NIS2 valmisolek: kohaldamisala, juhtkonna kohustused ja tõendid

NIS2 valmisolek algab dokumenteeritud kohaldatavusotsusest. Tähtsust võivad omada sektor, teenus, suurus, asukoht ja erilised kaasamisreeglid. Kliendi küsimustik on kasulik taust, kuid see ei määra teie õiguslikku staatust. Samuti ei tõenda turvasertifikaat, et kõik asjakohased üksused, teenused ja teavitamiskohustused on käsitletud.

Tegevjuhi jaoks tähendab valmisolek suutlikkust selgitada, mille on juhtkond heaks kiitnud, miks meetmed on asjakohased, kes need ellu viib ja kuidas nende tõhusust hinnatakse. See tähendab ka seda, et organisatsioon suudab teatada märkimisväärsest intsidendist ajal, mil teave on puudulik ja tavapärane tegevus häiritud.

Praktiline ülesanne on siduda omavahel õiguslik kohaldamisala, teenuste riskid, elluviimise prioriteedid ja üle vaadatud tõendid. See seos annab juhtkonnale aluse otsusteks investeeringute, tegevuse häirimise, tarnijate ja lahendamata riskide kohta.

Tehke kindlaks, millised üksused ja teenused on hõlmatud

NIS2 direktiiv kehtestab ELi küberturvalisuse baastaseme kindlaksmääratud tegevusaladel. Artiklid 2 ja 3 koos lisadega määravad kindlaks selle kohaldamisala ja liigitusstruktuuri. Riiklikud rakendusõigusaktid annavad kohaldatavad kohalikud kohustused ja menetlused.

Hinnake iga asjakohast juriidilist isikut eraldi, selle asemel et käsitleda kontserni nime regulatiivse piirina. Tütarettevõtja tegevus, omandisuhted ja asukohad võivad vastust muuta. Juhtkond peaks nõudma salvestatud järeldust, seda toetavaid fakte ja vastutajat lahendamata küsimuste jaoks.

Viige tegevused vastavusse loetletud üksuste liikidega

I lisa hõlmab selliseid sektoreid nagu energeetika, transport, tervishoid, vesi, finantsteenused, digitaristu, IKT-teenuste haldus, avalik haldus ja kosmos. II lisa laiendab kohaldamist muu hulgas postiteenustele, jäätmekäitlusele, kemikaalidele, toidule, kindlaksmääratud tootmistegevustele, digitaalteenuste osutajatele ja teadusuuringutele.

Sektori pealkiri on vaid lähtepunkt. Lugege asjakohase kande all olevaid üksuste liike ja tegevusi. Tootmine ei ole üldine kaasamiskategooria ning tarkvara müümine ei muuda ettevõtet automaatselt pilveteenuse osutajaks ega hallatud teenuse osutajaks.

Kirjeldage, mida üksus tegelikult pakub: teenust, selle saajaid, selle toimimist ja seda, kas üksus haldab klientide süsteeme. Äriregistri koodid ja veebisaidi kirjeldused võivad seda analüüsi toetada, kuid ei tohiks seda asendada.

Näiteks on litsentsitud rakenduse müümine ja kliendi infosüsteemide käitamine erinevad tegevused. Konsultatsiooniettevõttena kirjeldatud ettevõte võib siiski pakkuda pidevat haldust, mida tuleb hinnata hallatud teenuste määratluste alusel. Lahendage sellised küsimused enne vastavuse piiride kavandamist.

Arvutage suurus kohaldatavate reeglite järgi

Artikkel 2 kasutab ELi ettevõtete suuruse määratlust. Esialgse sõelumise lihtsustusena on üldine kaasamislävi 50 või enam töötajat või nii käive kui ka bilansimaht üle 10 miljoni euro. Üldjoontes tähendab keskmise suurusega ettevõtte ülempiiride ületamine vähemalt 250 töötajat või käivet üle 50 miljoni euro koos bilansimahuga üle 43 miljoni euro.

Need arvud ei asenda täielikku arvutust. Tulemust võivad mõjutada asjakohased aruandeperioodid, töötajate arvu arvutamise metoodika ning partner- või seotud ettevõtted. Kohalikult väike tütarettevõtja võib läve ületada, kui arvesse võetakse asjakohaseid omandisuhteid.

Säilitage arvutus, aluseks olevad arvud ja põhjendused kontsernisuhete kohta. Vältige ainult märke „keskmise suurusega“ salvestamist ilma selgituseta, kuidas selle järelduseni jõuti. Ainuüksi käive ei ole töötajate arvu täielik finantsalternatiiv.

Kui suurus on piiri lähedal või omandistruktuur keeruline, tellige konkreetne õiguslik hinnang. Selle ebakindluse lahendamise kulu tuleks käsitada osana tegevusnõuete kindlaksmääramisest, mitte lükata edasi seni, kuni asutus või klient järelduse vaidlustab.

