Ετοιμότητα για την NIS2: πεδίο εφαρμογής, υποχρεώσεις της διοίκησης και τεκμήρια

Η ετοιμότητα για την NIS2 ξεκινά με μια τεκμηριωμένη απόφαση εφαρμοσιμότητας. Ο τομέας, η υπηρεσία, το μέγεθος, η εγκατάσταση και οι ειδικοί κανόνες υπαγωγής μπορούν όλοι να έχουν σημασία. Ένα ερωτηματολόγιο πελάτη αποτελεί χρήσιμο πλαίσιο, αλλά δεν καθορίζει το νομικό σας καθεστώς. Ούτε ένα πιστοποιητικό ασφάλειας αποδεικνύει ότι έχουν αντιμετωπιστεί κάθε σχετική οντότητα, υπηρεσία και υποχρέωση αναφοράς.

Για έναν CEO, ετοιμότητα σημαίνει να μπορεί να εξηγήσει τι έχει εγκρίνει η διοίκηση, γιατί τα μέτρα είναι κατάλληλα, ποιος θα τα υλοποιήσει και πώς θα αξιολογηθεί η αποτελεσματικότητά τους. Σημαίνει επίσης να διασφαλίσει ότι ο οργανισμός μπορεί να αναφέρει ένα σημαντικό περιστατικό ενώ οι πληροφορίες είναι ελλιπείς και η κανονική λειτουργία έχει διαταραχθεί.

Το πρακτικό έργο είναι να συνδεθούν το νομικό πεδίο εφαρμογής, οι κίνδυνοι των υπηρεσιών, οι προτεραιότητες υλοποίησης και τα επανεξετασμένα τεκμήρια. Αυτή η σύνδεση δίνει στη διοίκηση βάση για αποφάσεις σχετικά με επενδύσεις, λειτουργική διατάραξη, προμηθευτές και ανεπίλυτη έκθεση σε κίνδυνο.

Προσδιορίστε ποιες οντότητες και υπηρεσίες καλύπτονται

Η Οδηγία NIS2 θεσπίζει ένα ενωσιακό βασικό επίπεδο κυβερνοασφάλειας για συγκεκριμένες δραστηριότητες. Τα άρθρα 2 και 3, μαζί με τα παραρτήματα, καθορίζουν το πεδίο εφαρμογής και τη δομή κατάταξης. Η εθνική νομοθεσία ενσωμάτωσης ορίζει τις εφαρμοστέες τοπικές υποχρεώσεις και διαδικασίες.

Αξιολογήστε κάθε σχετική νομική οντότητα αντί να αντιμετωπίζετε την επωνυμία του ομίλου ως το ρυθμιστικό όριο. Οι δραστηριότητες μιας θυγατρικής, οι σχέσεις ιδιοκτησίας και οι τόποι εγκατάστασης μπορούν να αλλάξουν την απάντηση. Η διοίκηση θα πρέπει να απαιτεί καταγεγραμμένο συμπέρασμα, υποστηρικτικά στοιχεία και υπεύθυνο για τα ανοιχτά ερωτήματα.

Αντιστοιχίστε τις δραστηριότητες με τους καταγεγραμμένους τύπους οντοτήτων

Το Παράρτημα I περιλαμβάνει τομείς όπως η ενέργεια, οι μεταφορές, η υγεία, το νερό, οι χρηματοοικονομικές υπηρεσίες, οι ψηφιακές υποδομές, η διαχείριση υπηρεσιών ΤΠΕ, η δημόσια διοίκηση και το διάστημα. Το Παράρτημα II επεκτείνει την κάλυψη σε τομείς όπως οι ταχυδρομικές υπηρεσίες, η διαχείριση αποβλήτων, τα χημικά, τα τρόφιμα, συγκεκριμένες μεταποιητικές δραστηριότητες, οι πάροχοι ψηφιακών υπηρεσιών και η έρευνα.

Ο τίτλος του τομέα είναι μόνο το σημείο εκκίνησης. Διαβάστε τους τύπους οντοτήτων και τις δραστηριότητες στη σχετική εγγραφή. Η μεταποίηση δεν αποτελεί καθολική κατηγορία υπαγωγής, και η πώληση λογισμικού δεν καθιστά αυτομάτως μια επιχείρηση πάροχο υπηρεσιών cloud ή πάροχο διαχειριζόμενων υπηρεσιών.

Περιγράψτε τι πραγματικά παρέχει η οντότητα: την υπηρεσία, τους αποδέκτες της, τον τρόπο λειτουργίας της και αν διαχειρίζεται συστήματα πελατών. Οι κωδικοί εμπορικής καταχώρισης και οι περιγραφές στον ιστότοπο μπορούν να υποστηρίξουν αυτή την ανάλυση, αλλά δεν πρέπει να την αντικαθιστούν.

Για παράδειγμα, η πώληση μιας εφαρμογής με άδεια χρήσης και η λειτουργία των πληροφοριακών συστημάτων ενός πελάτη είναι διαφορετικές δραστηριότητες. Μια επιχείρηση που περιγράφεται ως συμβουλευτική μπορεί παρ' όλα αυτά να παρέχει συνεχή διαχείριση που απαιτεί αξιολόγηση με βάση τους ορισμούς των διαχειριζόμενων υπηρεσιών. Επιλύστε τέτοια ερωτήματα πριν σχεδιάσετε το όριο συμμόρφωσης.

Υπολογίστε το μέγεθος με τους εφαρμοστέους κανόνες

Το άρθρο 2 χρησιμοποιεί τον ενωσιακό ορισμό του μεγέθους επιχείρησης. Ως αρχικός πρόχειρος κανόνας ελέγχου, το γενικό όριο υπαγωγής είναι 50 εργαζόμενοι ή περισσότεροι, ή κύκλος εργασιών και σύνολο ισολογισμού που υπερβαίνουν και τα δύο τα 10 εκατ. EUR. Σε γενικές γραμμές, η υπέρβαση των ανώτατων ορίων της μεσαίας επιχείρησης προϋποθέτει τουλάχιστον 250 εργαζόμενους ή κύκλο εργασιών άνω των 50 εκατ. EUR σε συνδυασμό με σύνολο ισολογισμού άνω των 43 εκατ. EUR.

Τα ποσά αυτά δεν αντικαθιστούν τον πλήρη υπολογισμό. Οι σχετικές λογιστικές περίοδοι, η μεθοδολογία καταμέτρησης προσωπικού και οι συνεργαζόμενες ή συνδεδεμένες επιχειρήσεις μπορούν να επηρεάσουν το αποτέλεσμα. Μια θυγατρική που είναι μικρή σε τοπικό επίπεδο μπορεί να υπερβεί ένα όριο μόλις ληφθούν υπόψη οι κατάλληλες σχέσεις ιδιοκτησίας.

Διατηρήστε τον υπολογισμό, τα υποκείμενα στοιχεία και το σκεπτικό για τις σχέσεις του ομίλου. Αποφύγετε να καταγράφετε μόνο «μεσαία επιχείρηση» χωρίς να εξηγείτε πώς προέκυψε αυτό το συμπέρασμα. Ο κύκλος εργασιών από μόνος του δεν είναι η πλήρης χρηματοοικονομική εναλλακτική του αριθμού εργαζομένων.

Όπου το μέγεθος βρίσκεται κοντά σε ένα όριο ή η ιδιοκτησιακή δομή είναι σύνθετη, αναθέστε ειδική νομική αξιολόγηση. Το κόστος επίλυσης αυτής της αβεβαιότητας πρέπει να αντιμετωπίζεται ως μέρος του καθορισμού των λειτουργικών απαιτήσεων και όχι να αναβάλλεται μέχρι μια αρχή ή ένας πελάτης να αμφισβητήσει το συμπέρασμα.

