Spremnost za NIS2: opseg, dužnosti uprave i dokazi

Spremnost za NIS2 počinje dokumentiranom odlukom o primjenjivosti. Sektor, usluga, veličina, poslovni nastan i posebna pravila o uključivanju mogu biti presudni. Upitnik kupca koristan je kontekst, ali ne određuje vaš pravni status. Ni sigurnosni certifikat ne dokazuje da su obuhvaćeni svi relevantni subjekti, usluge i obveze izvješćivanja.

Za izvršnog direktora spremnost znači moći objasniti što je uprava odobrila, zašto su mjere primjerene, tko će ih provesti i kako će se ocjenjivati njihova učinkovitost. To također znači osigurati da organizacija može prijaviti značajan incident dok su informacije nepotpune, a uobičajeno poslovanje poremećeno.

Praktični je zadatak povezati pravni opseg, rizike usluga, prioritete isporuke i pregledane dokaze. Ta veza daje upravi osnovu za odluke o ulaganjima, operativnim poremećajima, dobavljačima i neriješenoj izloženosti.

Utvrdite koji su subjekti i usluge obuhvaćeni

Direktiva NIS2 uspostavlja osnovnu razinu kibernetičke sigurnosti u EU-u za određene djelatnosti. Članci 2. i 3. zajedno s prilozima određuju njezin opseg i strukturu razvrstavanja. Nacionalno provedbeno zakonodavstvo propisuje primjenjive lokalne obveze i postupke.

Procijenite svaki relevantni pravni subjekt umjesto da naziv grupe tretirate kao regulatornu granicu. Djelatnosti društva kćeri, vlasnički odnosi i mjesta poslovnog nastana mogu promijeniti odgovor. Uprava bi trebala zahtijevati evidentirani zaključak, činjenice na kojima se temelji i odgovornu osobu za otvorena pitanja.

Povežite djelatnosti s navedenim vrstama subjekata

Prilog I. obuhvaća sektore kao što su energetika, promet, zdravstvo, voda, financijske usluge, digitalna infrastruktura, upravljanje uslugama IKT-a, javna uprava i svemir. Prilog II. proširuje obuhvat na područja uključujući poštanske usluge, gospodarenje otpadom, kemikalije, hranu, određene proizvodne djelatnosti, pružatelje digitalnih usluga i istraživanje.

Naslov sektora samo je polazna točka. Pročitajte vrste subjekata i djelatnosti unutar relevantnog unosa. Proizvodnja nije opća kategorija uključivanja, a prodaja softvera ne čini poduzeće automatski pružateljem usluga računalstva u oblaku ili pružateljem upravljanih usluga.

Opišite što subjekt stvarno isporučuje: uslugu, njezine primatelje, način rada i administrira li sustave kupaca. Šifre djelatnosti iz registra i opisi na web-stranici mogu poduprijeti tu analizu, ali je ne bi trebali zamijeniti.

Na primjer, prodaja licencirane aplikacije i upravljanje informacijskim sustavima kupca različite su djelatnosti. Poduzeće koje se predstavlja kao savjetodavno ipak može pružati kontinuiranu administraciju koju treba procijeniti u odnosu na definicije upravljanih usluga. Riješite takva pitanja prije nego što oblikujete granicu usklađenosti.

Izračunajte veličinu prema primjenjivim pravilima

Članak 2. koristi definiciju veličine poduzeća u EU-u. Kao početno pravilo za probir, opći prag uključivanja iznosi 50 ili više zaposlenika ili istodobno godišnji promet i ukupnu bilancu iznad 10 milijuna EUR. Općenito, prekoračenje gornjih granica za srednja poduzeća podrazumijeva najmanje 250 zaposlenika ili promet veći od 50 milijuna EUR uz ukupnu bilancu veću od 43 milijuna EUR.

Ti brojevi ne zamjenjuju potpuni izračun. Relevantna obračunska razdoblja, metodologija brojanja zaposlenika te partnerska ili povezana poduzeća mogu utjecati na rezultat. Društvo kći koje je lokalno malo može prijeći prag kada se uzmu u obzir odgovarajući vlasnički odnosi.

Čuvajte izračun, temeljne podatke i obrazloženje o odnosima unutar grupe. Izbjegavajte evidentirati samo „srednje poduzeće“ bez objašnjenja kako se došlo do tog zaključka. Sam promet nije potpuna financijska alternativa broju zaposlenika.

Ako je veličina blizu granice ili je vlasnička struktura složena, naručite posebnu pravnu procjenu. Trošak otklanjanja te nesigurnosti treba smatrati dijelom utvrđivanja operativnih zahtjeva, a ne ga odgađati dok tijelo ili kupac ne ospori zaključak.