Uurige erilisi kaasamis- ja liigitusreegleid

Mõned teenusekategooriad võivad olla hõlmatud olenemata suurusest. Artikkel 2 käsitleb kindlaksmääratud side-, usaldus-, DNS- ja tippdomeeni tegevusi, teatavaid avaliku halduse asutusi ning üksusi, mis on asjakohase ELi raamistiku alusel määratletud kriitilistena. Ka riiklik kindlaksmääramine võib tuua üksused kohaldamisalasse nende ühiskondliku tähtsuse või häire tagajärgede tõttu.

Seejärel määrab artikkel 3, kas hõlmatud üksus on oluline või tähtis. Suured I lisa üksused moodustavad ühe märkimisväärse olulise üksuse kategooria, kuid artikkel sisaldab täiendavaid teenusepõhiseid ja määramisreegleid. Keskmise suurusega I lisa ettevõte ei ole automaatselt oluline üksus; lisad ei ole lihtsalt kaks järelevalvetasandite loetelu.

Mõlema liigituse puhul kehtivad turvariskide juhtimise ja märkimisväärsetest intsidentidest teavitamise põhikohustused. Tähtsa üksuse staatus muudab järelevalvemudelit; see ei kaota vajadust tõhusate meetmete järele.

Otsene õiguslik hõlmatus ja kliendinõuded tuleks salvestada eraldi. Väiksem tarnija võib jääda otsesest kohaldamisalast välja, kuid kanda siiski olulisi lepingulisi turvakohustusi. Samas ei ole kliendi küsimustik, milles öeldakse „NIS2 kehtib“, autoriteetne liigitusotsus.

Põhjendatud kohaldamisala kirje peaks sisaldama:

• Juriidilist isikut ja selle tegelikke teenuseid.
• Asjakohaseid lisa kandeid või erilisi kaasamisaluseid.
• Suuruse arvutust ja asjakohaseid omandisuhteid.
• Olulise või tähtsa üksuse liigitust koos põhjendustega.
• Asukohti ja jurisdiktsiooni analüüsi.
• Kohaldatavaid riiklikke reegleid, ülevaatajat, heakskiitmise kuupäeva ja lahtisi küsimusi.

Ümberhindamise käivitajate hulka peaksid kuuluma omandamised, uued teenused, olulised suurusemuutused ja õigusloome arengud. Väljaarvamise otsus võib tegemise ajal olla põhjendatud ja hiljem vananeda.

Muutke ELi baastase riiklikeks kohustusteks

NIS2 on direktiiv, mida rakendatakse riigisisese õiguse kaudu. Liikmesriikide ELi ülevõtmistähtaeg oli 17. oktoober 2024 ning rakendusmeetmeid pidi kohaldama alates 18. oktoobrist 2024. Need kuupäevad ei ütle üksikule ettevõttele, milline on tema praegune riiklik registreerimistähtaeg või millist menetlust ta peab kasutama.

Looge kohustuste register iga asjakohase üksuse ja riigi kohta. Tehke kindlaks kohaldatavad õigusaktid, asutus, registreerimisprotsess, teavituskanal, sektoripõhised sätted ja vastutav sisemine omanik. Eristage seadusest tulenevat nõuet asutuse juhistest või sisemisest rakendussoovitusest.

Määrake jurisdiktsioon enne teavituskanali valimist

Artikkel 26 seob jurisdiktsiooni üldjuhul asukohaga, kuid teatavate teenuste suhtes kehtivad teistsugused reeglid. Üldkasutatavate elektroonilise side teenuste osutajaid reguleeritakse seal, kus nad asjakohaseid teenuseid osutavad. Kindlaksmääratud digitaalteenuste osutajate puhul kasutatakse peamise tegevuskoha põhimõtet; nende hulka kuuluvad pilve-, andmekeskuse-, sisu edastamise võrgu, hallatud teenuste, hallatud turvateenuste ning teatavad veebiplatvormi- ja domeeniga seotud ettevõtted.

Peamise tegevuskoha hindamisel uurige, kus liidus tehakse valdavalt küberturvalisuse riskijuhtimisega seotud otsuseid. Kui seda kohta ei ole võimalik kindlaks teha või kui neid otsuseid ei tehta liidus, hinnake, kus liidus küberturvalisuse toiminguid tehakse; kui ka seda ei ole võimalik kindlaks teha, kasutage liidus asuvat kõige suurema töötajate arvuga tegevuskohta. Valdusettevõtte registrijärgne aadress ei pruugi seega olla piisav.

Teatavad teenuseosutajad, kes pakuvad teenuseid liidus ilma ELi tegevuskohata, peavad määrama ELi esindaja. Välismaine peakontor ei ole automaatne erand, kuid Euroopa kliendid ei too ka iga ELi-välist ettevõtet automaatselt kohaldamisalasse. Teenuse liik ja muud kohaldatavuse tingimused on endiselt olulised.

Salvestage registreerimis- ja üksuse teabe esitamise kohustused turvaprogrammist eraldi. Säilitage esitamise kinnitused, ajakohased kontaktandmed ja vastutus uuenduste eest. Kui registreerimine on hilinenud, kontrollige asutuse praegust menetlust ja tegutsege viivitamata. Registreerimise lõpetamine ei tõenda turvameetmete rakendamist.

