NIS2-felkészültség: hatály, vezetői kötelezettségek és bizonyítékok

A NIS2-felkészültség egy dokumentált alkalmazhatósági döntéssel kezdődik. Az ágazat, a szolgáltatás, a méret, a letelepedés és a különleges bevonási szabályok egyaránt számíthatnak. Egy ügyfél kérdőíve hasznos háttérinformáció, de nem határozza meg a vállalat jogi helyzetét. Egy biztonsági tanúsítvány sem bizonyítja, hogy minden érintett szervezetet, szolgáltatást és bejelentési kötelezettséget kezeltek.

A vezérigazgató számára a felkészültség azt jelenti, hogy el tudja magyarázni, mit hagyott jóvá a vezetés, miért megfelelőek az intézkedések, ki valósítja meg őket, és hogyan értékelik majd a hatékonyságukat. Azt is jelenti, hogy a szervezet akkor is képes bejelenteni egy jelentős incidenst, amikor az információk hiányosak és a szokásos működés zavart szenved.

A gyakorlati feladat a jogi hatály, a szolgáltatási kockázatok, a megvalósítási prioritások és az átvizsgált bizonyítékok összekapcsolása. Ez a kapcsolat ad a vezetésnek alapot a beruházásokkal, a működési zavarokkal, a beszállítókkal és a még kezeletlen kitettséggel kapcsolatos döntésekhez.

Határozza meg, mely szervezetekre és szolgáltatásokra terjed ki

A NIS2-irányelv uniós kiberbiztonsági alapszintet határoz meg meghatározott tevékenységekre. A 2. és 3. cikk a mellékletekkel együtt rögzíti a hatályt és a besorolási struktúrát. A nemzeti átültető jogszabályok adják az alkalmazandó helyi kötelezettségeket és eljárásokat.

Minden érintett jogi személyt külön értékeljen, ahelyett hogy a csoport nevét tekintené a szabályozási határnak. Egy leányvállalat tevékenységei, tulajdonosi viszonyai és letelepedési helyei megváltoztathatják a választ. A vezetésnek rögzített következtetést, alátámasztó tényeket és a nyitott kérdésekért felelős gazdát kell megkövetelnie.

Vesse össze a tevékenységeket a felsorolt szervezettípusokkal

Az I. melléklet olyan ágazatokat tartalmaz, mint az energia, a közlekedés, az egészségügy, a víz, a pénzügyi szolgáltatások, a digitális infrastruktúra, az IKT-szolgáltatások kezelése, a közigazgatás és az űrágazat. A II. melléklet kiterjeszti a hatályt többek között a postai szolgáltatásokra, a hulladékgazdálkodásra, a vegyi anyagokra, az élelmiszerekre, meghatározott gyártási tevékenységekre, a digitális szolgáltatókra és a kutatásra.

Az ágazat megnevezése csak kiindulópont. Olvassa el az adott bejegyzésben szereplő szervezettípusokat és tevékenységeket. A gyártás nem általános bevonási kategória, és a szoftverértékesítés sem tesz automatikusan egy vállalkozást felhőszolgáltatóvá vagy gondoskodó (menedzselt) szolgáltatóvá.

Írja le, mit nyújt ténylegesen a szervezet: a szolgáltatást, annak igénybevevőit, a működés módját, és azt, hogy üzemeltet-e ügyfélrendszereket. A cégnyilvántartási kódok és a weboldal leírásai alátámaszthatják ezt az elemzést, de nem helyettesíthetik.

Például egy licencelt alkalmazás értékesítése és egy ügyfél információs rendszereinek üzemeltetése két különböző tevékenység. Egy tanácsadóként bemutatkozó vállalkozás mégis végezhet olyan folyamatos üzemeltetést, amelyet a gondoskodó szolgáltatásokra vonatkozó fogalommeghatározások alapján értékelni kell. Az ilyen kérdéseket a megfelelési határ kialakítása előtt kell tisztázni.

Számítsa ki a méretet az alkalmazandó szabályok szerint

A 2. cikk az uniós vállalkozásméret-meghatározást alkalmazza. Első szűrésként egyszerűsítve: az általános bevonási küszöb legalább 50 munkavállaló, vagy az, hogy az árbevétel és a mérlegfőösszeg egyaránt meghaladja a 10 millió eurót. Nagy vonalakban a középvállalkozási felső határok túllépése legalább 250 munkavállalót, vagy 50 millió eurót meghaladó árbevételt és egyúttal 43 millió eurót meghaladó mérlegfőösszeget jelent.