Εξετάστε τους ειδικούς κανόνες υπαγωγής και κατάταξης

Ορισμένες κατηγορίες υπηρεσιών μπορούν να υπάγονται ανεξάρτητα από το μέγεθος. Το άρθρο 2 αφορά συγκεκριμένες δραστηριότητες επικοινωνιών, υπηρεσιών εμπιστοσύνης, DNS και ονομάτων τομέα ανώτατου επιπέδου, ορισμένους φορείς δημόσιας διοίκησης και οντότητες που έχουν χαρακτηριστεί κρίσιμες βάσει του σχετικού ενωσιακού πλαισίου. Ο εθνικός προσδιορισμός μπορεί επίσης να εντάξει οντότητες στο πεδίο εφαρμογής λόγω της κοινωνικής τους σημασίας ή των συνεπειών μιας διατάραξης.

Το άρθρο 3 καθορίζει στη συνέχεια αν μια καλυπτόμενη οντότητα είναι βασική ή σημαντική. Οι μεγάλες οντότητες του Παραρτήματος I αποτελούν μια σημαντική κατηγορία βασικών οντοτήτων, αλλά το άρθρο περιέχει πρόσθετους κανόνες ανά υπηρεσία και κανόνες προσδιορισμού. Μια μεσαία επιχείρηση του Παραρτήματος I δεν είναι αυτομάτως βασική· τα παραρτήματα δεν είναι απλώς δύο κατάλογοι εποπτικών βαθμίδων.

Και οι δύο κατατάξεις συνεπάγονται τις βασικές υποχρεώσεις διαχείρισης κινδύνων ασφάλειας και αναφοράς σημαντικών περιστατικών. Το καθεστώς της σημαντικής οντότητας αλλάζει το εποπτικό μοντέλο· δεν καταργεί την ανάγκη για αποτελεσματικά μέτρα.

Η άμεση νομική υπαγωγή και οι απαιτήσεις των πελατών πρέπει να καταγράφονται χωριστά. Ένας μικρότερος προμηθευτής μπορεί να βρίσκεται εκτός άμεσου πεδίου εφαρμογής και να αντιμετωπίζει ωστόσο ουσιαστικές συμβατικές υποχρεώσεις ασφάλειας. Αντίστροφα, ένα ερωτηματολόγιο πελάτη που αναφέρει ότι «η NIS2 εφαρμόζεται» δεν αποτελεί έγκυρη απόφαση κατάταξης.

Μια τεκμηριωμένη καταγραφή του πεδίου εφαρμογής πρέπει να περιέχει:

• Τη νομική οντότητα και τις πραγματικές της υπηρεσίες.
• Τις σχετικές εγγραφές των παραρτημάτων ή τους ειδικούς λόγους υπαγωγής.
• Τον υπολογισμό μεγέθους και τις σχετικές σχέσεις ιδιοκτησίας.
• Την κατάταξη ως βασικής ή σημαντικής οντότητας, με αιτιολόγηση.
• Τους τόπους εγκατάστασης και την ανάλυση δικαιοδοσίας.
• Τους εφαρμοστέους εθνικούς κανόνες, τον αξιολογητή, την ημερομηνία έγκρισης και τα ανοιχτά ερωτήματα.

Στα γεγονότα που ενεργοποιούν επαναξιολόγηση πρέπει να περιλαμβάνονται εξαγορές, νέες υπηρεσίες, ουσιώδεις μεταβολές μεγέθους και νομοθετικές εξελίξεις. Μια απόφαση εξαίρεσης μπορεί να είναι ορθή τη στιγμή που λαμβάνεται και να καταστεί αργότερα ξεπερασμένη.

Μεταφράστε το ενωσιακό βασικό επίπεδο σε εθνικές υποχρεώσεις

Η NIS2 είναι οδηγία που εφαρμόζεται μέσω εθνικού δικαίου. Τα κράτη μέλη είχαν ενωσιακή προθεσμία ενσωμάτωσης την 17η Οκτωβρίου 2024, με τα μέτρα εφαρμογής να προορίζονται να ισχύσουν από τις 18 Οκτωβρίου 2024. Οι ημερομηνίες αυτές δεν λένε σε μια συγκεκριμένη εταιρεία ποια είναι η τρέχουσα εθνική προθεσμία καταχώρισης ή ποια διαδικασία πρέπει να ακολουθήσει.

Δημιουργήστε ένα μητρώο υποχρεώσεων για κάθε σχετική οντότητα και χώρα. Προσδιορίστε την εφαρμοστέα νομοθεσία, την αρμόδια αρχή, τη διαδικασία καταχώρισης, το κανάλι αναφοράς, τις τομεακές διατάξεις και τον αρμόδιο εσωτερικό υπεύθυνο. Διακρίνετε μια νόμιμη απαίτηση από τις κατευθυντήριες γραμμές μιας αρχής ή από μια εσωτερική σύσταση υλοποίησης.

Προσδιορίστε τη δικαιοδοσία πριν επιλέξετε κανάλι αναφοράς

Το άρθρο 26 συνδέει γενικά τη δικαιοδοσία με την εγκατάσταση, αλλά ορισμένες υπηρεσίες ακολουθούν διαφορετικούς κανόνες. Οι πάροχοι δημόσιων ηλεκτρονικών επικοινωνιών υπάγονται στη ρύθμιση του κράτους όπου παρέχουν τις σχετικές υπηρεσίες. Συγκεκριμένοι πάροχοι ψηφιακών υπηρεσιών ακολουθούν την προσέγγιση της κύριας εγκατάστασης, μεταξύ των οποίων επιχειρήσεις cloud, κέντρων δεδομένων, δικτύων διανομής περιεχομένου, διαχειριζόμενων υπηρεσιών, διαχειριζόμενων υπηρεσιών ασφάλειας, καθώς και ορισμένες επιχειρήσεις επιγραμμικών πλατφορμών και ονομάτων τομέα.

Για την αξιολόγηση της κύριας εγκατάστασης, εξετάστε πού λαμβάνονται κατά κύριο λόγο στην Ένωση οι αποφάσεις διαχείρισης κινδύνων κυβερνοασφάλειας. Αν ο τόπος αυτός δεν μπορεί να προσδιοριστεί ή οι αποφάσεις δεν λαμβάνονται στην Ένωση, αξιολογήστε πού διεξάγονται οι λειτουργίες κυβερνοασφάλειας στην Ένωση· αν ούτε αυτό μπορεί να προσδιοριστεί, χρησιμοποιήστε την εγκατάσταση στην Ένωση με τον μεγαλύτερο αριθμό εργαζομένων. Η καταστατική έδρα μιας εταιρείας χαρτοφυλακίου μπορεί επομένως να μην αρκεί.

Ορισμένοι πάροχοι που προσφέρουν υπηρεσίες στην Ένωση χωρίς εγκατάσταση στην ΕΕ πρέπει να ορίσουν εκπρόσωπο στην ΕΕ. Μια έδρα εκτός ΕΕ δεν συνιστά αυτόματη εξαίρεση, αλλά ούτε οι ευρωπαίοι πελάτες εντάσσουν αυτομάτως κάθε επιχείρηση εκτός ΕΕ στο πεδίο εφαρμογής. Ο τύπος της υπηρεσίας και οι λοιπές προϋποθέσεις εφαρμοσιμότητας εξακολουθούν να έχουν σημασία.

Καταγράψτε τις υποχρεώσεις καταχώρισης και παροχής στοιχείων της οντότητας χωριστά από το πρόγραμμα ασφάλειας. Διατηρήστε τα αποδεικτικά υποβολής, τα τρέχοντα στοιχεία επικοινωνίας και την ευθύνη για τις επικαιροποιήσεις. Αν η καταχώριση έχει καθυστερήσει, επιβεβαιώστε την τρέχουσα διαδικασία της αρχής και ενεργήστε άμεσα. Η ολοκλήρωση της καταχώρισης δεν αποδεικνύει την υλοποίηση των μέτρων ασφάλειας.