Hoidke KRITIS ja sektoripõhised kohustused lahus

Saksamaa tegevuste puhul kontrollige KRITIS-nõudeid koos kohaldatavate NIS2 rakendusreeglitega. Need kaks režiimi kattuvad osaliselt, kuid ei ole identsed. NIS2 hõlmatus ei määra automaatselt iga rajatist kriitiliseks rajatiseks ning väljakujunenud KRITIS-programm ei täida automaatselt kõiki NIS2 kohustusi.

Pidage eraldi arvestust üksuse liigituse, kriitiliste rajatiste ja lisakohustuste kohta. Tutvuge praeguse riikliku menetlusega BSI NIS2 teabes, selle asemel et tugineda vanadele tähtaegade teadaannetele.

Artikkel 4 käsitleb ka samaväärseid sektoripõhiseid ELi nõudeid. Hõlmatud finantsüksuste puhul võib asjakohaseid valdkondi reguleerida digitaalse tegevuskerksuse määrus (DORA). Tehke kindlaks, millised kohustused kehtivad konkreetse üksuse ja teenuse suhtes, selle asemel et vaikimisi pidada paralleelseid teavitusteid.

Koostage juhtkonnale kuuluv kava

Artikkel 20 paneb heakskiitmise ja rakendamise järelevalve oluliste ja tähtsate üksuste juhtorganitele. Samuti nähakse selles ette vastutus artikli 21 rikkumiste eest; õiguslikud tagajärjed sõltuvad riigisisesest õigusest ja üksuse õiguslikust vormist.

Elluviimise võib delegeerida turvalisuse, IT, tegevuse, hangete ja teistele meeskondadele. Delegeerimine peaks säilitama nähtava juhtkonna järelevalve. Tegevjuhi roll ei ole süsteeme konfigureerida, vaid tagada, et olulised teenuseriskid saaksid teadlikud otsused, ressursid ja järjepideva elluviimise.

Kiitke heaks otsused, mitte ainult dokumendid

Heakskiitmise pakett peaks siduma riskihindamise teostatava kavaga. Lisage hõlmatud teenused, peamised häirestsenaariumid, kavandatud meetmed, alternatiivid, elluviimise sõltuvused, personalivajadused, verstapostid ja oodatavad tõendid.

Salvestage iga kohustuse kohta rakendus, omanik, tõend, puudujääk ja järgmine otsus. Nii saab eristada heakskiidetud kavatsust valmis võimekusest. See toob esile ka meetmed, millel puudub vastutav omanik või mis sõltuvad ressurssidest, mida pole kunagi eraldatud.

Juhtkonna koosoleku protokoll peaks selgitama otsust ja selle alust. Näiteks peaks taasteinvesteeringu heakskiitmisel salvestama, millist teenusekatkestust see käsitleb, milline on oodatav taastetulemus ja millised on tegevuslikud piirangud. Allkiri poliitikal ei selgita, kas juhtkond kaalus selle taga olevat rakendusprobleemi.

Eelarvearutelud peaksid hõlmama sisemist võimekust ja äritegevuse katkestusi, mitte ainult tarkvarakulusid. Võrgumuudatus võib nõuda tootmiskeskkonna seisakut; tarnija ülevaatus võib vajada õiguslikke läbirääkimisi; taastetest võib vajada isoleeritud keskkonda ja käitluspersonali.

Riski aktsepteerimine nõuab erilist tähelepanu. See võib dokumenteerida käsitlusotsuse riskijuhtimisprotsessi raames, kuid ei saa loobuda õiguslikust nõudest. Kui erand võib olla vastuolus kohustusega, hankige õiguslik tõlgendus, määrake ajutine kaitse ja hoidke lahendamata küsimus nähtaval.

Eristage elluviimise edenemist kontrollimeetmete tõhususest

Projekt võib meetme juurutamise lõpetada, ilma et saavutataks kavandatud kaitset. Juhtkonnale esitatav aruandlus peaks vastama nii sellele, kas heakskiidetud töö on lõpetatud, kui ka sellele, kas see toimib kogu asjakohase teenuse piires.

Seadke ülevaatuste sagedus programmiga proportsionaalseks. Stabiilse tegevuse puhul võivad olla praktilised kord kvartalis toimuvad juhtkonna ülevaatused, rakendamise ajal sagedamini. See on soovitus, mitte artiklis 20 ette nähtud üldine sagedus.

Määrake kindlaks eskaleerimine koosolekute vahel. Ebaõnnestunud taastetest, kompromiteeritud privilegeeritud konto või äsja tuvastatud kriitiline sõltuvus ei tohiks oodata järgmise plaanilise ettekandeni.

Muutke juhtkonna koolitus otsuste seisukohalt asjakohaseks

Artikkel 20 nõuab, et juhtorgani liikmed läbiksid koolituse, mis on piisav, et aidata neil riske tuvastada, riskijuhtimise tavasid hinnata ja teenustele avalduvaid tagajärgi mõista. See ei kehtesta üht üldist kursuse pikkust ega kordamise intervalli.