Ispitajte posebna pravila o uključivanju i razvrstavanju

Neke kategorije usluga mogu biti uključene bez obzira na veličinu. Članak 2. obuhvaća određene komunikacijske djelatnosti, usluge povjerenja, DNS i djelatnosti povezane s nazivima vršnih domena, određena tijela javne uprave te subjekte utvrđene kao kritične u skladu s relevantnim okvirom EU-a. Nacionalno utvrđivanje također može uključiti subjekte u opseg zbog njihove važnosti za društvo ili posljedica poremećaja.

Članak 3. potom određuje je li obuhvaćeni subjekt ključni ili važni. Veliki subjekti iz Priloga I. čine jednu značajnu kategoriju ključnih subjekata, no članak sadržava dodatna pravila za pojedine usluge i pravila o određivanju. Srednje poduzeće iz Priloga I. nije automatski ključni subjekt; prilozi nisu jednostavno dva popisa razina nadzora.

Obje kategorije nose temeljne dužnosti upravljanja kibernetičkim sigurnosnim rizicima i izvješćivanja o značajnim incidentima. Status važnog subjekta mijenja model nadzora; ne uklanja potrebu za učinkovitim mjerama.

Izravnu pravnu obuhvaćenost i zahtjeve kupaca treba evidentirati odvojeno. Manji dobavljač može biti izvan izravnog opsega, a ipak imati znatne ugovorne sigurnosne obveze. Obrnuto, upitnik kupca u kojem piše „NIS2 se primjenjuje“ nije mjerodavna odluka o razvrstavanju.

Obranjiva evidencija opsega trebala bi sadržavati:

• Pravni subjekt i njegove stvarne usluge.
• Relevantne unose iz priloga ili posebne osnove za uključivanje.
• Izračun veličine i relevantne vlasničke odnose.
• Razvrstavanje kao ključni ili važni subjekt, s obrazloženjem.
• Mjesta poslovnog nastana i analizu nadležnosti.
• Primjenjiva nacionalna pravila, osobu koja je provela pregled, datum odobrenja i otvorena pitanja.

Okidači za ponovnu procjenu trebali bi uključivati preuzimanja, nove usluge, značajne promjene veličine i zakonodavne promjene. Odluka o isključenju može biti utemeljena u trenutku donošenja, a kasnije zastarjeti.

Prevedite osnovnu razinu EU-a u nacionalne obveze

NIS2 je direktiva koja se provodi nacionalnim zakonodavstvom. Države članice imale su rok za prenošenje do 17. listopada 2024., a provedbene mjere trebale su se primjenjivati od 18. listopada 2024. Ti datumi pojedinom poduzeću ne govore koji je njegov trenutačni nacionalni rok za registraciju ni koji postupak mora primijeniti.

Izradite registar obveza za svaki relevantni subjekt i svaku zemlju. Utvrdite primjenjivo zakonodavstvo, nadležno tijelo, postupak registracije, kanal izvješćivanja, sektorske odredbe i odgovornu internu osobu. Razlikujte zakonski zahtjev od smjernica nadležnog tijela ili interne preporuke za provedbu.

Utvrdite nadležnost prije odabira kanala izvješćivanja

Članak 26. nadležnost općenito povezuje s poslovnim nastanom, no za određene usluge vrijede drukčija pravila. Pružatelji javnih elektroničkih komunikacija podliježu nadzoru ondje gdje pružaju relevantne usluge. Određeni pružatelji digitalnih usluga primjenjuju pristup glavnog poslovnog nastana, uključujući pružatelje usluga računalstva u oblaku, podatkovnih centara, mreža za isporuku sadržaja, upravljanih usluga, upravljanih sigurnosnih usluga te određene internetske platforme i djelatnosti povezane s domenama.

Za tu procjenu glavnog poslovnog nastana ispitajte gdje se u Uniji pretežno donose odluke o upravljanju kibernetičkim sigurnosnim rizicima. Ako se to mjesto ne može utvrditi ili se te odluke ne donose u Uniji, procijenite gdje se u Uniji provode kibernetičke sigurnosne operacije; ako se ni to ne može utvrditi, uzmite poslovni nastan u Uniji s najvećim brojem zaposlenika. Registrirana adresa holding društva stoga može biti nedostatna.

Određeni pružatelji koji nude usluge u Uniji bez poslovnog nastana u EU-u moraju imenovati predstavnika u EU-u. Sjedište izvan EU-a nije automatsko izuzeće, ali ni europski kupci ne dovode automatski svako poduzeće izvan EU-a u opseg. Vrsta usluge i drugi uvjeti primjenjivosti i dalje su važni.

Evidentirajte obveze registracije i dostave podataka o subjektu odvojeno od sigurnosnog programa. Čuvajte potvrde o predaji, ažurne kontaktne podatke i odgovornost za ažuriranja. Ako registracija kasni, provjerite trenutačni postupak nadležnog tijela i postupite bez odgode. Dovršena registracija ne dokazuje provedbu sigurnosnih mjera.