Κρατήστε διακριτές τις υποχρεώσεις KRITIS και τις τομεακές υποχρεώσεις

Για δραστηριότητες στη Γερμανία, ελέγξτε τις απαιτήσεις KRITIS παράλληλα με τους εφαρμοστέους κανόνες ενσωμάτωσης της NIS2. Τα δύο καθεστώτα αλληλεπικαλύπτονται αλλά δεν είναι ταυτόσημα. Η υπαγωγή στην NIS2 δεν χαρακτηρίζει αυτομάτως κάθε εγκατάσταση ως κρίσιμη εγκατάσταση, και ένα καθιερωμένο πρόγραμμα KRITIS δεν εκπληρώνει αυτομάτως κάθε υποχρέωση της NIS2.

Τηρήστε χωριστά αρχεία για την κατάταξη της οντότητας, τις κρίσιμες εγκαταστάσεις και τις πρόσθετες υποχρεώσεις. Συμβουλευτείτε τις πληροφορίες του BSI για την NIS2 για την τρέχουσα εθνική διαδικασία αντί να βασίζεστε σε παλαιές ανακοινώσεις προθεσμιών.

Το άρθρο 4 αφορά επίσης ισοδύναμες τομεακές ενωσιακές απαιτήσεις. Για τις καλυπτόμενες χρηματοοικονομικές οντότητες, ο DORA μπορεί να διέπει τους σχετικούς τομείς. Προσδιορίστε ποιες υποχρεώσεις ισχύουν για τη συγκεκριμένη οντότητα και υπηρεσία αντί να διατηρείτε εξ ορισμού διπλά κανάλια αναφοράς.

Καταρτίστε ένα σχέδιο που ανήκει στη διοίκηση

Το άρθρο 20 αναθέτει την έγκριση και την εποπτεία της υλοποίησης στα διοικητικά όργανα των βασικών και σημαντικών οντοτήτων. Προβλέπει επίσης ευθύνη για παραβάσεις του άρθρου 21· οι έννομες συνέπειες εξαρτώνται από το εθνικό δίκαιο και τη νομική μορφή της οντότητας.

Η υλοποίηση μπορεί να ανατεθεί στις ομάδες ασφάλειας, IT, λειτουργιών, προμηθειών και σε άλλες. Η ανάθεση πρέπει να διατηρεί ορατή την εποπτεία της διοίκησης. Ο ρόλος του CEO δεν είναι να διαμορφώνει συστήματα, αλλά να διασφαλίζει ότι οι σημαντικοί κίνδυνοι των υπηρεσιών αντιμετωπίζονται με τεκμηριωμένες αποφάσεις, πόρους και συνέπεια στην εκτέλεση.

Εγκρίνετε αποφάσεις, όχι μόνο έγγραφα

Ένας φάκελος έγκρισης πρέπει να συνδέει την εκτίμηση κινδύνου με ένα εκτελέσιμο σχέδιο. Συμπεριλάβετε τις καλυπτόμενες υπηρεσίες, τα κύρια σενάρια διατάραξης, τα προτεινόμενα μέτρα, τις εναλλακτικές, τις εξαρτήσεις υλοποίησης, τις ανάγκες σε προσωπικό, τα ορόσημα και τα αναμενόμενα τεκμήρια.

Για κάθε υποχρέωση, καταγράψτε την υλοποίηση, τον υπεύθυνο, τα τεκμήρια, το κενό και την επόμενη απόφαση. Έτσι γίνεται δυνατό να διακρίνεται μια εγκεκριμένη πρόθεση από μια ολοκληρωμένη δυνατότητα. Αναδεικνύονται επίσης μέτρα που δεν έχουν λογοδοτούντα υπεύθυνο ή εξαρτώνται από πόρους που δεν διατέθηκαν ποτέ.

Τα πρακτικά της διοίκησης πρέπει να εξηγούν την απόφαση και τη βάση της. Για παράδειγμα, η έγκριση μιας επένδυσης στην ανάκαμψη πρέπει να καταγράφει ποια διακοπή υπηρεσίας αντιμετωπίζει, το αναμενόμενο αποτέλεσμα ανάκαμψης και τους λειτουργικούς περιορισμούς. Μια υπογραφή σε μια πολιτική δεν εξηγεί αν η διοίκηση εξέτασε το πρόβλημα υλοποίησης που βρίσκεται πίσω της.

Οι συζητήσεις για τον προϋπολογισμό πρέπει να περιλαμβάνουν την εσωτερική δυναμικότητα και τη διακοπή της επιχειρηματικής δραστηριότητας, όχι μόνο τη δαπάνη λογισμικού. Μια αλλαγή στο δίκτυο μπορεί να απαιτεί διακοπή της παραγωγικής λειτουργίας· ένας έλεγχος προμηθευτή μπορεί να χρειάζεται νομική διαπραγμάτευση· μια δοκιμή αποκατάστασης μπορεί να χρειάζεται απομονωμένο περιβάλλον και προσωπικό λειτουργιών.

Η αποδοχή κινδύνου χρειάζεται ιδιαίτερη προσοχή. Μπορεί να τεκμηριώνει μια απόφαση αντιμετώπισης στο πλαίσιο μιας διαδικασίας διαχείρισης κινδύνων, αλλά δεν μπορεί να άρει μια νομική απαίτηση. Όπου μια εξαίρεση θα μπορούσε να συγκρούεται με μια υποχρέωση, λάβετε νομική ερμηνεία, προσδιορίστε μεταβατική προστασία και κρατήστε το ανεπίλυτο ζήτημα ορατό.

Διαχωρίστε την πρόοδο υλοποίησης από την αποτελεσματικότητα των μέτρων ελέγχου

Ένα έργο μπορεί να ολοκληρώσει την εφαρμογή ενός μέτρου χωρίς να επιτύχει την επιδιωκόμενη προστασία. Η ενημέρωση της διοίκησης πρέπει να απαντά τόσο στο αν η εγκεκριμένη εργασία έχει ολοκληρωθεί όσο και στο αν λειτουργεί σε όλο το σχετικό όριο της υπηρεσίας.

Ορίστε συχνότητα επανεξέτασης ανάλογη του προγράμματος. Οι τριμηνιαίες επανεξετάσεις από τη διοίκηση μπορεί να είναι πρακτικές για μια σταθερή λειτουργία, με συχνότερες επανεξετάσεις κατά την υλοποίηση. Αυτό είναι σύσταση, όχι καθολική συχνότητα που ορίζει το άρθρο 20.

Ορίστε την κλιμάκωση μεταξύ των συνεδριάσεων. Μια αποτυχημένη δοκιμή ανάκαμψης, ένας παραβιασμένος προνομιούχος λογαριασμός ή μια νέα κρίσιμη εξάρτηση δεν πρέπει να περιμένουν την επόμενη προγραμματισμένη παρουσίαση.

Κάντε την εκπαίδευση των στελεχών σχετική με τις αποφάσεις

Το άρθρο 20 απαιτεί από τα μέλη των διοικητικών οργάνων να παρακολουθούν εκπαίδευση επαρκή ώστε να μπορούν να εντοπίζουν κινδύνους, να αξιολογούν τις πρακτικές διαχείρισης κινδύνων και να κατανοούν τις συνέπειες για τις υπηρεσίες. Δεν ορίζει μία καθολική διάρκεια μαθήματος ή διάστημα ανανέωσης.