Koolitus peaks hõlmama intsidendi märkimisväärsust, taastamisega seotud kompromisse, tarnijate kontsentratsiooni, tõendite piiranguid ja otsuste tegemist ebakindluse tingimustes. Lisage stsenaarium, mis nõuab juhtidelt teavituse lubamist, tegevuse piiramist või kiire käsitluse rahastamist.

Säilitage kuupäevad, osalejad, sisu ja järeltegevused. Töötajate koolitust käsitletakse ka artiklis 21, kuid töötajate teadlikkuskoolitused ei asenda juhtkonna enda koolitust. Juhtkond peaks suutma kindluse väiteid vaidlustada, ilma et peaks saama tehnilisteks spetsialistideks.

Muutke artikkel 21 teenusetasandi meetmeteks

Artikkel 21 nõuab proportsionaalset tehnilist, tegevuslikku ja korralduslikku kaitset. Selle proportsionaalsuse hindamisel arvestatakse ohule avatust, organisatsiooni suurust, rakendamise kulusid ning intsidentide tõenäosust ja raskust, sealhulgas laiemat ühiskondlikku ja majanduslikku mõju.

Nõutav lähenemisviis hõlmab ohte, mis ulatuvad kaugemale pahatahtlikust kübertegevusest. Sama teenust võivad ohustada elektrikatkestus, üleujutus, füüsiline sissetung, töötajate kättesaamatus ja häiritud telekommunikatsioon.

Järgmised rakendusnäited on praktilised soovitused. Need selgitavad kümmet teemavaldkonda, ilma et nõuaksid igalt üksuselt identset tehnilist lahendust. Teatavate digitaalteenuste suhtes kehtivad ka üksikasjalikumad ELi rakendusnõuded; kontrollige kohaldatavust enne, kui tugineda üksnes üldisele kontroll-loendile.

Riskianalüüs ja infosüsteemide turvapoliitikad

Alustage teenusest: mis peab jätkuma, kes sellest sõltub ja mida häire tähendaks. Kaardistage toetavad süsteemid, rajatised, inimesed ja välised teenuseosutajad enne riskihinnangute määramist.

Kasutage mõjukriteeriume, mis eristavad rahalist kahju ohutusest, teenusesaajatele tekitatud kahjust ja laiemast häirest. Salvestage stsenaariumid, olemasolev kaitse, kavandatud käsitlused, jääkrisk ja ümberhindamise käivitajad. Küberohtude üldine loetelu on vähem kasulik kui selgitus selle kohta, kuidas konkreetne sõltuvus võib teenuse katkestada.

Tulemuseks on otsuseid toetav riskihinnang koos poliitikatega, mis kirjeldavad, kuidas neist otsustest saavad tegevusnõuded.

Intsidentide käsitlemine

Määratlege tuvastamine, esmane hindamine, eskaleerimine, ohjeldamine, uurimine, taastamise koordineerimine ja lõpetamine. Määrake koordinaator ja asendajad ning andke reageerijatele tõenäoliste intsidentide jaoks kasutatavad protseduurid.

Tegevuslik raskusaste ja seadusest tulenev märkimisväärsus on seotud, kuid erinevad. Kiireloomuline tehniline intsident võib nõuda ohjeldamist enne, kui õiguslik teavitamiskohustus on selgitatud. Protsess peab toetama mõlemat tegevust, laskmata ühel teist blokeerida.

Säilitage intsidentide ajajooned, otsused, asjakohased tõendid ja parandusmeetmed. Vaadake üle, kas kokkulepitud täiustused viidi ellu; õppetundide dokument ilma järeltegevuseta annab nõrga kindluse.

Talitluspidevus, varundamine, taastamine ja kriisijuhtimine

Kasutage äritegevuse mõjuanalüüsi oluliste tegevuste ja vastuvõetava häire tuvastamiseks. Leppige teenuseomanikega kokku taasteaja eesmärgid ja taastepunkti eesmärgid. Esimene puudutab taastamiseks kuluvat aega, teine talutavat andmekadu.

Varunduse lõpetamise kirjed on kasulikud, kuid need ei tõenda, et teenust on võimalik taastada. Testige taastamist, toetavaid identiteete, võtmeid, liideseid ja kasutatavaid andmeid. Kontrollige, kas taastatud süsteemid suudavad toetada tegelikku äriprotsessi.

Kriisikorraldus peaks lisaks tehnilisele taastamisele käsitlema tegevuslikke otsuseid ja suhtlust. Salvestage testi tulemused, saavutamata eesmärgid, meetmed ja juhtkonna otsused allesjäänud riski kohta.

Suhted tarnijatega

Tehke kindlaks otsesed tarnijad, kelle rike või kompromiteerimine võib teenust oluliselt mõjutada. Arvestage haldusjuurdepääsu, tundlikku teavet, tarkvarasõltuvusi ja kättesaadavust.

Hinnake tegeliku suhte turvalisuse seisukohalt olulisust, sealhulgas tarnijapõhiseid haavatavusi ning toote- või arendustavasid. Siduge leiud juurdepääsukontrolli, lepingutingimuste, varulahenduste ja ülevaatuse käivitajatega.