Ezek a számok nem helyettesítik a teljes számítást. Az irányadó üzleti évek, a létszám számítási módszere, valamint a partner- vagy kapcsolódó vállalkozások befolyásolhatják az eredményt. Egy helyi szinten kicsi leányvállalat is átléphet egy küszöböt, ha figyelembe veszik a megfelelő tulajdonosi viszonyokat.

Őrizze meg a számítást, az alapul szolgáló adatokat és a csoportkapcsolatokra vonatkozó érvelést. Ne csak annyit rögzítsen, hogy „középvállalkozás”, anélkül hogy megmagyarázná, hogyan jutottak erre a következtetésre. Az árbevétel önmagában nem a létszám teljes pénzügyi alternatívája.

Ha a méret közel van egy határhoz, vagy a tulajdonosi szerkezet összetett, rendeljen meg külön jogi értékelést. A bizonytalanság tisztázásának költségét a működési követelmények meghatározása részének kell tekinteni, nem pedig addig halogatni, amíg egy hatóság vagy ügyfél meg nem kérdőjelezi a következtetést.

Vizsgálja meg a különleges bevonási és besorolási szabályokat

Egyes szolgáltatási kategóriák mérettől függetlenül a hatály alá tartozhatnak. A 2. cikk kitér meghatározott hírközlési, bizalmi, DNS- és legfelső szintű domain-tevékenységekre, bizonyos közigazgatási szervekre, valamint a vonatkozó uniós keretrendszer szerint kritikusnak minősített szervezetekre. A nemzeti szintű azonosítás is a hatály alá vonhat szervezeteket társadalmi jelentőségük vagy egy zavar következményei miatt.

A 3. cikk ezután határozza meg, hogy egy érintett szervezet alapvető vagy fontos szervezetnek minősül-e. Az I. melléklet szerinti nagy szervezetek az alapvető szervezetek egyik jelentős kategóriáját alkotják, de a cikk további szolgáltatásspecifikus és kijelölési szabályokat is tartalmaz. Egy I. melléklet szerinti középvállalkozás nem automatikusan alapvető szervezet; a mellékletek nem egyszerűen a felügyeleti szintek két listája.

Mindkét besorolás magában foglalja az alapvető biztonsági kockázatkezelési és a jelentős incidensekre vonatkozó bejelentési kötelezettségeket. A fontos szervezeti státusz a felügyeleti modellt változtatja meg; nem szünteti meg a hatékony intézkedések szükségességét.

A közvetlen jogi hatályt és az ügyfélkövetelményeket külön kell rögzíteni. Egy kisebb beszállító kívül eshet a közvetlen hatályon, miközben jelentős szerződéses biztonsági kötelezettségek terhelik. Fordítva: egy ügyfélkérdőív, amely szerint „a NIS2 alkalmazandó”, nem mérvadó besorolási döntés.

Egy megalapozott hatálynyilvántartásnak tartalmaznia kell:

• A jogi személyt és annak tényleges szolgáltatásait.
• Az érintett melléklet-bejegyzéseket vagy különleges bevonási okokat.
• A méretszámítást és az érintett tulajdonosi viszonyokat.
• Az alapvető vagy fontos szervezetként való besorolást, indoklással.
• A letelepedési helyeket és a joghatósági elemzést.
• Az alkalmazandó nemzeti szabályokat, az ellenőrzést végző személyt, a jóváhagyás dátumát és a nyitott kérdéseket.

Az újraértékelést kiváltó események közé kell sorolni a felvásárlásokat, az új szolgáltatásokat, a méret lényeges változásait és a jogszabályi fejleményeket. Egy kizárási döntés meghozatalakor lehet megalapozott, később mégis elavulttá válhat.

Ültesse át az uniós alapszintet nemzeti kötelezettségekre

A NIS2 irányelv, amelyet nemzeti jogszabályok ültetnek át. A tagállamok uniós átültetési határideje 2024. október 17. volt, az átültető intézkedéseket pedig 2024. október 18-tól kellett alkalmazni. Ezek a dátumok azonban nem mondják meg egy adott vállalatnak, mi a jelenlegi nemzeti regisztrációs határideje, vagy milyen eljárást kell alkalmaznia.

Hozzon létre kötelezettség-nyilvántartást minden érintett szervezetre és országra. Azonosítsa az alkalmazandó jogszabályt, a hatóságot, a regisztrációs eljárást, a bejelentési csatornát, az ágazatspecifikus rendelkezéseket és a felelős belső gazdát. Különítse el a törvényi követelményt a hatósági útmutatástól vagy a belső megvalósítási ajánlástól.