Η εκπαίδευση πρέπει να καλύπτει τη σοβαρότητα των περιστατικών, τα διλήμματα της ανάκαμψης, τη συγκέντρωση σε προμηθευτές, τους περιορισμούς των τεκμηρίων και τις αποφάσεις υπό αβεβαιότητα. Συμπεριλάβετε ένα σενάριο στο οποίο τα στελέχη πρέπει να εγκρίνουν μια αναφορά, να περιορίσουν λειτουργίες ή να χρηματοδοτήσουν επείγουσα αντιμετώπιση.

Διατηρήστε ημερομηνίες, συμμετέχοντες, περιεχόμενο και ενέργειες παρακολούθησης. Η εκπαίδευση των εργαζομένων αντιμετωπίζεται επίσης στο άρθρο 21, αλλά οι συνεδρίες ευαισθητοποίησης του προσωπικού δεν υποκαθιστούν την εκπαίδευση της ίδιας της διοίκησης. Η ηγεσία πρέπει να μπορεί να αμφισβητεί ισχυρισμούς διασφάλισης χωρίς να χρειάζεται να γίνει τεχνικός ειδικός.

Μετατρέψτε το άρθρο 21 σε μέτρα σε επίπεδο υπηρεσίας

Το άρθρο 21 απαιτεί αναλογική τεχνική, επιχειρησιακή και οργανωτική προστασία. Η αξιολόγηση αναλογικότητας λαμβάνει υπόψη την έκθεση σε κίνδυνο, το μέγεθος του οργανισμού, το κόστος υλοποίησης και την πιθανότητα και σοβαρότητα των περιστατικών, συμπεριλαμβανομένων ευρύτερων κοινωνικών και οικονομικών επιπτώσεων.

Η απαιτούμενη προσέγγιση καλύπτει κινδύνους πέρα από την κακόβουλη κυβερνοδραστηριότητα. Διακοπή ρεύματος, πλημμύρα, φυσική παραβίαση, μη διαθέσιμο προσωπικό και διαταραγμένες τηλεπικοινωνίες μπορούν όλα να απειλήσουν την ίδια υπηρεσία.

Τα παρακάτω παραδείγματα υλοποίησης είναι πρακτικές συστάσεις. Εξηγούν τους δέκα θεματικούς τομείς χωρίς να επιβάλλουν πανομοιότυπο τεχνικό σχεδιασμό για κάθε οντότητα. Ορισμένες ψηφιακές υπηρεσίες υπόκεινται επίσης σε λεπτομερέστερες ενωσιακές εκτελεστικές απαιτήσεις· ελέγξτε την εφαρμοσιμότητα πριν βασιστείτε μόνο σε μια γενική λίστα ελέγχου.

Ανάλυση κινδύνων και πολιτικές ασφάλειας συστημάτων

Ξεκινήστε από την υπηρεσία: τι πρέπει να συνεχίσει να λειτουργεί, ποιος εξαρτάται από αυτήν και τι θα σήμαινε μια διατάραξη. Χαρτογραφήστε τα υποστηρικτικά συστήματα, τις εγκαταστάσεις, τα πρόσωπα και τους εξωτερικούς παρόχους πριν αποδώσετε βαθμολογίες κινδύνου.

Χρησιμοποιήστε κριτήρια επιπτώσεων που διακρίνουν την οικονομική ζημία από την ασφάλεια των προσώπων, τη βλάβη στους αποδέκτες της υπηρεσίας και την ευρύτερη διατάραξη. Καταγράψτε σενάρια, υφιστάμενη προστασία, προτεινόμενες αντιμετωπίσεις, υπολειπόμενη έκθεση και γεγονότα που ενεργοποιούν επαναξιολόγηση. Ένας γενικός κατάλογος κυβερνοαπειλών είναι λιγότερο χρήσιμος από μια εξήγηση του πώς μια συγκεκριμένη εξάρτηση μπορεί να διακόψει την υπηρεσία.

Το παραδοτέο είναι μια εκτίμηση κινδύνου που υποστηρίζει αποφάσεις, με πολιτικές που περιγράφουν πώς οι αποφάσεις αυτές γίνονται λειτουργικές απαιτήσεις.

Χειρισμός περιστατικών

Ορίστε την ανίχνευση, την αρχική διαλογή, την κλιμάκωση, τον περιορισμό, τη διερεύνηση, τον συντονισμό της ανάκαμψης και το κλείσιμο. Ορίστε συντονιστή και αναπληρωτές, και δώστε στους χειριστές περιστατικών εφαρμόσιμες διαδικασίες για τα πιθανά περιστατικά.

Η λειτουργική σοβαρότητα και η σημαντικότητα κατά τον νόμο συνδέονται αλλά είναι διακριτές. Ένα επείγον τεχνικό περιστατικό μπορεί να απαιτεί περιορισμό πριν επιλυθεί αν υπάρχει νομική υποχρέωση αναφοράς. Η διαδικασία πρέπει να υποστηρίζει και τις δύο δραστηριότητες χωρίς η μία να εμποδίζει την άλλη.

Διατηρήστε χρονολόγια περιστατικών, αποφάσεις, σχετικά τεκμήρια και διορθωτικές ενέργειες. Ελέγξτε αν οι συμφωνημένες βελτιώσεις ολοκληρώθηκαν· ένα έγγραφο διδαγμάτων χωρίς συνέχεια παρέχει ασθενή διασφάλιση.

Συνέχεια, αντίγραφα ασφαλείας, ανάκαμψη και διαχείριση κρίσεων

Χρησιμοποιήστε ανάλυση επιχειρησιακών επιπτώσεων για να εντοπίσετε τις ουσιώδεις δραστηριότητες και την αποδεκτή διατάραξη. Συμφωνήστε τους στόχους χρόνου ανάκαμψης και τους στόχους σημείου ανάκαμψης με τους υπευθύνους των υπηρεσιών. Οι πρώτοι αφορούν τον χρόνο αποκατάστασης· οι δεύτεροι την ανεκτή απώλεια δεδομένων.

Τα αρχεία ολοκλήρωσης αντιγράφων ασφαλείας είναι χρήσιμα, αλλά δεν αποδεικνύουν ότι μια υπηρεσία μπορεί να ανακτηθεί. Δοκιμάστε την αποκατάσταση, τις υποστηρικτικές ταυτότητες, τα κλειδιά, τις διεπαφές και τα αξιοποιήσιμα δεδομένα. Ελέγξτε αν τα ανακτημένα συστήματα μπορούν να υποστηρίξουν την πραγματική επιχειρησιακή ροή εργασιών.

Οι ρυθμίσεις διαχείρισης κρίσεων πρέπει να καλύπτουν τις λειτουργικές αποφάσεις και την επικοινωνία, όχι μόνο την τεχνική ανάκαμψη. Καταγράψτε τα αποτελέσματα των δοκιμών, τους στόχους που δεν επιτεύχθηκαν, τις ενέργειες και τις αποφάσεις της διοίκησης για την υπολειπόμενη έκθεση.

Σχέσεις με προμηθευτές

Εντοπίστε τους άμεσους προμηθευτές των οποίων η αστοχία ή η παραβίαση θα μπορούσε να επηρεάσει ουσιωδώς την υπηρεσία. Λάβετε υπόψη τη διαχειριστική πρόσβαση, τις ευαίσθητες πληροφορίες, τις εξαρτήσεις λογισμικού και τη διαθεσιμότητα.

Αξιολογήστε τη σημασία της πραγματικής σχέσης για την ασφάλεια, συμπεριλαμβανομένων των ευπαθειών που αφορούν συγκεκριμένα τον προμηθευτή και των πρακτικών του σε προϊόντα ή ανάπτυξη. Συνδέστε τα ευρήματα με μέτρα ελέγχου πρόσβασης, συμβατικές ρυθμίσεις, σχέδια έκτακτης ανάγκης και γεγονότα που ενεργοποιούν επανεξέταση.

