта за сигурността на реалното отношение, включително специфичните за доставчика уязвимости и практиките му в областта на продуктите или разработката. Свържете констатациите с контрола на достъпа, договорните уговорки, плановете за действие при извънредни ситуации и поводите за преглед.

Сертификатът на доставчика може да подкрепи оценката. Той не обхваща автоматично закупената от вас услуга, нейната конфигурация или вашите отговорности по интеграцията.

Придобиване, разработване, поддръжка и уязвимости

Определете критерии за приемане по отношение на сигурността при покупки и нови системи. Определете отговорностите за сигурна разработка, конфигурация, промени, поддръжка, актуализации и получените сигнали за уязвимости.

Проследявайте значимите уязвимости през оценката, третирането, обработката на изключения и проверката. Приоритетите за отстраняване трябва да отразяват възможността за експлоатация и последиците за услугата, а не само числова оценка на тежестта.

Операционните технологии може да изискват валидиране от производителя и планирани прекъсвания преди прилагане на корекции. Документирайте временните предпазни мерки и графика за третиране. „Не може да се коригира“ е ограничение, което трябва да се управлява, а не завършено решение за риска.

Оценка на ефективността

За важните мерки определете въпроса, на който тестът трябва да отговори. Прегледът на достъпа проверява оторизацията; учението по възстановяване проверява възстановяването; симулацията на инцидент проверява координацията и вземането на решения.

Документирайте тествания обхват, очаквания резултат, метода, проверяващия, констатациите и реакцията при неуспех. Използвайте независима увереност, когато тя носи добавена стойност или приложимите правила я изискват.

Член 21 изисква оценка на ефективността, но не налага една честота на тестове за проникване за всяка организация в обхвата. Тестовете трябва да съответстват на нуждата от увереност и на всички приложими подробни изисквания.

Кибер хигиена и обучение на персонала

Дайте на персонала практически указания за докладване на подозрителна активност, защита на идентификационните данни, работа с информация и сигурна работа. Добавете съдържание, специфично за ролите на разработчиците, администраторите, служителите по снабдяването и реагиращите.

Присъствието на обучение показва участие, но не непременно способност за действие. Ученията и наблюдаваното изпълнение могат да разкрият неясни указания или слаби пътища за ескалация.

Използвайте констатациите за подобряване на процедурите. Ако служителите докладват правилно подозрителни съобщения, но получаващият екип реагира бавно, повтарянето на същия курс за осведоменост няма да реши основния проблем.

Криптография

Определете коя информация и кои работни процеси се нуждаят от криптографска защита, включително релевантните данни при пренос и в покой. Определете отговорността за ключовете и сертификатите, подновяването, отнемането, достъпа и възстановяването.

Доказателствата трябва да включват решенията за конфигурацията и уговорките за управление на ключовете, а не само твърдение, че криптиране съществува. Защитата може да се провали, ако криптираните резервни копия зависят от недостъпни ключове или ако достъпът до ключовете не е подходящо ограничен.

Поддържайте обосновани изключения и ги преглеждайте при промяна на системите или рисковете. Избягвайте да приемате общо твърдение като „всичко е криптирано“ за достатъчна увереност.

Хора, достъп и активи

Свържете наемането, смяната на роли и напусканията с решенията за достъп. Идентифицирайте бизнес собствениците, администраторите, външните акаунти, служебните идентичности и релевантните активи.

Преглеждайте привилегирования достъп и премахвайте правата, които вече не са обосновани. Включвайте в оценката споделените или нечовешките акаунти, вместо да я ограничавате до списъците с потребители служители.

Доказателствата могат да включват одобрени заявки, извадка от записи за напускане, завършени прегледи на достъпа и разрешени изключения. Регистърът на активите трябва да обяснява собствеността и зависимостта на услугата, а не само да брои устройства.

Удостоверяване и сигурни комуникации

Член 21 урежда по-силното удостоверяване и защитените комуникации, включително механизмите за извънредни ситуации, с уговорката за целесъобразност.

Като практически приоритет проверете привилегирования и отдалечения достъп до критичните услуги. Идентифицирайте ограниченията на остарелите системи и оценете защитни алтернативи, вместо да приемате, че всяка система поддържа един и същ механизъм.