Határozza meg a joghatóságot, mielőtt bejelentési csatornát választ

A 26. cikk a joghatóságot általában a letelepedéshez köti, de bizonyos szolgáltatásokra eltérő szabályok vonatkoznak. A nyilvános elektronikus hírközlési szolgáltatókat ott szabályozzák, ahol az érintett szolgáltatásokat nyújtják. Meghatározott digitális szolgáltatók a fő tevékenységi hely elvét alkalmazzák, köztük a felhő-, adatközpont-, tartalomszolgáltató hálózati, gondoskodó, gondoskodó biztonsági szolgáltatók, valamint bizonyos online platformok és domainnel kapcsolatos vállalkozások.

A fő tevékenységi hely értékeléséhez vizsgálja meg, hol születnek túlnyomórészt a kiberbiztonsági kockázatkezelési döntések az Unióban. Ha ez a hely nem határozható meg, vagy ezeket a döntéseket nem az Unióban hozzák, értékelje, hol végzik a kiberbiztonsági műveleteket az Unióban; ha ez sem határozható meg, a legtöbb munkavállalót foglalkoztató uniós telephely az irányadó. Egy holdingtársaság bejegyzett székhelye ezért nem feltétlenül elegendő.

Bizonyos szolgáltatóknak, amelyek uniós letelepedés nélkül nyújtanak szolgáltatásokat az Unióban, uniós képviselőt kell kijelölniük. A külföldi központ nem jelent automatikus mentességet, ugyanakkor az európai ügyfelek sem vonnak automatikusan minden nem uniós vállalkozást a hatály alá. A szolgáltatás típusa és az egyéb alkalmazhatósági feltételek továbbra is számítanak.

A regisztrációs és a szervezeti adatszolgáltatási kötelezettségeket a biztonsági programtól elkülönítve rögzítse. Őrizze meg a benyújtási igazolásokat, az aktuális elérhetőségeket és a frissítésekért viselt felelősséget. Ha a regisztráció késésben van, ellenőrizze a hatóság aktuális eljárását, és haladéktalanul járjon el. A regisztráció teljesítése nem bizonyítja a biztonsági intézkedések megvalósítását.

Tartsa külön a KRITIS- és az ágazatspecifikus kötelezettségeket

Németországi működés esetén az alkalmazandó NIS2-átültetési szabályok mellett a KRITIS-követelményeket is ellenőrizze. A két rendszer átfedi egymást, de nem azonos. A NIS2 hatálya nem minősít automatikusan minden létesítményt kritikus létesítménnyé, és egy meglévő KRITIS-program sem teljesít automatikusan minden NIS2-kötelezettséget.

Vezessen külön nyilvántartást a szervezet besorolásáról, a kritikus létesítményekről és a további kötelezettségekről. Az aktuális nemzeti eljárásról a BSI NIS2-tájékoztatójában tájékozódjon, ne régi határidő-bejelentésekre hagyatkozzon.

A 4. cikk az egyenértékű ágazatspecifikus uniós követelményekkel is foglalkozik. Az érintett pénzügyi szervezetek esetében a DORA irányadó lehet a vonatkozó területeken. Határozza meg, mely kötelezettségek vonatkoznak az adott szervezetre és szolgáltatásra, ahelyett hogy alapértelmezésként párhuzamos bejelentési utakat tartana fenn.

Készítsen a vezetés felelősségi körébe tartozó tervet

A 20. cikk az alapvető és fontos szervezetek irányító testületeire bízza a jóváhagyást és a megvalósítás felügyeletét. Rendelkezik a 21. cikk megsértésével kapcsolatos felelősségről is; a jogkövetkezmények a nemzeti jogtól és a szervezet jogi formájától függenek.

A megvalósítás delegálható a biztonsági, informatikai, üzemeltetési, beszerzési és más csapatokra. A delegálásnak meg kell őriznie a látható vezetői felügyeletet. A vezérigazgató feladata nem a rendszerek konfigurálása, hanem annak biztosítása, hogy a jelentős szolgáltatási kockázatokról megalapozott döntések szülessenek, legyen hozzájuk erőforrás, és megtörténjen a végrehajtásuk.

Döntéseket hagyjon jóvá, ne csak dokumentumokat

Egy jóváhagyási csomagnak a kockázatértékelést végrehajtható tervvel kell összekapcsolnia. Tartalmazza az érintett szolgáltatásokat, a fő zavarforgatókönyveket, a javasolt intézkedéseket, az alternatívákat, a megvalósítási függőségeket, a létszámigényt, a mérföldköveket és a várt bizonyítékokat.