Držite KRITIS i sektorske obveze odvojenima

Za poslovanje u Njemačkoj provjerite zahtjeve KRITIS-a uz primjenjiva provedbena pravila za NIS2. Ta se dva režima preklapaju, ali nisu istovjetna. Obuhvaćenost Direktivom NIS2 ne čini automatski svako postrojenje kritičnim postrojenjem, a uspostavljen KRITIS program ne ispunjava automatski svaku obvezu iz NIS2.

Vodite odvojene evidencije za razvrstavanje subjekta, kritična postrojenja i dodatne dužnosti. Za trenutačni nacionalni postupak konzultirajte BSI-jeve informacije o NIS2 umjesto da se oslanjate na stare obavijesti o rokovima.

Članak 4. također se odnosi na jednakovrijedne sektorske zahtjeve EU-a. Za obuhvaćene financijske subjekte DORA, Uredba o digitalnoj operativnoj otpornosti, može uređivati relevantna područja. Utvrdite koje se dužnosti primjenjuju na određeni subjekt i uslugu umjesto da prema zadanim postavkama održavate dvostruke kanale izvješćivanja.

Izradite plan za koji je odgovorna uprava

Članak 20. odobravanje i nadzor nad provedbom stavlja u nadležnost upravljačkih tijela ključnih i važnih subjekata. Predviđa i odgovornost za povrede članka 21.; pravne posljedice ovise o nacionalnom pravu i pravnom obliku subjekta.

Provedba se može delegirati timovima za sigurnost, IT, operacije, nabavu i drugima. Delegiranje treba zadržati vidljiv nadzor uprave. Uloga izvršnog direktora nije konfigurirati sustave, nego osigurati da se o značajnim rizicima usluga donose informirane odluke, da se za njih osiguraju resursi i da se provedba prati do kraja.

Odobravajte odluke, a ne samo dokumente

Paket za odobrenje trebao bi povezati procjenu rizika s provedivim planom. Uključite obuhvaćene usluge, glavne scenarije poremećaja, predložene mjere, alternative, ovisnosti isporuke, potrebe za osobljem, ključne točke i očekivane dokaze.

Za svaku obvezu evidentirajte provedbu, odgovornu osobu, dokaze, nedostatak i sljedeću odluku. Tako se može razlikovati odobrena namjera od dovršene sposobnosti. To također otkriva mjere koje nemaju odgovornu osobu ili ovise o resursima koji nikada nisu dodijeljeni.

Zapisnici uprave trebali bi objasniti odluku i njezinu osnovu. Na primjer, odobrenje ulaganja u oporavak trebalo bi evidentirati koji prekid usluge rješava, očekivani ishod oporavka i operativna ograničenja. Potpis na politici ne objašnjava je li uprava razmotrila problem provedbe koji stoji iza nje.

Rasprave o proračunu trebale bi obuhvatiti interne kapacitete i prekid poslovanja, a ne samo troškove softvera. Promjena mreže može zahtijevati zastoj proizvodnje; pregled dobavljača može zahtijevati pravne pregovore; test vraćanja može zahtijevati izolirano okruženje i operativno osoblje.

Prihvaćanje rizika zahtijeva posebnu pažnju. Njime se može dokumentirati odluka o postupanju s rizikom unutar procesa upravljanja rizicima, ali se ne može ukinuti zakonski zahtjev. Ako bi iznimka mogla biti u sukobu s obvezom, pribavite pravno tumačenje, utvrdite privremenu zaštitu i zadržite neriješeno pitanje vidljivim.

Odvojite napredak isporuke od učinkovitosti kontrola

Projekt može dovršiti uvođenje mjere, a da pritom ne postigne željenu zaštitu. Izvješća za upravu trebala bi odgovoriti i na pitanje je li odobreni posao dovršen i na pitanje djeluje li on unutar cijele relevantne granice usluge.

Odredite ritam pregleda razmjeran programu. Tromjesečni pregledi uprave mogu biti praktični za stabilno poslovanje, a tijekom provedbe pregledi mogu biti češći. Ovo je preporuka, a ne opća učestalost propisana člankom 20.

Definirajte eskalaciju između sastanaka. Neuspjeli test oporavka, kompromitirani povlašteni račun ili novoutvrđena kritična ovisnost ne bi trebali čekati sljedeću zakazanu prezentaciju.

Učinite osposobljavanje uprave relevantnim za odluke

Članak 20. zahtijeva da članovi upravljačkih tijela pohađaju osposobljavanje dostatno da im pomogne prepoznati rizike, ocijeniti prakse upravljanja rizicima i razumjeti posljedice za usluge. Ne propisuje jedno opće trajanje tečaja ni interval obnavljanja.