Тествайте и кризисната комуникация, когато обичайната електронна поща, инструментите за съвместна работа или услугите за идентичност са недостъпни. Процедура за извънредни ситуации, която зависи изцяло от отказалата платформа, може да е неизползваема точно когато е необходима.

Направете решенията за критичните доставчици изрични

Сигурността на веригата на доставки често се превръща във въпрос за ръководството, защото снабдяването не може да премахне всяка зависимост чрез въпросник. Започнете с последицата от отказ: може ли този доставчик да прекъсне предоставянето, да въведе неразрешени промени, да изложи информация или да попречи на възстановяването?

За критичните преки доставчици документирайте поддържаната услуга, предоставения достъп, отговорника за оценката, прегледаните документи за увереност, нерешените констатации и решенията за третиране. Проверявайте обхвата и периода на документите за увереност. Доклад, който обхваща друга услуга или по-ранен оперативен модел, може да не отговаря на текущия въпрос.

Договорните преговори трябва да адресират рисковете на отношението. Практическите теми включват отговорностите за сигурност, комуникацията при инциденти, сътрудничеството при разследвания, обработката на уязвимости, ограниченията на достъпа, наличността на доказателства, непрекъснатостта и подкрепата при прекратяване. Това са препоръчителни теми за преговори, а не идентични законови клаузи за всеки договор.

Уговорките за уведомяване от доставчиците трябва да поддържат вашия график за докладване. Потвърдете оперативните контакти и заместниците; обичайната пощенска кутия на мениджъра на клиента, проверявана в работно време, може да е недостатъчна при сериозен инцидент.

Член 21 се отнася конкретно до преките отношения. Зависимостите нагоре по веригата все пак могат да имат значение, когато създават риск от концентрация или подкопават възстановяването. Проучвайте по-задълбочено, когато това променя решението, вместо да се опитвате да направите неограничен опис на доставчиците на всеки доставчик.

Ако увереността остава недостатъчна, ръководството може да ограничи достъпа, да добави наблюдение, да договори подобрения, да въведе алтернативи, да преустрои зависимостта или да смени доставчика. Документирайте мотивите и временните мерки. Възлагането на предоставянето на услуги на външни изпълнители не премахва отговорността за собствената програма за управление на риска на субекта.

Репетирайте докладването на значителни инциденти

Член 23 установява докладването на значителни инциденти. Инцидентът е значителен, ако е причинил или е в състояние да причини сериозно оперативно смущение на услугите или финансови загуби за субекта, или значителни материални или нематериални вреди на други физически или юридически лица. Потвърдете приложимите национални и секторни правила за значимост, преди да проектирате процеса на вземане на решения.

Срокът тече от узнаването за значителен инцидент, а не от приключването на криминалистичния анализ. Документирайте кога релевантната информация е станала достъпна, оценката на значимостта и кой е взел решението. Не създавайте изкуствено по-късен момент на узнаване, като забавяте вътрешната ескалация.

За доставчиците на удостоверителни услуги се прилага специална разпоредба за уведомяване в срок от 24 часа при значителни инциденти, засягащи техните удостоверителни услуги. И съществените, и важните субекти имат поетапни задължения за докладване; класификацията като важен субект не премахва ранното предупреждение.

Проектирайте правомощията и достъпа за работа извън работно време

Определете ръководителя на оценката, оправомощения подател, заместника, правния контакт и пътя за ескалация към ръководството. Договорете как ще се одобрява предварителната информация. Ръководството се нуждае от видимост, без да се превръща в неизбежно тясно място за всяко подаване.

Подгответе шаблони, които разделят потвърдените факти, предварителните оценки, неизвестните и планираните актуализации. Избягвайте необосновани приписвания на авторство или обещания за възстановяване. Ранното докладване трябва да е точно относно несигурността, а не изкуствено пълно.

Тествайте достъпа до канала за докладване, идентификационните данни, информацията за контакт и резервните механизми. Ако подателят зависи от компрометирана корпоративна услуга за идентичност, процесът се нуждае от алтернатива.

Проведете учение със сценарий вечер или през уикенда. Измерете времето, необходимо за разпознаване на потенциалната значимост, събиране на необходимите хора, подготовка на предупреждението, разрешаването му и достигане до канала. Поддържайте тази дейност свързана с ограничаването и възстановяването, като същевременно определите достатъчно хора, за да не погълне докладването целия екип за реагиране.