Minden kötelezettséghez rögzítse a megvalósítást, a gazdát, a bizonyítékot, a hiányosságot és a következő döntést. Így meg lehet különböztetni a jóváhagyott szándékot a ténylegesen kiépített képességtől. Ez azokat az intézkedéseket is láthatóvá teszi, amelyeknek nincs elszámoltatható gazdája, vagy amelyek soha ki nem osztott erőforrásoktól függenek.

A vezetői jegyzőkönyveknek meg kell magyarázniuk a döntést és annak alapját. Például egy helyreállítási beruházás jóváhagyásánál rögzíteni kell, melyik szolgáltatáskiesést kezeli, mi a várt helyreállítási eredmény, és milyen működési korlátok vannak. Egy szabályzaton lévő aláírás nem árulja el, hogy a vezetés mérlegelte-e a mögötte álló megvalósítási problémát.

A költségvetési megbeszéléseknek a belső kapacitásra és az üzletmenet megszakadására is ki kell terjedniük, nem csak a szoftverkiadásokra. Egy hálózati változtatás éles üzemi leállást igényelhet; egy beszállítói felülvizsgálathoz jogi tárgyalásra lehet szükség; egy visszaállítási teszthez elkülönített környezet és üzemeltetési személyzet kellhet.

A kockázatelfogadás különös figyelmet érdemel. Dokumentálhat egy kockázatkezelési döntést egy kockázatkezelési folyamaton belül, de nem mentesíthet egy jogszabályi követelmény alól. Ahol egy kivétel ütközhet egy kötelezettséggel, kérjen jogi értelmezést, határozzon meg átmeneti védelmet, és tartsa láthatóan a nyitott kérdést.

Válassza szét a megvalósítás előrehaladását és a kontrollok hatékonyságát

Egy projekt befejezheti egy intézkedés bevezetését anélkül, hogy elérné a kívánt védelmet. A vezetői jelentéseknek mindkét kérdésre válaszolniuk kell: elkészült-e a jóváhagyott munka, és működik-e a teljes érintett szolgáltatási határon belül.

Határozzon meg a programmal arányos felülvizsgálati gyakoriságot. Stabil működés esetén a negyedéves vezetői átvizsgálás praktikus lehet, a megvalósítás idején pedig gyakoribb felülvizsgálatok. Ez ajánlás, nem a 20. cikk által előírt egységes gyakoriság.

Határozza meg az ülések közötti eszkalációt. Egy sikertelen helyreállítási teszt, egy kompromittált kiemelt jogosultságú fiók vagy egy újonnan azonosított kritikus függőség nem várhat a következő ütemezett prezentációig.

Tegye a vezetői képzést a döntésekhez igazodóvá

A 20. cikk előírja, hogy az irányító testületek tagjai olyan képzésen vegyenek részt, amely elegendő ahhoz, hogy azonosítani tudják a kockázatokat, értékelni tudják a kockázatkezelési gyakorlatokat, és megértsék a szolgáltatásokra gyakorolt következményeket. Nem határoz meg egységes képzési időtartamot vagy megújítási időközt.

A képzésnek ki kell terjednie az incidensek jelentőségére, a helyreállítási kompromisszumokra, a beszállítói koncentrációra, a bizonyítékok korlátaira és a bizonytalanság melletti döntéshozatalra. Tartalmazzon egy olyan forgatókönyvet, amelyben a vezetőknek jóvá kell hagyniuk egy bejelentést, korlátozniuk kell a működést, vagy finanszírozniuk kell egy sürgős kockázatkezelést.

Őrizze meg a dátumokat, a résztvevőket, a tartalmat és a nyomon követési teendőket. A munkavállalók képzésével a 21. cikk is foglalkozik, de a személyzetnek szóló tudatossági alkalmak nem helyettesítik a vezetés saját képzését. A vezetésnek képesnek kell lennie megkérdőjelezni a megfelelőségi állításokat anélkül, hogy műszaki szakértővé kellene válnia.

Alakítsa a 21. cikket szolgáltatásszintű intézkedésekké

A 21. cikk arányos technikai, operatív és szervezeti védelmet ír elő. Az arányossági értékelés figyelembe veszi a kitettséget, a szervezet méretét, a megvalósítás költségét, valamint az incidensek valószínűségét és súlyosságát, beleértve a tágabb társadalmi és gazdasági hatásokat is.

Az előírt megközelítés a rosszindulatú kibertevékenységen túli veszélyekre is kiterjed. Áramkimaradás, árvíz, fizikai behatolás, elérhetetlen személyzet és zavart távközlés egyaránt veszélyeztetheti ugyanazt a szolgáltatást.