Osposobljavanje bi trebalo obuhvatiti značajnost incidenata, kompromise pri oporavku, koncentraciju dobavljača, ograničenja dokaza i odlučivanje u uvjetima nesigurnosti. Uključite scenarij u kojem članovi uprave moraju odobriti izvješće, ograničiti poslovanje ili financirati hitno postupanje.

Čuvajte datume, sudionike, sadržaj i daljnje radnje. Osposobljavanje zaposlenika obuhvaćeno je i člankom 21., ali programi podizanja svijesti za zaposlenike ne zamjenjuju vlastito osposobljavanje uprave. Uprava bi trebala moći preispitati tvrdnje o jamstvu, a da pritom ne mora postati tehnički stručnjak.

Pretvorite članak 21. u mjere na razini usluge

Članak 21. zahtijeva razmjernu tehničku, operativnu i organizacijsku zaštitu. Njegova procjena razmjernosti uzima u obzir izloženost, veličinu organizacije, troškove provedbe te vjerojatnost i ozbiljnost incidenata, uključujući šire društvene i gospodarske učinke.

Zahtijevani pristup obuhvaća opasnosti i izvan zlonamjernih kibernetičkih aktivnosti. Nestanak struje, poplava, fizički upad, nedostupnost osoblja i prekid telekomunikacija mogu ugroziti istu uslugu.

Sljedeći primjeri provedbe praktične su preporuke. Objašnjavaju deset tematskih područja, a da pritom ne propisuju jednako tehničko rješenje za svaki subjekt. Za određene digitalne usluge vrijede i detaljniji provedbeni zahtjevi EU-a; provjerite primjenjivost prije nego što se oslonite samo na općeniti kontrolni popis.

Analiza rizika i politike sigurnosti sustava

Počnite od usluge: što se mora nastaviti, tko o tome ovisi i što bi poremećaj značio. Mapirajte potporne sustave, objekte, ljude i vanjske pružatelje prije dodjele ocjena rizika.

Koristite kriterije učinka koji razlikuju financijski gubitak od sigurnosti ljudi, štete za primatelje usluga i šireg poremećaja. Evidentirajte scenarije, postojeću zaštitu, predloženo postupanje, preostalu izloženost i okidače za ponovnu procjenu. Generički popis kibernetičkih prijetnji manje je koristan od objašnjenja kako određena ovisnost može prekinuti uslugu.

Rezultat je procjena rizika koja podupire odluke, uz politike koje opisuju kako te odluke postaju operativni zahtjevi.

Postupanje s incidentima

Definirajte otkrivanje, trijažu, eskalaciju, ograničavanje, istragu, koordinaciju oporavka i zatvaranje. Imenujte koordinatora i zamjenike te osobama koje reagiraju dajte upotrebljive postupke za vjerojatne incidente.

Operativna ozbiljnost i zakonska značajnost povezane su, ali različite. Hitan tehnički incident može zahtijevati ograničavanje prije nego što se razriješi pitanje pravne obveze izvješćivanja. Proces mora podupirati obje aktivnosti, a da jedna ne blokira drugu.

Čuvajte vremenske tijekove incidenata, odluke, relevantne dokaze i korektivne radnje. Provjerite jesu li dogovorena poboljšanja provedena; dokument o naučenim lekcijama bez daljnjeg postupanja pruža slabo jamstvo.

Kontinuitet, sigurnosne kopije, oporavak i krizno upravljanje

Analizom utjecaja na poslovanje utvrdite ključne aktivnosti i prihvatljiv poremećaj. Dogovorite ciljano vrijeme oporavka (RTO) i ciljanu točku oporavka (RPO) s vlasnicima usluga. Prvo se odnosi na vrijeme ponovne uspostave; drugo na prihvatljiv gubitak podataka.

Zapisi o dovršenim sigurnosnim kopijama korisni su, ali ne dokazuju da se usluga može oporaviti. Testirajte vraćanje, potporne identitete, ključeve, sučelja i upotrebljivost podataka. Provjerite mogu li oporavljeni sustavi podržati stvarni poslovni tijek rada.

Krizni aranžmani trebali bi obuhvatiti operativne odluke i komunikaciju, a ne samo tehnički oporavak. Evidentirajte ishode testova, nedostignute ciljeve, radnje i odluke uprave o preostaloj izloženosti.

Odnosi s dobavljačima

Utvrdite izravne dobavljače čiji bi kvar ili kompromitacija mogli bitno utjecati na uslugu. Uzmite u obzir administrativni pristup, osjetljive informacije, softverske ovisnosti i dostupnost.

Procijenite sigurnosnu relevantnost stvarnog odnosa, uključujući ranjivosti specifične za dobavljača te njegove prakse vezane uz proizvode ili razvoj. Povežite nalaze s kontrolama pristupa, ugovornim aranžmanima, planovima za nepredviđene situacije i okidačima za pregled.

Certifikat dobavljača može poduprijeti procjenu. Ne obuhvaća automatski uslugu koju ste kupili, njezinu konfiguraciju ni vaše odgovornosti za integraciju.