Член 23 урежда и комуникацията с получателите на услугите, когато е уместно. Договорите и други закони могат да създават допълнителни уведомления. Нарушението на сигурността на личните данни изисква собствена оценка по ОРЗД; подаването по NIS2 не я изпълнява автоматично. Координирайте фактите, като запазите отделните решения и срокове.

Поддържайте доказателства, които обясняват какво действа

Политиките, сертификатите, договорите с доставчици и потвържденията за регистрация могат да подкрепят готовността. Доказателствата все пак трябва да показват какво действа в приложимия обхват.

Разграничавайте дизайн, внедряване и функциониране. Политиката за достъп описва желаното поведение. Доказателствата за конфигурацията показват внедряването. Завършен преглед на достъпа, който показва премахнати права и разрешени изключения, демонстрира функционирането. Тези записи отговарят на различни въпроси и не бива да се третират като взаимозаменяеми.

За всяко доказателство пазете неговия източник, обхват, дата или период, собственик, проверяващ, заключение и ограничения. Успешен тест за възстановяване на едно приложение не доказва възстановяването на цялата среда. Екранната снимка може да показва една конфигурация в един момент, а не трайно функциониране.

Защитавайте чувствителните доказателства. Журналите на инциденти, архитектурните диаграми и експортите на права за достъп могат да разкрият оперативна или лична информация. Определете подходящ достъп, срокове за съхранение и уговорки за външно споделяне.

Пропуските в доказателствата трябва да се превръщат в работни задачи. „Няма скорошен тест“, „неясен обхват на доставчика“ и „собственикът не е прегледал експорта“ са различни проблеми, изискващи различни действия. Броят на документите не ги разкрива.

Използвайте повторно утвърдената работа по ISMS и KRITIS

ISMS по ISO 27001 може да предостави записи за оценка на риска, третиране, политики, одити, преглед от ръководството и функциониране. Сравнете неговата сертифицирана граница със субектите и услугите, обхванати от националните правила по NIS2.

Сертификацията на корпоративните ИТ може да изключва производствените системи, управлявана услуга или придобито дружество. Използвайте повторно релевантните контроли и доказателства, след което адресирайте изрично класификацията, регистрацията, законовото докладване и обучението на ръководството. Нашето ръководство за NIS2 и ISO 27001 обяснява как съществуващата работа по ISMS може да подкрепи този процес.

NIS2 не въвежда общ сертификат за съответствие на ниво ЕС. Сертификацията подкрепя увереността в рамките на собствения си обхват; тя не решава всяко правно задължение. Прилагайте същите проверки за релевантност към съществуващите доказателства по KRITIS, вместо да приемате, че предишното им приемане покрива текущите задължения.

Практически пример: отдалечена поддръжка и възстановяване на производството

Да разгледаме илюстративен германски производител със 180 служители, който произвежда оборудване в рамките на производствена дейност, изброена в приложение II. Да приемем, че проверено изчисление установява статус на средно предприятие, националният анализ потвърждава класификацията като важен субект, а отделна оценка не установява определяне като критично съоръжение по KRITIS. Тези допускания са специфични за примера, а не правило за всеки производител с такъв размер.

Първият фокус на внедряването е планирането на производството в един завод. Зависимостите включват ERP приложение, промишлени контролери, услуги за идентичност, резервни копия и доставчик на поддръжка с отдалечен достъп. Оценката на правния обхват все пак обхваща релевантните задължения на субекта отвъд тази първоначална услуга.

Прегледът установява три свързани слабости. Техниците на доставчика използват споделен привилегирован акаунт. Задачите за архивиране завършват успешно, но нито един скорошен тест за възстановяване не включва зависимостта на приложението за планиране от услугата за идентичност. Процедурата за инциденти посочва отговорник за докладването, но без заместник, оправомощен да подава.

Ръководството изисква варианти, вместо да одобри три отделни актуализации на политики. Оперативният екип предлага персонализиран, ограничен във времето достъп за доставчика през контролиран канал за отдалечен достъп. ИТ предлага учение по възстановяване на услугата спрямо одобрени от бизнеса цели. Сигурността и правният отдел предлагат заместващи правомощия за докладване и репетиция извън работно време.