Tarnija sertifikaat võib hindamist toetada. See ei hõlma automaatselt teie ostetud teenust, selle konfiguratsiooni ega teie integratsioonikohustusi.

Soetamine, arendamine, hooldus ja haavatavused

Seadke ostudele ja uutele süsteemidele turvalisuse vastuvõtukriteeriumid. Määratlege vastutus turvalise arenduse, konfiguratsiooni, muudatuste, hoolduse, uuenduste ja saabuvate haavatavusteadete eest.

Jälgige olulisi haavatavusi hindamise, käsitluse, erandite käsitlemise ja kontrolli kaudu. Parandamise prioriteedid peaksid kajastama ärakasutamise potentsiaali ja tagajärgi teenusele, mitte ainult numbrilist raskusastet.

Tööstusautomaatika võib enne paikamist nõuda tarnija kinnitust ja plaanilisi seisakuid. Dokumenteerige ajutised kaitsemeetmed ja käsitluse ajakava. „Ei saa paigata“ on piirang, mida tuleb juhtida, mitte terviklik riskiotsus.

Tõhususe hindamine

Määratlege oluliste meetmete puhul küsimus, millele test peab vastama. Juurdepääsu ülevaatus kontrollib volitusi; taastamisõppus kontrollib taastamist; intsidendi simulatsioon kontrollib koordineerimist ja otsuste tegemist.

Salvestage testitud ulatus, oodatav tulemus, meetod, ülevaataja, leiud ja reageering ebaõnnestumisele. Kasutage sõltumatut kindlustandmist seal, kus see lisab väärtust või kus kohaldatavad reeglid seda nõuavad.

Artikkel 21 nõuab tõhususe hindamist, kuid ei kehtesta igale hõlmatud organisatsioonile üht läbistustestimise sagedust. Testimine peaks vastama kindluse vajadusele ja asjakohastele üksikasjalikele nõuetele.

Kübertervishoid ja töötajate koolitus

Andke töötajatele praktilised juhised kahtlasest tegevusest teatamiseks, mandaatide kaitsmiseks, teabe käsitlemiseks ja turvaliseks töötamiseks. Lisage rollipõhine sisu arendajatele, administraatoritele, hankespetsialistidele ja reageerijatele.

Koolitusel osalemine näitab osavõttu, mitte tingimata võimet tegutseda. Õppused ja vaadeldud tegevus võivad paljastada ebaselged juhised või nõrgad eskaleerimisteed.

Kasutage leide protseduuride täiustamiseks. Kui töötajad teatavad kahtlastest sõnumitest õigesti, kuid vastuvõttev meeskond reageerib aeglaselt, ei lahenda sama teadlikkuskursuse kordamine algpõhjust.

Krüptograafia

Määratlege, milline teave ja millised töövood vajavad krüptograafilist kaitset, sealhulgas asjakohased edastatavad ja salvestatud andmed. Tehke kindlaks võtmete ja sertifikaatide omanikud, uuendamine, tühistamine, juurdepääs ja taastamine.

Tõendid peaksid hõlmama konfiguratsiooniotsuseid ja võtmehalduse korraldust, mitte ainult väidet, et krüpteerimine on olemas. Kaitse võib ebaõnnestuda, kui krüpteeritud varukoopiad sõltuvad kättesaamatutest võtmetest või kui juurdepääs võtmetele ei ole asjakohaselt piiratud.

Hoidke põhjendatud erandeid ja vaadake need üle, kui süsteemid või riskid muutuvad. Vältige üldise väite, näiteks „kõik on krüpteeritud“, käsitamist piisava kindlusena.

Inimesed, juurdepääs ja varad

Siduge töölevõtmine, rollimuudatused ja lahkumised juurdepääsuotsustega. Tehke kindlaks ärilised omanikud, administraatorid, välised kontod, teenuseidentiteedid ja asjakohased varad.

Vaadake üle privilegeeritud juurdepääs ja eemaldage õigused, mis ei ole enam põhjendatud. Kaasake hindamisse jagatud ja mitteinimkontod, selle asemel et piirduda töötajate kasutajaloenditega.

Tõendid võivad hõlmata heakskiidetud taotlusi, valimisse võetud lahkumiskirjeid, lõpetatud juurdepääsu ülevaatusi ja lahendatud erandeid. Varade inventuur peaks selgitama omandit ja teenuse sõltuvust, mitte lihtsalt seadmeid loendama.

Autentimine ja turvaline side

Artikkel 21 käsitleb tugevamat autentimist ja kaitstud sidet, sealhulgas hädaolukorra lahendusi, koos asjakohasuse tingimusega.

Praktilise prioriteedina uurige privilegeeritud ja kaugjuurdepääsu kriitilistele teenustele. Tehke kindlaks pärandsüsteemide piirangud ja hinnake kaitsvaid alternatiive, selle asemel et eeldada, et iga süsteem toetab sama mehhanismi.

Testige ka kriisisuhtlust olukorras, kus tavapärane e-post, koostöövahendid või identiteediteenused ei ole kättesaadavad. Hädaolukorra protseduur, mis sõltub täielikult rivist väljas olevast platvormist, võib olla kasutamiskõlbmatu just siis, kui seda vajatakse.