Ένα πιστοποιητικό προμηθευτή μπορεί να υποστηρίξει την αξιολόγηση. Δεν καλύπτει αυτομάτως την υπηρεσία που αγοράσατε, τη διαμόρφωσή της ή τις δικές σας ευθύνες ενοποίησης.

Απόκτηση, ανάπτυξη, συντήρηση και ευπάθειες

Ορίστε κριτήρια αποδοχής ασφάλειας για αγορές και νέα συστήματα. Ορίστε τις ευθύνες για την ασφαλή ανάπτυξη, τη διαμόρφωση, τις αλλαγές, τη συντήρηση, τις ενημερώσεις και τις εισερχόμενες αναφορές ευπαθειών.

Παρακολουθήστε τις σημαντικές ευπάθειες σε όλα τα στάδια: αξιολόγηση, αντιμετώπιση, χειρισμός εξαιρέσεων και επαλήθευση. Οι προτεραιότητες αποκατάστασης πρέπει να αντανακλούν τη δυνατότητα εκμετάλλευσης και τις συνέπειες για την υπηρεσία, όχι μόνο μια αριθμητική βαθμολογία σοβαρότητας.

Η επιχειρησιακή τεχνολογία (OT) μπορεί να απαιτεί επικύρωση από τον κατασκευαστή και προγραμματισμένες διακοπές πριν από την εφαρμογή ενημερώσεων. Τεκμηριώστε τις μεταβατικές δικλίδες και το χρονοδιάγραμμα αντιμετώπισης. Το «δεν μπορεί να ενημερωθεί» είναι ένας περιορισμός που πρέπει να διαχειριστείτε, όχι μια πλήρης απόφαση για τον κίνδυνο.

Αξιολόγηση αποτελεσματικότητας

Για τα σημαντικά μέτρα, ορίστε το ερώτημα στο οποίο πρέπει να απαντήσει η δοκιμή. Μια επανεξέταση πρόσβασης ελέγχει την εξουσιοδότηση· μια άσκηση αποκατάστασης ελέγχει την ανάκαμψη· μια προσομοίωση περιστατικού ελέγχει τον συντονισμό και τη λήψη αποφάσεων.

Καταγράψτε το εύρος που δοκιμάστηκε, το αναμενόμενο αποτέλεσμα, τη μέθοδο, τον αξιολογητή, τα ευρήματα και την αντίδραση σε αποτυχία. Χρησιμοποιήστε ανεξάρτητη διασφάλιση όπου προσθέτει αξία ή όπου την απαιτούν οι εφαρμοστέοι κανόνες.

Το άρθρο 21 απαιτεί αξιολόγηση της αποτελεσματικότητας, αλλά δεν επιβάλλει μία συχνότητα δοκιμών διείσδυσης σε κάθε καλυπτόμενο οργανισμό. Οι δοκιμές πρέπει να αντιστοιχούν στην ανάγκη διασφάλισης και σε τυχόν σχετικές λεπτομερείς απαιτήσεις.

Κυβερνοϋγιεινή και εκπαίδευση προσωπικού

Δώστε στο προσωπικό πρακτικές οδηγίες για την αναφορά ύποπτης δραστηριότητας, την προστασία διαπιστευτηρίων, τον χειρισμό πληροφοριών και την ασφαλή εργασία. Προσθέστε περιεχόμενο ανά ρόλο για προγραμματιστές, διαχειριστές συστημάτων, προσωπικό προμηθειών και χειριστές περιστατικών.

Η παρακολούθηση της εκπαίδευσης δείχνει συμμετοχή, όχι απαραίτητα την ικανότητα δράσης. Οι ασκήσεις και η παρατηρούμενη απόδοση μπορούν να αποκαλύψουν ασαφείς οδηγίες ή αδύναμες διαδρομές κλιμάκωσης.

Χρησιμοποιήστε τα ευρήματα για να βελτιώσετε τις διαδικασίες. Αν οι εργαζόμενοι αναφέρουν σωστά τα ύποπτα μηνύματα αλλά η ομάδα που τα λαμβάνει αντιδρά αργά, η επανάληψη του ίδιου μαθήματος ευαισθητοποίησης δεν θα λύσει το υποκείμενο πρόβλημα.

Κρυπτογραφία

Ορίστε ποιες πληροφορίες και ροές εργασιών χρειάζονται κρυπτογραφική προστασία, συμπεριλαμβανομένων των σχετικών δεδομένων κατά τη μετάδοση και σε αποθήκευση. Προσδιορίστε την ευθύνη για τα κλειδιά και τα πιστοποιητικά, την ανανέωση, την ανάκληση, την πρόσβαση και την ανάκτηση.

Τα τεκμήρια πρέπει να περιλαμβάνουν αποφάσεις διαμόρφωσης και ρυθμίσεις διαχείρισης κλειδιών, όχι μόνο μια διαβεβαίωση ότι υπάρχει κρυπτογράφηση. Η προστασία μπορεί να αποτύχει αν τα κρυπτογραφημένα αντίγραφα ασφαλείας εξαρτώνται από κλειδιά που δεν είναι διαθέσιμα ή αν η πρόσβαση στα κλειδιά δεν περιορίζεται κατάλληλα.

Διατηρήστε αιτιολογημένες εξαιρέσεις και επανεξετάστε τις όταν αλλάζουν τα συστήματα ή οι κίνδυνοι. Αποφύγετε να θεωρείτε επαρκή διασφάλιση έναν γενικό ισχυρισμό όπως «όλα είναι κρυπτογραφημένα».

Ανθρώπινο δυναμικό, πρόσβαση και πάγια στοιχεία

Συνδέστε τις προσλήψεις, τις αλλαγές ρόλων και τις αποχωρήσεις με αποφάσεις πρόσβασης. Προσδιορίστε τους επιχειρησιακούς υπευθύνους, τους διαχειριστές, τους εξωτερικούς λογαριασμούς, τις ταυτότητες υπηρεσιών και τα σχετικά πάγια στοιχεία.

Επανεξετάστε την προνομιούχο πρόσβαση και αφαιρέστε δικαιώματα που δεν είναι πλέον αιτιολογημένα. Συμπεριλάβετε στην αξιολόγηση κοινόχρηστους ή μη ανθρώπινους λογαριασμούς αντί να την περιορίζετε στις λίστες χρηστών των εργαζομένων.

Τα τεκμήρια μπορούν να περιλαμβάνουν εγκεκριμένα αιτήματα, δειγματοληπτικά αρχεία αποχωρήσεων, ολοκληρωμένες επανεξετάσεις πρόσβασης και επιλυμένες εξαιρέσεις. Ένα μητρώο παγίων πρέπει να εξηγεί την ευθύνη και την εξάρτηση από την υπηρεσία, όχι απλώς να μετρά συσκευές.

Αυθεντικοποίηση και ασφαλείς επικοινωνίες

Το άρθρο 21 αφορά την ισχυρότερη αυθεντικοποίηση και τις προστατευμένες επικοινωνίες, συμπεριλαμβανομένων των ρυθμίσεων έκτακτης ανάγκης, με επιφύλαξη καταλληλότητας.

Ως πρακτική προτεραιότητα, εξετάστε την προνομιούχο και την απομακρυσμένη πρόσβαση σε κρίσιμες υπηρεσίες. Εντοπίστε περιορισμούς παλαιών συστημάτων και αξιολογήστε εναλλακτικά μέτρα προστασίας αντί να υποθέτετε ότι κάθε σύστημα υποστηρίζει τον ίδιο μηχανισμό.