Nabava, razvoj, održavanje i ranjivosti

Postavite sigurnosne kriterije prihvaćanja za nabavu i nove sustave. Definirajte odgovornosti za siguran razvoj, konfiguraciju, promjene, održavanje, ažuriranja i zaprimljene prijave ranjivosti.

Pratite značajne ranjivosti kroz procjenu, postupanje, upravljanje iznimkama i provjeru. Prioriteti otklanjanja trebali bi odražavati mogućnost iskorištavanja i posljedice za uslugu, a ne samo brojčanu ocjenu ozbiljnosti.

Operativna tehnologija može zahtijevati validaciju proizvođača i planirane zastoje prije primjene zakrpa. Dokumentirajte privremene zaštitne mjere i raspored postupanja. „Ne može se zakrpati“ ograničenje je kojim treba upravljati, a ne potpuna odluka o riziku.

Ocjena učinkovitosti

Za važne mjere definirajte pitanje na koje test mora odgovoriti. Pregled pristupa provjerava ovlaštenja; vježba vraćanja provjerava oporavak; simulacija incidenta provjerava koordinaciju i odlučivanje.

Evidentirajte testirani opseg, očekivani rezultat, metodu, osobu koja je provela pregled, nalaze i odgovor na neuspjeh. Koristite neovisno jamstvo ondje gdje donosi dodanu vrijednost ili gdje to zahtijevaju primjenjiva pravila.

Članak 21. zahtijeva ocjenu učinkovitosti, ali ne nameće svakoj obuhvaćenoj organizaciji jednu učestalost penetracijskog testiranja. Testiranje bi trebalo odgovarati potrebi za jamstvom i svim relevantnim detaljnim zahtjevima.

Kibernetička higijena i osposobljavanje osoblja

Dajte zaposlenicima praktične upute za prijavu sumnjivih aktivnosti, zaštitu vjerodajnica, postupanje s informacijama i siguran rad. Dodajte sadržaj specifičan za uloge razvojnih inženjera, administratora, osoblja nabave i osoba koje reagiraju na incidente.

Prisutnost na osposobljavanju pokazuje sudjelovanje, ali ne nužno i sposobnost djelovanja. Vježbe i opaženo ponašanje mogu otkriti nejasne upute ili slabe putove eskalacije.

Koristite nalaze za poboljšanje postupaka. Ako zaposlenici ispravno prijavljuju sumnjive poruke, ali tim koji ih prima reagira sporo, ponavljanje istog tečaja podizanja svijesti neće riješiti temeljni problem.

Kriptografija

Definirajte koje informacije i tijekovi rada trebaju kriptografsku zaštitu, uključujući relevantne podatke u prijenosu i u mirovanju. Utvrdite vlasništvo nad ključevima i certifikatima, obnavljanje, opoziv, pristup i oporavak.

Dokazi bi trebali uključivati konfiguracijske odluke i aranžmane za upravljanje ključevima, a ne samo tvrdnju da enkripcija postoji. Zaštita može zakazati ako šifrirane sigurnosne kopije ovise o nedostupnim ključevima ili ako pristup ključevima nije primjereno ograničen.

Vodite opravdane iznimke i preispitajte ih kada se sustavi ili rizici promijene. Izbjegavajte smatrati općenitu tvrdnju poput „sve je šifrirano“ dostatnim jamstvom.

Ljudi, pristup i imovina

Povežite zapošljavanje, promjene uloga i odlaske s odlukama o pristupu. Utvrdite poslovne vlasnike, administratore, vanjske račune, servisne identitete i relevantnu imovinu.

Preispitujte povlašteni pristup i uklonite ovlasti koje više nisu opravdane. Uključite zajedničke ili neljudske račune u procjenu umjesto da je ograničite na popise korisnika među zaposlenicima.

Dokazi mogu uključivati odobrene zahtjeve, uzorkovane zapise o odlasku zaposlenika, dovršene preglede pristupa i riješene iznimke. Popis imovine trebao bi objašnjavati vlasništvo i ovisnost usluga, a ne samo prebrojavati uređaje.

Autentifikacija i sigurna komunikacija

Članak 21. obuhvaća jaču autentifikaciju i zaštićenu komunikaciju, uključujući aranžmane za izvanredne situacije, uz kvalifikator primjerenosti.

Kao praktični prioritet, ispitajte povlašteni i udaljeni pristup kritičnim uslugama. Utvrdite ograničenja naslijeđenih sustava i procijenite zaštitne alternative umjesto da pretpostavite da svaki sustav podržava isti mehanizam.

Testirajte i kriznu komunikaciju kada uobičajena e-pošta, alati za suradnju ili usluge identiteta nisu dostupni. Postupak za izvanredne situacije koji u potpunosti ovisi o platformi koja je zakazala može biti neupotrebljiv upravo kada je potreban.