Tehke kriitiliste tarnijate otsused selgesõnaliseks

Tarneahela turvalisusest saab sageli juhtkonna küsimus, sest hanked ei suuda küsimustiku abil kõrvaldada kõiki sõltuvusi. Alustage rikke tagajärjest: kas see tarnija võib katkestada teenuse osutamise, tuua sisse volitamata muudatusi, paljastada teavet või takistada taastamist?

Salvestage kriitiliste otseste tarnijate kohta toetatav teenus, antud juurdepääs, hindamise eest vastutaja, üle vaadatud kindlustandmine, lahtised leiud ja käsitlusotsused. Kontrollige kindlustandmise dokumentide ulatust ja perioodi. Teist teenust või varasemat tegevusmudelit käsitlev aruanne ei pruugi praegusele küsimusele vastata.

Lepinguläbirääkimised peaksid käsitlema suhtega seotud riske. Praktilised teemad on turvavastutus, intsidentidest teavitamine, koostöö uurimisel, haavatavuste käsitlemine, juurdepääsupiirangud, tõendite kättesaadavus, talitluspidevus ja väljumise toetamine. Need on soovitatavad läbirääkimisteemad, mitte iga lepingu jaoks identsed seadusjärgsed klauslid.

Tarnija teavitamiskord peaks toetama teie teavitamise ajakava. Kinnitage tegevuslikud kontaktid ja asendajad; kliendihalduri tavapärase tööajaga postkast võib tõsise intsidendi puhul olla ebapiisav.

Artikkel 21 käsitleb konkreetselt otseseid suhteid. Ülesvoolu sõltuvused võivad siiski olla olulised, kui need tekitavad kontsentratsiooniriski või õõnestavad taastamist. Uurige sügavamalt siis, kui see muudab otsust, selle asemel et püüda koostada piiramatut inventuuri iga tarnija tarnijatest.

Kui kindlus jääb ebapiisavaks, võib juhtkond juurdepääsu piirata, lisada seiret, pidada läbirääkimisi täiustuste üle, võtta kasutusele alternatiive, sõltuvuse ümber kujundada või teenuseosutaja välja vahetada. Salvestage põhjendus ja ajutised meetmed. Teenuse osutamise allhange ei kaota vastutust üksuse enda riskijuhtimisprogrammi eest.

Harjutage märkimisväärsetest intsidentidest teavitamist

Artikkel 23 kehtestab märkimisväärsetest intsidentidest teavitamise. Intsident on märkimisväärne, kui see põhjustab või võib põhjustada teenuste tõsist toimimishäiret või rahalist kahju üksusele või märkimisväärset materiaalset või mittemateriaalset kahju teistele füüsilistele või juriidilistele isikutele. Kinnitage kohaldatavad riiklikud ja sektoripõhised märkimisväärsuse reeglid enne otsustusprotsessi kavandamist.

Tähtaeg on seotud märkimisväärsest intsidendist teadasaamisega, mitte kohtuekspertiisi analüüsi lõpetamisega. Salvestage, millal asjakohane teave kättesaadavaks muutus, märkimisväärsuse hinnang ja kes otsuse tegi. Ärge looge sisemist eskaleerimist viivitades kunstlikult hilisemat teadasaamise aega.

Usaldusteenuse osutajate suhtes kehtib eraldi 24-tunnine teavitamissäte märkimisväärsete intsidentide kohta, mis mõjutavad nende usaldusteenuseid. Nii olulistel kui ka tähtsatel üksustel on etapiviisilised teavitamiskohustused; tähtsa üksuse liigitus ei kaota varajast hoiatust.

Kavandage volitused ja juurdepääs kasutamiseks väljaspool tööaega

Nimetage hindamise juht, volitatud esitaja, asendaja, õiguskontakt ja juhtkonna eskaleerimistee. Leppige kokku, kuidas esialgne teave heaks kiidetakse. Juhtkond vajab nähtavust, muutumata iga esitamise puhul vältimatuks kitsaskohaks.

Valmistage ette mallid, mis eristavad kinnitatud fakte, esialgseid hinnanguid, teadmata asjaolusid ja kavandatud uuendusi. Vältige põhjendamata omistamist või taastamislubadusi. Varajane teavitamine peaks olema ebakindluse osas täpne, mitte kunstlikult terviklik.

Testige juurdepääsu teavituskanalile, mandaate, kontaktandmeid ja varulahendusi. Kui esitaja sõltub kompromiteeritud ettevõtte identiteediteenusest, vajab protsess alternatiivi.

Harjutage õhtust või nädalavahetuse stsenaariumi. Mõõtke aega, mis kulub võimaliku märkimisväärsuse äratundmiseks, vajalike inimeste kokkukutsumiseks, hoiatuse koostamiseks, selle lubamiseks ja kanalini jõudmiseks. Hoidke see tegevus seotuna ohjeldamise ja taastamisega, määrates samal ajal piisavalt inimesi, et teavitamine ei neelaks kogu reageerimismeeskonda.