Δοκιμάστε επίσης την επικοινωνία σε κρίσεις όταν το συνηθισμένο email, τα εργαλεία συνεργασίας ή οι υπηρεσίες ταυτότητας δεν είναι διαθέσιμα. Μια διαδικασία έκτακτης ανάγκης που εξαρτάται πλήρως από την πλατφόρμα που έχει αστοχήσει μπορεί να είναι άχρηστη ακριβώς όταν τη χρειάζεστε.

Κάντε ρητές τις αποφάσεις για κρίσιμους προμηθευτές

Η ασφάλεια της εφοδιαστικής αλυσίδας γίνεται συχνά ζήτημα της διοίκησης, επειδή οι προμήθειες δεν μπορούν να εξαλείψουν κάθε εξάρτηση μέσω ενός ερωτηματολογίου. Ξεκινήστε από τη συνέπεια της αστοχίας: μπορεί αυτός ο προμηθευτής να διακόψει την παράδοση, να εισαγάγει μη εξουσιοδοτημένες αλλαγές, να εκθέσει πληροφορίες ή να εμποδίσει την ανάκαμψη;

Για τους κρίσιμους άμεσους προμηθευτές, καταγράψτε την υποστηριζόμενη υπηρεσία, την παρεχόμενη πρόσβαση, τον υπεύθυνο αξιολόγησης, τη διασφάλιση που εξετάστηκε, τα εκκρεμή ευρήματα και τις αποφάσεις αντιμετώπισης. Ελέγξτε το εύρος και την περίοδο των εγγράφων διασφάλισης. Μια έκθεση που καλύπτει άλλη υπηρεσία ή παλαιότερο λειτουργικό μοντέλο μπορεί να μην απαντά στο τρέχον ερώτημα.

Η διαπραγμάτευση της σύμβασης πρέπει να αντιμετωπίζει τους κινδύνους της σχέσης. Πρακτικά θέματα περιλαμβάνουν τις ευθύνες ασφάλειας, την επικοινωνία για περιστατικά, τη συνεργασία στη διερεύνηση, τον χειρισμό ευπαθειών, τους περιορισμούς πρόσβασης, τη διαθεσιμότητα τεκμηρίων, τη συνέχεια και την υποστήριξη κατά την αποχώρηση. Πρόκειται για προτεινόμενα θέματα διαπραγμάτευσης, όχι για πανομοιότυπους νόμιμους όρους για κάθε σύμβαση.

Οι ρυθμίσεις ειδοποίησης από τους προμηθευτές πρέπει να υποστηρίζουν το δικό σας χρονοδιάγραμμα αναφοράς. Επιβεβαιώστε τις λειτουργικές επαφές και τους αναπληρωτές· το γραμματοκιβώτιο ενός υπεύθυνου λογαριασμού που λειτουργεί μόνο σε ώρες γραφείου μπορεί να είναι ανεπαρκές για ένα σοβαρό περιστατικό.

Το άρθρο 21 αφορά ρητά τις άμεσες σχέσεις. Οι εξαρτήσεις ανάντη μπορούν να έχουν σημασία όπου δημιουργούν κίνδυνο συγκέντρωσης ή υπονομεύουν την ανάκαμψη. Ερευνήστε σε βάθος όταν αυτό αλλάζει την απόφαση, αντί να επιχειρείτε μια απεριόριστη απογραφή όλων των προμηθευτών κάθε προμηθευτή.

Αν η διασφάλιση παραμένει ανεπαρκής, η διοίκηση μπορεί να περιορίσει την πρόσβαση, να προσθέσει παρακολούθηση, να διαπραγματευτεί βελτιώσεις, να εισαγάγει εναλλακτικές, να επανασχεδιάσει την εξάρτηση ή να αντικαταστήσει τον πάροχο. Καταγράψτε το σκεπτικό και τα μεταβατικά μέτρα. Η εξωτερική ανάθεση της παροχής υπηρεσιών δεν αφαιρεί την ευθύνη για το πρόγραμμα διαχείρισης κινδύνων της ίδιας της οντότητας.

Κάντε πρόβες για την αναφορά σημαντικών περιστατικών

Το άρθρο 23 θεσπίζει την υποχρέωση αναφοράς σημαντικών περιστατικών. Ένα περιστατικό είναι σημαντικό αν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οντότητα, ή σημαντική υλική ή μη υλική ζημία σε άλλα φυσικά ή νομικά πρόσωπα. Επιβεβαιώστε τους εφαρμοστέους εθνικούς και τομεακούς κανόνες σημαντικότητας πριν σχεδιάσετε τη διαδικασία λήψης αποφάσεων.

Η προθεσμία μετρά από τη στιγμή που λαμβάνετε γνώση ενός σημαντικού περιστατικού, όχι από την ολοκλήρωση της ψηφιακής εγκληματολογικής ανάλυσης. Καταγράψτε πότε έγιναν διαθέσιμες οι σχετικές πληροφορίες, την αξιολόγηση σημαντικότητας και ποιος έλαβε την απόφαση. Μην κατασκευάζετε μεταγενέστερο χρόνο λήψης γνώσης καθυστερώντας την εσωτερική κλιμάκωση.

Οι πάροχοι υπηρεσιών εμπιστοσύνης έχουν ειδική διάταξη κοινοποίησης εντός 24 ωρών για σημαντικά περιστατικά που επηρεάζουν τις υπηρεσίες εμπιστοσύνης τους. Τόσο οι βασικές όσο και οι σημαντικές οντότητες έχουν υποχρεώσεις σταδιακής αναφοράς· η κατάταξη ως σημαντικής οντότητας δεν καταργεί την έγκαιρη προειδοποίηση.

Σχεδιάστε εξουσιοδοτήσεις και πρόσβαση για χρήση εκτός ωραρίου

Ορίστε ονομαστικά τον υπεύθυνο αξιολόγησης, τον εξουσιοδοτημένο υποβάλλοντα, τον αναπληρωτή, τη νομική επαφή και τη διαδρομή κλιμάκωσης προς τη διοίκηση. Συμφωνήστε πώς θα εγκρίνονται οι προσωρινές πληροφορίες. Η διοίκηση χρειάζεται ορατότητα χωρίς να γίνεται αναπόφευκτο σημείο συμφόρησης για κάθε υποβολή.

Προετοιμάστε πρότυπα που διαχωρίζουν τα επιβεβαιωμένα γεγονότα, τις προκαταρκτικές αξιολογήσεις, τα άγνωστα στοιχεία και τις προγραμματισμένες επικαιροποιήσεις. Αποφύγετε αβάσιμες αποδόσεις ευθύνης ή υποσχέσεις ανάκαμψης. Η έγκαιρη αναφορά πρέπει να είναι ακριβής ως προς την αβεβαιότητα και όχι τεχνητά πλήρης.

Δοκιμάστε την πρόσβαση στο κανάλι αναφοράς, τα διαπιστευτήρια, τα στοιχεία επικοινωνίας και τις εναλλακτικές ρυθμίσεις. Αν ο υποβάλλων εξαρτάται από μια παραβιασμένη εταιρική υπηρεσία ταυτότητας, η διαδικασία χρειάζεται εναλλακτική λύση.

Κάντε άσκηση με ένα βραδινό σενάριο ή σενάριο Σαββατοκύριακου. Μετρήστε τον χρόνο για να αναγνωριστεί η πιθανή σημαντικότητα, να συγκεντρωθούν τα απαραίτητα πρόσωπα, να προετοιμαστεί η προειδοποίηση, να εγκριθεί και να φτάσει στο κανάλι. Κρατήστε αυτή τη δραστηριότητα συνδεδεμένη με τον περιορισμό και την ανάκαμψη, διαθέτοντας όμως αρκετά άτομα ώστε η αναφορά να μην απορροφά ολόκληρη την ομάδα απόκρισης.