Učinite odluke o kritičnim dobavljačima eksplicitnima

Sigurnost lanca opskrbe često postaje pitanje za upravu jer nabava ne može upitnikom ukloniti svaku ovisnost. Počnite od posljedice kvara: može li taj dobavljač prekinuti isporuku, unijeti neovlaštene promjene, izložiti informacije ili spriječiti oporavak?

Za kritične izravne dobavljače evidentirajte podržanu uslugu, odobreni pristup, osobu odgovornu za procjenu, pregledano jamstvo, otvorene nalaze i odluke o postupanju. Provjerite opseg i razdoblje dokumenata o jamstvu. Izvješće koje se odnosi na drugu uslugu ili raniji operativni model možda ne odgovara na trenutačno pitanje.

Pregovori o ugovoru trebali bi obuhvatiti rizike odnosa. Praktične teme uključuju sigurnosne odgovornosti, komunikaciju o incidentima, suradnju u istrazi, postupanje s ranjivostima, ograničenja pristupa, dostupnost dokaza, kontinuitet i potporu pri izlasku iz odnosa. To su preporučene teme pregovora, a ne istovjetne zakonske odredbe za svaki ugovor.

Aranžmani za obavješćivanje od strane dobavljača trebali bi podupirati vaš raspored izvješćivanja. Potvrdite operativne kontakte i zamjene; uobičajeni sandučić voditelja računa dostupan u radno vrijeme može biti neprimjeren za ozbiljan incident.

Članak 21. posebno se odnosi na izravne odnose. Ovisnosti dalje u lancu i dalje mogu biti važne ako stvaraju rizik koncentracije ili ugrožavaju oporavak. Istražujte dublje kada to mijenja odluku, umjesto da pokušavate izraditi neograničen popis svih dobavljača vaših dobavljača.

Ako jamstvo i dalje nije dostatno, uprava može ograničiti pristup, uvesti dodatni nadzor, pregovarati o poboljšanjima, uvesti alternative, preoblikovati ovisnost ili zamijeniti pružatelja. Evidentirajte obrazloženje i privremene mjere. Eksternalizacija isporuke usluge ne uklanja odgovornost za vlastiti program upravljanja rizicima subjekta.

Uvježbajte izvješćivanje o značajnim incidentima

Članak 23. uspostavlja izvješćivanje o značajnim incidentima. Incident je značajan ako uzrokuje ili može uzrokovati ozbiljan operativni poremećaj usluga ili financijski gubitak za subjekt ili znatnu materijalnu ili nematerijalnu štetu drugim fizičkim ili pravnim osobama. Prije oblikovanja procesa odlučivanja provjerite primjenjiva nacionalna i sektorska pravila o značajnosti.

Rok se računa od saznanja za značajan incident, a ne od dovršetka forenzičke analize. Evidentirajte kada su relevantne informacije postale dostupne, procjenu značajnosti i tko je donio odluku. Ne stvarajte umjetno kasniji trenutak saznanja odgađanjem interne eskalacije.

Za pružatelje usluga povjerenja vrijedi posebna odredba o obavješćivanju u roku od 24 sata za značajne incidente koji utječu na njihove usluge povjerenja. I ključni i važni subjekti imaju obveze postupnog izvješćivanja; status važnog subjekta ne ukida rano upozorenje.

Osmislite ovlasti i pristup za rad izvan radnog vremena

Imenujte voditelja procjene, ovlaštenu osobu za podnošenje, zamjenika, pravni kontakt i put eskalacije prema upravi. Dogovorite kako će se odobravati privremene informacije. Uprava treba imati uvid, a da pritom ne postane neizbježno usko grlo za svaku prijavu.

Pripremite predloške koji odvajaju potvrđene činjenice, preliminarne procjene, nepoznanice i planirana ažuriranja. Izbjegavajte nepotkrijepljeno pripisivanje napada ili obećanja o oporavku. Rano izvješćivanje trebalo bi biti točno u pogledu nesigurnosti, a ne umjetno potpuno.

Testirajte pristup kanalu izvješćivanja, vjerodajnice, kontaktne podatke i rezervne aranžmane. Ako osoba koja podnosi prijavu ovisi o kompromitiranoj korporativnoj usluzi identiteta, proces treba alternativu.

Uvježbajte scenarij u večernjim satima ili tijekom vikenda. Izmjerite vrijeme potrebno da se prepozna moguća značajnost, okupe potrebne osobe, pripremi upozorenje, odobri ga i dođe do kanala. Držite tu aktivnost povezanom s ograničavanjem i oporavkom, a pritom dodijelite dovoljno ljudi kako izvješćivanje ne bi zaokupilo cijeli tim za odgovor.