Artikkel 23 käsitleb ka asjakohasel juhul teenusesaajatega suhtlemist. Lepingud ja muud seadused võivad tekitada täiendavaid teavitamiskohustusi. Isikuandmetega seotud rikkumine nõuab oma GDPR-i hindamist; NIS2 teavitus ei täida seda automaatselt. Koordineerige fakte, säilitades samal ajal eraldi otsused ja tähtajad.

Säilitage tõendeid, mis selgitavad, mis toimib

Poliitikad, sertifikaadid, tarnijalepingud ja registreerimiskinnitused võivad valmisolekut toetada. Tõendid peavad siiski näitama, mis kohaldatavas ulatuses toimib.

Eristage ülesehitust, rakendamist ja toimimist. Juurdepääsupoliitika kirjeldab kavandatud käitumist. Konfiguratsioonitõend näitab juurutamist. Lõpetatud juurdepääsu ülevaatus, mis näitab eemaldatud õigusi ja lahendatud erandeid, tõendab toimimist. Need kirjed vastavad erinevatele küsimustele ja neid ei tohiks käsitleda omavahel asendatavatena.

Säilitage iga tõendi kohta selle allikas, ulatus, kuupäev või periood, omanik, ülevaataja, järeldus ja piirangud. Ühe rakenduse edukas taastetest ei tõenda kogu keskkonna taastamist. Ekraanipilt võib näidata ühte konfiguratsiooni ühel hetkel, mitte püsivat toimimist.

Kaitske tundlikke tõendeid. Intsidendilogid, arhitektuuriskeemid ja juurdepääsuekspordid võivad paljastada tegevuslikku või isikuteavet. Määrake asjakohane juurdepääs, säilitamine ja välise jagamise kord.

Tõendite puudujääkidest peaksid saama tööülesanded. „Hiljutine test puudub“, „tarnija ulatus on ebaselge“ ja „omanik ei ole eksporti üle vaadanud“ on eri probleemid, mis nõuavad erinevaid meetmeid. Dokumentide arv neid ei paljasta.

Kasutage taas olemasolevat ISMS- ja KRITIS-tööd

ISO 27001 ISMS võib anda riskihindamise, käsitluse, poliitika, auditi, juhtkonna ülevaatuse ja tegevuse kirjeid. Võrrelge selle sertifitseeritud piire üksuste ja teenustega, mida hõlmavad riiklikud NIS2 reeglid.

Ettevõtte IT sertifitseerimine võib välja jätta tootmissüsteemid, hallatud teenuse või omandatud ettevõtte. Kasutage taas asjakohaseid kontrollimeetmeid ja tõendeid ning käsitlege seejärel selgesõnaliselt liigitust, registreerimist, õiguslikku teavitamist ja juhtkonna koolitust. Meie NIS2 ja ISO 27001 juhend selgitab, kuidas olemasolev ISMS-i töö saab seda protsessi toetada.

NIS2 ei kehtesta üldist ELi vastavussertifikaati. Sertifitseerimine toetab kindlustandmist oma ulatuse piires; see ei lahenda kõiki õiguslikke kohustusi. Rakendage samu asjakohasuse kontrolle olemasolevatele KRITIS-tõenditele, selle asemel et eeldada, et varasem aktsepteerimine hõlmab praeguseid kohustusi.

Näide: kaughooldus ja tootmise taastamine

Vaatleme illustreerivat Saksa tootjat, kellel on 180 töötajat ja kes toodab seadmeid II lisas loetletud tootmistegevuse raames. Oletame, et üle vaadatud arvutus kinnitab keskmise suurusega ettevõtte staatuse, riiklik analüüs kinnitab tähtsa üksuse liigituse ja eraldi hindamine ei tuvasta KRITIS-e kriitilise rajatise määramist. Need eeldused on omased sellele näitele, mitte reegel iga sellise suurusega tootja jaoks.

Esimene rakendamise fookus on ühe tehase tootmise planeerimine. Sõltuvuste hulka kuuluvad ERP-rakendus, tööstuslikud kontrollerid, identiteediteenused, varukoopiad ja kaugjuurdepääsuga hooldustarnija. Õigusliku kohaldamisala hinnang hõlmab endiselt üksuse asjakohaseid kohustusi väljaspool seda esialgset teenust.

Ülevaatus tuvastab kolm omavahel seotud nõrkust. Tarnija tehnikud jagavad privilegeeritud kontot. Varundustööd lõpetatakse, kuid ükski hiljutine taastetest ei hõlma planeerimisrakenduse identiteedisõltuvust. Intsidendiprotseduur nimetab teavituse omaniku, kuid mitte esitamiseks volitatud asendajat.

Juhtkond palub valikuvõimalusi, selle asemel et kiita heaks kolm eraldiseisvat poliitikauuendust. Tegevusüksus pakub välja nimelise ja ajaliselt piiratud tarnijajuurdepääsu kontrollitud kaugjuurdepääsu kanali kaudu. IT pakub välja teenuse taastamise õppuse äripoolse heakskiiduga eesmärkide alusel. Turvalisus ja õigusosakond pakuvad välja asendaja teavitusvolituse ja väljaspool tööaega toimuva harjutuse.