Само за целите на планирането да приемем шест седмици и планиран прозорец за поддръжка. Ръководството одобрява капацитета на персонала, уговорките за прекъсване и временните ограничения на достъпа на доставчика. Записът за решението обяснява последиците за услугата, защо са избрани мерките за третиране и какви доказателства ще установят завършването.

Работата по достъпа води до записи за конфигурацията, потвърждение от доставчика и преглед, който потвърждава премахването на споделения акаунт. Учението по възстановяване възстановява данните, но не постига договореното време за възстановяване на услугата, защото удостоверяването не може да бъде възстановено своевременно. Тази констатация остава отворена: успешните задачи за архивиране не отменят неуспешния резултат за услугата.

След това ръководството решава дали да подобри механизма за възстановяване на идентичностите, да промени архитектурата или да приеме различен оперативен резервен план. Всяка преразгледана цел за възстановяване изисква бизнес обосновка и трябва да остане съвместима с приложимите задължения.

Репетицията на докладването установява, че заместникът подател не може да получи достъп до канала за докладване самостоятелно. Екипът коригира зависимостта на достъпа и я тества отново. Готовността се подобрява чрез проверени промени и прегледани решения, а не чрез декларация, че преработените процедури са завършени.

Разбирайте точно надзора и последиците

Членове 32 и 33 разграничават подходите за надзор. Съществените субекти могат да бъдат обект на проактивни правомощия за инспекции и одити. Важните субекти подлежат на последващ надзор, когато има информация за възможно несъответствие. Нито едните, нито другите трябва да тълкуват липсата на инцидент или на запитване от органа като доказателство за готовност.

За нарушения на членове 21 или 23 член 34 изисква националните максимални размери на санкциите да достигат поне следните нива: за съществените субекти по-високата от двете стойности между 10 милиона евро и 2% от общия световен годишен оборот на съответното предприятие; за важните субекти по-високата стойност между 7 милиона евро и 1,4%. Това са минимални прагове за националните тавани на санкциите, а не стандартни размери на глобите или универсални фиксирани тавани.

Органите имат и коригиращи правомощия. Член 32 предвижда условни механизми за съществените субекти, свързани със съответното сертифициране или разрешение и временни ограничения за определени управленски функции след предписаните стъпки по принудително изпълнение. Това не са автоматични последици от всеки инцидент, а разпоредбата изключва субектите от публичната администрация.

Отговорността на ръководството и застрахователното третиране изискват консултация, специфична за юрисдикцията. Ръководството трябва да се фокусира върху достоверни записи, своевременно третиране и информиран надзор, вместо да разглежда потенциалните санкции като заместител на прилагането на изискваните мерки.

Определете следващото решение на ръководството

Започнете изпълнението с услугата с най-голямо въздействие и нейните зависимости, като същевременно поддържате правната оценка пълна за всеки релевантен субект. Приоритизирайте законовата спешност, последиците за услугите и задачите, които отключват по-нататъшната работа. Фокусираната граница на внедряване помага за установяване на работния процес; тя не свежда правните задължения на субекта до този пилотен проект.

Следващият преглед от ръководството трябва да одобри или реши въпроса с обхвата, да потвърди уговорките за регистрация и докладване, да финансира приоритетните мерки за третиране, да определи отговорни собственици и да планира учения по възстановяване и докладване. Той трябва също да определи кога ръководството ще преглежда доказателствата за функционирането и кои констатации изискват по-ранна ескалация.

В Secani екипите могат да моделират избраната услуга, поддържащите системи и зависимостите от външни доставчици, след което да свържат изискванията, контролите, собствениците и прегледаните доказателства. Липсващите доказателства и неизяснените заключения могат да се превърнат в задачи. Проверяващи хора трябва да одобряват съпоставянията и заключенията относно доказателствата, като се запазват връзките към източниците, коментарите, одобренията и времевите отметки, така че мотивите да остават проверими.

Донесете на това заседание една карта на услугата, един регистър на задълженията и най-съществените пропуски. Излезте с финансирани действия, използваеми правомощия за докладване и дата за преглед на резултатите – а не само с ангажимент да се изготви още документация.