Το άρθρο 23 αφορά επίσης την ενημέρωση των αποδεκτών των υπηρεσιών όπου ενδείκνυται. Συμβάσεις και άλλοι νόμοι μπορεί να δημιουργούν πρόσθετες ειδοποιήσεις. Μια παραβίαση δεδομένων προσωπικού χαρακτήρα απαιτεί τη δική της αξιολόγηση βάσει του ΓΚΠΔ· μια υποβολή βάσει της NIS2 δεν την ικανοποιεί αυτομάτως. Συντονίστε τα πραγματικά περιστατικά διατηρώντας χωριστές αποφάσεις και προθεσμίες.

Διατηρήστε τεκμήρια που εξηγούν τι λειτουργεί

Οι πολιτικές, οι πιστοποιήσεις, οι συμβάσεις με προμηθευτές και τα αποδεικτικά καταχώρισης μπορούν να υποστηρίξουν την ετοιμότητα. Τα τεκμήρια πρέπει ωστόσο να δείχνουν τι λειτουργεί εντός του εφαρμοστέου πεδίου.

Διακρίνετε τον σχεδιασμό, την υλοποίηση και τη λειτουργία. Μια πολιτική πρόσβασης περιγράφει την επιδιωκόμενη συμπεριφορά. Τα τεκμήρια διαμόρφωσης δείχνουν την εφαρμογή. Μια ολοκληρωμένη επανεξέταση πρόσβασης που δείχνει αφαιρεμένα δικαιώματα και επιλυμένες εξαιρέσεις αποδεικνύει τη λειτουργία. Αυτά τα αρχεία απαντούν σε διαφορετικά ερωτήματα και δεν πρέπει να θεωρούνται εναλλάξιμα.

Για κάθε τεκμήριο, διατηρήστε την πηγή, το εύρος, την ημερομηνία ή την περίοδο, τον υπεύθυνο, τον αξιολογητή, το συμπέρασμα και τους περιορισμούς του. Μια επιτυχής δοκιμή αποκατάστασης για μία εφαρμογή δεν αποδεικνύει την ανάκαμψη ολόκληρου του περιβάλλοντος. Ένα στιγμιότυπο οθόνης μπορεί να δείχνει μία διαμόρφωση σε μία στιγμή, όχι διαρκή λειτουργία.

Προστατέψτε τα ευαίσθητα τεκμήρια. Τα αρχεία καταγραφής περιστατικών, τα διαγράμματα αρχιτεκτονικής και οι εξαγωγές δικαιωμάτων πρόσβασης μπορούν να εκθέσουν λειτουργικές ή προσωπικές πληροφορίες. Ορίστε κατάλληλες ρυθμίσεις πρόσβασης, διατήρησης και εξωτερικής κοινοποίησης.

Τα κενά στα τεκμήρια πρέπει να γίνονται εργασίες. Τα «καμία πρόσφατη δοκιμή», «ασαφές εύρος προμηθευτή» και «ο υπεύθυνος δεν έχει εξετάσει την εξαγωγή» είναι διακριτά προβλήματα που απαιτούν διαφορετικές ενέργειες. Η καταμέτρηση εγγράφων δεν τα αποκαλύπτει.

Αξιοποιήστε ξανά την υφιστάμενη εργασία ΣΔΑΠ και KRITIS

Ένα ΣΔΑΠ κατά ISO 27001 μπορεί να παρέχει εκτίμηση κινδύνου, αντιμετώπιση, πολιτικές, ελέγχους, ανασκόπηση από τη διοίκηση και λειτουργικά αρχεία. Συγκρίνετε το πιστοποιημένο όριό του με τις οντότητες και τις υπηρεσίες που καλύπτουν οι εθνικοί κανόνες της NIS2.

Η πιστοποίηση του εταιρικού IT μπορεί να εξαιρεί παραγωγικά συστήματα, μια διαχειριζόμενη υπηρεσία ή μια επιχείρηση που εξαγοράστηκε. Αξιοποιήστε ξανά τα σχετικά μέτρα ελέγχου και τεκμήρια και, στη συνέχεια, αντιμετωπίστε ρητά την κατάταξη, την καταχώριση, τη νόμιμη αναφορά και την εκπαίδευση της διοίκησης. Ο οδηγός μας για την NIS2 και το ISO 27001 εξηγεί πώς η υφιστάμενη εργασία ΣΔΑΠ μπορεί να υποστηρίξει αυτή τη διαδικασία.

Η NIS2 δεν θεσπίζει γενικό ενωσιακό πιστοποιητικό συμμόρφωσης. Η πιστοποίηση υποστηρίζει τη διασφάλιση εντός του δικού της εύρους· δεν διευθετεί κάθε νομική υποχρέωση. Εφαρμόστε τους ίδιους ελέγχους συνάφειας στα υφιστάμενα τεκμήρια KRITIS αντί να υποθέτετε ότι μια προηγούμενη αποδοχή καλύπτει τις τρέχουσες υποχρεώσεις.

Πρακτικό παράδειγμα: απομακρυσμένη συντήρηση και ανάκαμψη της παραγωγής

Ας εξετάσουμε έναν ενδεικτικό γερμανό κατασκευαστή με 180 εργαζόμενους, ο οποίος παράγει εξοπλισμό στο πλαίσιο μιας μεταποιητικής δραστηριότητας του Παραρτήματος II. Ας υποθέσουμε ότι ένας επανεξετασμένος υπολογισμός τεκμηριώνει το καθεστώς μεσαίας επιχείρησης, η εθνική ανάλυση επιβεβαιώνει την κατάταξη ως σημαντικής οντότητας και μια χωριστή αξιολόγηση δεν εντοπίζει χαρακτηρισμό κρίσιμης εγκατάστασης κατά KRITIS. Οι παραδοχές αυτές αφορούν ειδικά το παράδειγμα και δεν αποτελούν κανόνα για κάθε κατασκευαστή αυτού του μεγέθους.

Η πρώτη εστίαση της υλοποίησης είναι ο προγραμματισμός της παραγωγής σε ένα εργοστάσιο. Οι εξαρτήσεις περιλαμβάνουν μια εφαρμογή ERP, βιομηχανικούς ελεγκτές, υπηρεσίες ταυτότητας, αντίγραφα ασφαλείας και έναν προμηθευτή συντήρησης με απομακρυσμένη πρόσβαση. Η αξιολόγηση του νομικού πεδίου εφαρμογής εξακολουθεί να καλύπτει τις σχετικές υποχρεώσεις της οντότητας πέρα από αυτή την αρχική υπηρεσία.

Η επανεξέταση εντοπίζει τρεις αλληλένδετες αδυναμίες. Οι τεχνικοί του προμηθευτή μοιράζονται έναν προνομιούχο λογαριασμό. Οι εργασίες αντιγράφων ασφαλείας ολοκληρώνονται, αλλά καμία πρόσφατη δοκιμή αποκατάστασης δεν περιλαμβάνει την εξάρτηση ταυτότητας της εφαρμογής προγραμματισμού. Η διαδικασία περιστατικών ορίζει υπεύθυνο αναφοράς χωρίς αναπληρωτή εξουσιοδοτημένο να υποβάλει.

Η διοίκηση ζητά επιλογές αντί να εγκρίνει τρεις μεμονωμένες επικαιροποιήσεις πολιτικών. Οι λειτουργίες προτείνουν ονομαστική, χρονικά περιορισμένη πρόσβαση του προμηθευτή μέσω ελεγχόμενης διαδρομής απομακρυσμένης πρόσβασης. Το IT προτείνει μια άσκηση αποκατάστασης της υπηρεσίας με βάση στόχους εγκεκριμένους από την επιχείρηση. Η ασφάλεια και το νομικό τμήμα προτείνουν αναπληρωματική εξουσιοδότηση αναφοράς και μια πρόβα εκτός ωραρίου.