Članak 23. obuhvaća i komunikaciju prema primateljima usluga kada je to primjereno. Ugovori i drugi propisi mogu stvoriti dodatne obveze obavješćivanja. Povreda osobnih podataka zahtijeva vlastitu procjenu prema GDPR-u (Opća uredba o zaštiti podataka); prijava prema NIS2 ne ispunjava je automatski. Uskladite činjenice, ali zadržite odvojene odluke i rokove.

Održavajte dokaze koji objašnjavaju što stvarno funkcionira

Politike, certifikati, ugovori s dobavljačima i potvrde o registraciji mogu poduprijeti spremnost. Dokazi ipak moraju pokazati što funkcionira unutar primjenjivog opsega.

Razlikujte oblikovanje, provedbu i rad. Politika pristupa opisuje namjeravano ponašanje. Dokazi o konfiguraciji pokazuju uvođenje. Dovršeni pregled pristupa koji pokazuje uklonjene ovlasti i riješene iznimke dokazuje rad. Te evidencije odgovaraju na različita pitanja i ne treba ih smatrati međusobno zamjenjivima.

Za svaku stavku dokaza čuvajte njezin izvor, opseg, datum ili razdoblje, odgovornu osobu, osobu koja je provela pregled, zaključak i ograničenja. Uspješan test vraćanja za jednu aplikaciju ne dokazuje oporavak cijelog okruženja. Snimka zaslona može prikazati jednu konfiguraciju u jednom trenutku, a ne kontinuirani rad.

Zaštitite osjetljive dokaze. Zapisi o incidentima, dijagrami arhitekture i izvozi podataka o pristupu mogu otkriti operativne ili osobne podatke. Odredite primjerena pravila pristupa, čuvanja i vanjskog dijeljenja.

Nedostaci u dokazima trebali bi postati radne stavke. „Nema nedavnog testa“, „nejasan opseg dobavljača“ i „odgovorna osoba nije pregledala izvoz“ različiti su problemi koji zahtijevaju različite radnje. Broj dokumenata ih ne otkriva.

Ponovno iskoristite uspostavljeni rad na ISMS-u i KRITIS-u

ISMS prema ISO 27001 može pružiti procjenu rizika, postupanje s rizicima, politike, audite, upravine preglede i operativne evidencije. Usporedite njegovu certificiranu granicu sa subjektima i uslugama obuhvaćenima nacionalnim pravilima za NIS2.

Certifikacija korporativnog IT-a može isključivati proizvodne sustave, upravljanu uslugu ili preuzeto poduzeće. Ponovno iskoristite relevantne kontrole i dokaze, a zatim izričito riješite razvrstavanje, registraciju, zakonsko izvješćivanje i osposobljavanje uprave. Naš vodič za NIS2 i ISO 27001 objašnjava kako postojeći rad na ISMS-u može poduprijeti taj proces.

NIS2 ne uspostavlja opći certifikat o usklađenosti na razini EU-a. Certifikacija podupire jamstvo unutar vlastitog opsega; ne rješava svaku zakonsku dužnost. Primijenite iste provjere relevantnosti na postojeće dokaze za KRITIS umjesto da pretpostavite da ranije prihvaćanje pokriva trenutačne obveze.

Primjer iz prakse: udaljeno održavanje i oporavak proizvodnje

Uzmimo ilustrativan primjer njemačkog proizvođača sa 180 zaposlenika koji proizvodi opremu u okviru navedene proizvodne djelatnosti iz Priloga II. Pretpostavimo da pregledani izračun utvrđuje status srednjeg poduzeća, da nacionalna analiza potvrđuje razvrstavanje kao važnog subjekta te da zasebna procjena ne utvrđuje određivanje kritičnog postrojenja u smislu KRITIS-a. Te su pretpostavke specifične za primjer, a ne pravilo za svakog proizvođača te veličine.

Prvi fokus provedbe je planiranje proizvodnje u jednom pogonu. Ovisnosti uključuju ERP aplikaciju, industrijske upravljačke uređaje, usluge identiteta, sigurnosne kopije i dobavljača za održavanje s udaljenim pristupom. Pravna procjena opsega i dalje obuhvaća relevantne obveze subjekta i izvan te početne usluge.

Pregled otkriva tri povezane slabosti. Tehničari dobavljača dijele povlašteni račun. Sigurnosne kopije se dovršavaju, ali nijedan nedavni test vraćanja ne uključuje ovisnost aplikacije za planiranje o identitetu. Postupak za incidente imenuje odgovornu osobu za izvješće bez zamjenika ovlaštenog za podnošenje.

Uprava traži opcije umjesto da odobri tri izolirana ažuriranja politika. Operacije predlažu imenovani, vremenski ograničen pristup dobavljača putem kontroliranog kanala za udaljeni pristup. IT predlaže vježbu vraćanja usluge prema ciljevima koje je odobrilo poslovanje. Sigurnost i pravna služba predlažu zamjensku ovlast za izvješćivanje i vježbu izvan radnog vremena.