Ainult planeerimise eesmärgil oletame kuus nädalat ja plaanilist hooldusakent. Juhtkond kiidab heaks töötajate võimekuse, seisakukorralduse ja ajutised tarnijajuurdepääsu piirangud. Otsuse kirje selgitab tagajärgi teenusele, miks käsitlused valiti ja millised tõendid kinnitavad lõpuleviimist.

Juurdepääsutöö tulemusena tekivad konfiguratsioonikirjed, tarnija kinnitus ja ülevaatus, mis kinnitab jagatud konto eemaldamist. Taastamisõppus taastab andmed, kuid ei saavuta kokkulepitud teenuse taasteaega, sest autentimist ei õnnestu kiiresti taastada. See leid jääb lahtiseks: edukad varundustööd ei kaalu üles ebaõnnestunud teenuse tulemust.

Seejärel otsustab juhtkond, kas täiustada identiteedi taastamise lahendust, muuta arhitektuuri või võtta kasutusele teistsugune tegevuslik varulahendus. Iga muudetud taaste-eesmärk vajab ärilist põhjendust ja peab jääma kooskõlla kohaldatavate kohustustega.

Teavitusharjutus tuvastab, et asendaja esitaja ei pääse teavituskanalile iseseisvalt ligi. Meeskond parandab juurdepääsusõltuvuse ja testib seda uuesti. Valmisolek paraneb kontrollitud muudatuste ja üle vaadatud otsuste kaudu, mitte deklaratsiooni kaudu, et muudetud protseduurid on valmis.

Mõistke järelevalvet ja tagajärgi täpselt

Artiklid 32 ja 33 eristavad järelevalve lähenemisviise. Olulised üksused võivad olla ennetava inspekteerimise ja auditivolituste objektiks. Tähtsad üksused on järelkontrolli objektiks, kui teave viitab võimalikule nõuete rikkumisele. Kumbki ei tohiks tõlgendada intsidendi või asutuse päringu puudumist valmisoleku tõendina.

Artiklite 21 või 23 rikkumiste korral nõuab artikkel 34, et riiklikud maksimaalsed karistused ulatuksid vähemalt järgmiste tasemeteni: oluliste üksuste puhul 10 miljonit eurot või 2% asjaomase ettevõtja ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem; tähtsate üksuste puhul 7 miljonit eurot või 1,4%, olenevalt sellest, kumb on suurem. Need on riiklike karistuste ülempiiride alammäärad, mitte standardsed trahvisummad ega üldised fikseeritud ülempiirid.

Asutustel on ka parandusvolitused. Artikkel 32 näeb olulistele üksustele ette tingimuslikud mehhanismid, mis on seotud asjakohase sertifitseerimise või loaga ning kindlaksmääratud juhtimisülesannete ajutiste piirangutega pärast ettenähtud täitemenetluse samme. Need ei ole iga intsidendi automaatsed tagajärjed ja säte välistab avaliku halduse üksused.

Juhtide vastutus ja kindlustuskäsitlus nõuavad jurisdiktsioonipõhist nõuannet. Juhtkond peaks keskenduma tõepärastele kirjetele, õigeaegsele käsitlusele ja teadlikule järelevalvele, selle asemel et käsitada võimalikke karistusi nõutud meetmete rakendamise asendajana.

Seadke paika järgmine juhtkonna otsus

Alustage elluviimist suurima mõjuga teenusest ja selle sõltuvustest, hoides samal ajal õigusliku hinnangu tervikliku iga asjakohase üksuse kohta. Seadke prioriteediks seadusest tulenev kiireloomulisus, tagajärjed teenusele ja ülesanded, mis võimaldavad hilisemat tööd. Fokusseeritud rakenduspiir aitab töövoogu kehtestada; see ei vähenda üksuse õiguslikke kohustusi selle pilootprojektini.

Järgmine juhtkonna ülevaatus peaks kohaldamisala otsuse heaks kiitma või lahendama, kinnitama registreerimis- ja teavitamiskorra, rahastama prioriteetsed käsitlused, määrama vastutavad omanikud ning planeerima taastamis- ja teavitusõppused. Samuti tuleks kindlaks määrata, millal juhtkond tegevustõendid üle vaatab ja millised leiud nõuavad varasemat eskaleerimist.

Secanis saavad meeskonnad modelleerida valitud teenuse, toetavad süsteemid ja väliste teenuseosutajate sõltuvused ning seejärel siduda nõuded, kontrollimeetmed, omanikud ja üle vaadatud tõendid. Puuduvatest tõenditest ja lahendamata järeldustest saavad ülesanded. Inimestest ülevaatajad peaksid vastendused ja tõendite järeldused heaks kiitma, säilitades allikaviited, kommentaarid, heakskiidud ja ajatemplid, et arutluskäik jääks kontrollitavaks.

Tooge sellele koosolekule üks teenusekaart, üks kohustuste register ja kõige suurema mõjuga puudujäägid. Lahkuge sealt rahastatud meetmete, kasutuskõlbliku teavitusvolituse ja tulemuste läbivaatamise kuupäevaga, mitte pelgalt lubadusega koostada rohkem dokumentatsiooni.