Μόνο για σκοπούς σχεδιασμού, ας υποθέσουμε έξι εβδομάδες και ένα προγραμματισμένο παράθυρο συντήρησης. Η διοίκηση εγκρίνει τη δυναμικότητα προσωπικού, τις ρυθμίσεις διακοπής λειτουργίας και μεταβατικούς περιορισμούς στην πρόσβαση του προμηθευτή. Το αρχείο απόφασης εξηγεί τις συνέπειες για την υπηρεσία, γιατί επιλέχθηκαν οι συγκεκριμένες αντιμετωπίσεις και ποια τεκμήρια θα αποδείξουν την ολοκλήρωση.

Οι εργασίες πρόσβασης παράγουν αρχεία διαμόρφωσης, επιβεβαίωση του προμηθευτή και μια επανεξέταση που επιβεβαιώνει την κατάργηση του κοινόχρηστου λογαριασμού. Η άσκηση αποκατάστασης ανακτά τα δεδομένα αλλά δεν επιτυγχάνει τον συμφωνημένο χρόνο ανάκαμψης της υπηρεσίας, επειδή η αυθεντικοποίηση δεν μπορεί να αποκατασταθεί έγκαιρα. Το εύρημα αυτό παραμένει ανοιχτό: οι επιτυχείς εργασίες αντιγράφων ασφαλείας δεν υπερισχύουν του αποτυχημένου αποτελέσματος για την υπηρεσία.

Η διοίκηση αποφασίζει στη συνέχεια αν θα βελτιώσει τη ρύθμιση ανάκαμψης της ταυτότητας, θα αλλάξει την αρχιτεκτονική ή θα υιοθετήσει διαφορετικό λειτουργικό σχέδιο έκτακτης ανάγκης. Κάθε αναθεωρημένος στόχος ανάκαμψης χρειάζεται επιχειρησιακή αιτιολόγηση και πρέπει να παραμένει συνεπής με τις εφαρμοστέες υποχρεώσεις.

Η πρόβα αναφοράς διαπιστώνει ότι ο αναπληρωτής υποβάλλων δεν μπορεί να αποκτήσει ανεξάρτητα πρόσβαση στο κανάλι αναφοράς. Η ομάδα διορθώνει την εξάρτηση πρόσβασης και τη δοκιμάζει ξανά. Η ετοιμότητα βελτιώνεται μέσω επαληθευμένων αλλαγών και επανεξετασμένων αποφάσεων, όχι μέσω μιας δήλωσης ότι οι αναθεωρημένες διαδικασίες είναι πλήρεις.

Κατανοήστε με ακρίβεια την εποπτεία και τις συνέπειες

Τα άρθρα 32 και 33 διακρίνουν εποπτικές προσεγγίσεις. Οι βασικές οντότητες μπορούν να υποβληθούν σε προληπτικές επιθεωρήσεις και ελέγχους. Οι σημαντικές οντότητες υπόκεινται σε εκ των υστέρων εποπτεία όταν οι πληροφορίες υποδηλώνουν πιθανή μη συμμόρφωση. Καμία από τις δύο δεν πρέπει να ερμηνεύει την απουσία περιστατικού ή ερωτήματος από την αρχή ως απόδειξη ετοιμότητας.

Για παραβάσεις των άρθρων 21 ή 23, το άρθρο 34 απαιτεί τα εθνικά ανώτατα πρόστιμα να φθάνουν τουλάχιστον τα ακόλουθα επίπεδα: για τις βασικές οντότητες, το υψηλότερο ποσό μεταξύ 10 εκατ. EUR και 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της σχετικής επιχείρησης· για τις σημαντικές οντότητες, το υψηλότερο μεταξύ 7 εκατ. EUR και 1,4%. Πρόκειται για κατώτατα όρια των εθνικών ανώτατων ορίων προστίμων, όχι για τυπικά ποσά προστίμων ή καθολικά σταθερά ανώτατα όρια.

Οι αρχές διαθέτουν επίσης διορθωτικές εξουσίες. Το άρθρο 32 προβλέπει υπό προϋποθέσεις μηχανισμούς για τις βασικές οντότητες που αφορούν σχετική πιστοποίηση ή άδεια και προσωρινούς περιορισμούς σε συγκεκριμένα διευθυντικά καθήκοντα μετά τα προβλεπόμενα βήματα επιβολής. Αυτές δεν είναι αυτόματες συνέπειες κάθε περιστατικού, και η διάταξη εξαιρεί τις οντότητες δημόσιας διοίκησης.

Η ευθύνη της διοίκησης και η ασφαλιστική μεταχείριση απαιτούν συμβουλή ανά δικαιοδοσία. Η ηγεσία πρέπει να εστιάζει σε αληθή αρχεία, έγκαιρη αντιμετώπιση και τεκμηριωμένη εποπτεία, αντί να αντιμετωπίζει τα πιθανά πρόστιμα ως υποκατάστατο της υλοποίησης των απαιτούμενων μέτρων.

Ορίστε την επόμενη απόφαση της διοίκησης

Ξεκινήστε την υλοποίηση με την υπηρεσία με τις μεγαλύτερες επιπτώσεις και τις εξαρτήσεις της, διατηρώντας παράλληλα πλήρη τη νομική αξιολόγηση για κάθε σχετική οντότητα. Δώστε προτεραιότητα στη νομική επιτακτικότητα, στις συνέπειες για την υπηρεσία και στις εργασίες που ξεκλειδώνουν τις επόμενες. Ένα εστιασμένο όριο υλοποίησης βοηθά να καθιερωθεί η ροή εργασιών· δεν περιορίζει τις νομικές υποχρεώσεις της οντότητας σε αυτό το πιλοτικό έργο.

Η επόμενη ανασκόπηση από τη διοίκηση πρέπει να εγκρίνει ή να επιλύσει την απόφαση για το πεδίο εφαρμογής, να επιβεβαιώσει τις ρυθμίσεις καταχώρισης και αναφοράς, να χρηματοδοτήσει τις αντιμετωπίσεις προτεραιότητας, να ορίσει λογοδοτούντες υπευθύνους και να προγραμματίσει ασκήσεις ανάκαμψης και αναφοράς. Πρέπει επίσης να καθορίσει πότε η διοίκηση θα εξετάσει τα λειτουργικά τεκμήρια και ποια ευρήματα απαιτούν νωρίτερη κλιμάκωση.

Στο Secani, οι ομάδες μπορούν να μοντελοποιήσουν την επιλεγμένη υπηρεσία, τα υποστηρικτικά συστήματα και τις εξαρτήσεις από εξωτερικούς παρόχους, και στη συνέχεια να συνδέσουν απαιτήσεις, μέτρα ελέγχου, υπευθύνους και επανεξετασμένα τεκμήρια. Οι ελλείπουσες αποδείξεις και τα ανεπίλυτα συμπεράσματα μπορούν να γίνουν εργασίες. Ανθρώπινοι αξιολογητές πρέπει να εγκρίνουν τις αντιστοιχίσεις και τα συμπεράσματα για τα τεκμήρια, διατηρώντας συνδέσμους πηγών, σχόλια, εγκρίσεις και χρονοσημάνσεις, ώστε το σκεπτικό να παραμένει ελέγξιμο.

Φέρτε σε αυτή τη συνεδρίαση έναν χάρτη υπηρεσίας, ένα μητρώο υποχρεώσεων και τα πιο κρίσιμα κενά. Φύγετε με χρηματοδοτημένες ενέργειες, αξιοποιήσιμη εξουσιοδότηση αναφοράς και μια ημερομηνία για την εξέταση των αποτελεσμάτων, όχι απλώς με μια δέσμευση να παραχθεί περισσότερη τεκμηρίωση.