Isključivo za potrebe planiranja pretpostavimo šest tjedana i zakazani termin održavanja. Uprava odobrava kapacitete osoblja, aranžmane za zastoj i privremena ograničenja pristupa dobavljača. Evidencija odluke objašnjava posljedice za uslugu, zašto su odabrane te mjere postupanja i koji će dokazi potvrditi dovršetak.

Rad na pristupu daje konfiguracijske zapise, potvrdu dobavljača i pregled kojim se potvrđuje uklanjanje zajedničkog računa. Vježba vraćanja oporavlja podatke, ali ne postiže dogovoreno vrijeme oporavka usluge jer se autentifikacija ne može brzo ponovno uspostaviti. Taj nalaz ostaje otvoren: uspješne sigurnosne kopije ne poništavaju neuspješan ishod za uslugu.

Uprava zatim odlučuje hoće li poboljšati aranžman za oporavak identiteta, promijeniti arhitekturu ili usvojiti drukčiji operativni plan za nepredviđene situacije. Svaki izmijenjeni cilj oporavka zahtijeva poslovno obrazloženje i mora ostati u skladu s primjenjivim obvezama.

Vježba izvješćivanja otkriva da zamjenska osoba za podnošenje ne može samostalno pristupiti kanalu izvješćivanja. Tim ispravlja ovisnost pristupa i ponovno je testira. Spremnost se poboljšava kroz provjerene promjene i pregledane odluke, a ne izjavom da su izmijenjeni postupci dovršeni.

Točno razumijevanje nadzora i posljedica

Članci 32. i 33. razlikuju pristupe nadzoru. Ključni subjekti mogu biti podvrgnuti proaktivnim inspekcijama i revizijama. Važni subjekti podliježu naknadnom nadzoru kada informacije upućuju na moguću neusklađenost. Ni jedni ni drugi ne bi trebali odsutnost incidenta ili upita nadležnog tijela tumačiti kao dokaz spremnosti.

Za povrede članaka 21. ili 23. članak 34. zahtijeva da nacionalne najviše kazne dosegnu barem sljedeće razine: za ključne subjekte veći iznos od 10 milijuna EUR i 2 % ukupnog godišnjeg prometa relevantnog poduzetnika na svjetskoj razini; za važne subjekte veći iznos od 7 milijuna EUR i 1,4 %. To su donje granice za nacionalne gornje granice kazni, a ne standardni iznosi kazni ni opće fiksne gornje granice.

Nadležna tijela imaju i korektivne ovlasti. Članak 32. predviđa uvjetne mehanizme za ključne subjekte koji se odnose na relevantnu certifikaciju ili odobrenje te privremena ograničenja određenih upravljačkih funkcija nakon propisanih koraka provedbe. To nisu automatske posljedice svakog incidenta, a odredba isključuje subjekte javne uprave.

Odgovornost uprave i postupanje osiguravatelja zahtijevaju savjet specifičan za nadležnost. Uprava bi se trebala usredotočiti na istinite evidencije, pravodobno postupanje i informiran nadzor, a ne potencijalne kazne smatrati zamjenom za provedbu zahtijevanih mjera.

Odredite sljedeću odluku uprave

Započnite provedbu s uslugom najvećeg učinka i njezinim ovisnostima, a pravnu procjenu zadržite potpunom za svaki relevantni subjekt. Dajte prednost zakonskoj hitnosti, posljedicama za usluge i zadacima koji omogućuju kasniji rad. Usmjerena granica provedbe pomaže uspostaviti tijek rada; ne svodi zakonske obveze subjekta na taj pilot.

Sljedeći pregled uprave trebao bi odobriti ili razriješiti odluku o opsegu, potvrditi aranžmane za registraciju i izvješćivanje, financirati prioritetne mjere, dodijeliti odgovorne osobe i zakazati vježbe oporavka i izvješćivanja. Također bi trebao utvrditi kada će uprava pregledati operativne dokaze i koji nalazi zahtijevaju raniju eskalaciju.

U Secaniju timovi mogu modelirati odabranu uslugu, potporne sustave i ovisnosti o vanjskim pružateljima, a zatim povezati zahtjeve, kontrole, odgovorne osobe i pregledane dokaze. Nedostajući dokazi i neriješeni zaključci mogu postati zadaci. Ljudski recenzenti trebali bi odobravati mapiranja i zaključke o dokazima, uz čuvanje poveznica na izvore, komentara, odobrenja i vremenskih oznaka, kako bi obrazloženje ostalo provjerljivo.

Na taj sastanak donesite jednu kartu usluga, jedan registar obveza i najvažnije nedostatke. Izađite s financiranim radnjama, upotrebljivom ovlašću za izvješćivanje i datumom za pregled rezultata, a ne samo s obvezom izrade dodatne dokumentacije.