Az alábbi megvalósítási példák gyakorlati ajánlások. A tíz tématerületet magyarázzák, anélkül hogy minden szervezetre azonos műszaki kialakítást írnának elő. Bizonyos digitális szolgáltatásokra részletesebb uniós végrehajtási követelmények is vonatkoznak; ellenőrizze az alkalmazhatóságot, mielőtt kizárólag egy magas szintű ellenőrzőlistára támaszkodna.

Kockázatelemzés és rendszerbiztonsági szabályzatok

Kezdje a szolgáltatással: minek kell folytatódnia, ki függ tőle, és mit jelentene egy zavar. A kockázati besorolások hozzárendelése előtt térképezze fel a támogató rendszereket, létesítményeket, személyeket és külső szolgáltatókat.

Olyan hatáskritériumokat használjon, amelyek megkülönböztetik a pénzügyi veszteséget a személyi biztonságot érintő kártól, a szolgáltatás igénybevevőinek okozott kártól és a tágabb zavartól. Rögzítse a forgatókönyveket, a meglévő védelmet, a javasolt kezeléseket, a maradványkitettséget és az újraértékelést kiváltó eseményeket. A kiberfenyegetések általános listája kevésbé hasznos, mint annak magyarázata, hogyan szakíthatja meg egy konkrét függőség a szolgáltatást.

Az eredmény egy döntéseket támogató kockázatértékelés, valamint olyan szabályzatok, amelyek leírják, hogyan válnak ezek a döntések működési követelményekké.

Incidenskezelés

Határozza meg az észlelést, az osztályozást, az eszkalációt, a megfékezést, a kivizsgálást, a helyreállítás koordinálását és a lezárást. Jelöljön ki koordinátort és helyetteseket, és adjon a reagálóknak használható eljárásokat a valószínű incidensekre.

Az operatív súlyosság és a jogszabály szerinti jelentőség összefügg, de nem azonos. Egy sürgős műszaki incidens megfékezést igényelhet, mielőtt a jogi bejelentési kötelezettség tisztázódna. A folyamatnak mindkét tevékenységet támogatnia kell anélkül, hogy az egyik blokkolná a másikat.

Őrizze meg az incidensek idővonalait, a döntéseket, a releváns bizonyítékokat és a korrekciós intézkedéseket. Vizsgálja felül, hogy az elfogadott fejlesztések megvalósultak-e; egy végrehajtás nélküli tanulságokat összegző dokumentum gyenge bizonyosságot nyújt.

Üzletmenet-folytonosság, biztonsági mentés, helyreállítás és válságkezelés

Üzleti hatáselemzéssel azonosítsa a nélkülözhetetlen tevékenységeket és az elfogadható zavart. Egyeztesse a helyreállítási időcélokat és a helyreállítási pontcélokat a szolgáltatásgazdákkal. Az előbbi a visszaállítás idejére vonatkozik, az utóbbi az elviselhető adatvesztésre.

A biztonsági mentések sikeres lefutásáról szóló naplók hasznosak, de nem bizonyítják, hogy a szolgáltatás helyreállítható. Tesztelje a visszaállítást, a támogató identitásokat, kulcsokat, interfészeket és a használható adatokat. Ellenőrizze, hogy a helyreállított rendszerek képesek-e kiszolgálni a tényleges üzleti munkafolyamatot.

A válságkezelési intézkedéseknek a műszaki helyreállítás mellett az operatív döntésekkel és a kommunikációval is foglalkozniuk kell. Rögzítse a tesztek eredményeit, az el nem ért célokat, a teendőket és a fennmaradó kitettségről hozott vezetői döntéseket.

Beszállítói kapcsolatok

Azonosítsa azokat a közvetlen beszállítókat, amelyek kiesése vagy kompromittálódása lényegesen érinthetné a szolgáltatást. Vegye figyelembe az adminisztratív hozzáférést, az érzékeny információkat, a szoftverfüggőségeket és a rendelkezésre állást.

Értékelje a tényleges kapcsolat biztonsági relevanciáját, beleértve a beszállítóspecifikus sérülékenységeket, valamint a termékekkel és a fejlesztéssel kapcsolatos gyakorlatokat. A megállapításokat kapcsolja hozzáférés-szabályozáshoz, szerződéses rendelkezésekhez, vészforgatókönyvekhez és felülvizsgálatot kiváltó eseményekhez.

Egy beszállítói tanúsítvány alátámaszthatja az értékelést. Nem fedi le azonban automatikusan az Ön által igénybe vett szolgáltatást, annak konfigurációját vagy az Ön integrációs felelősségét.

Beszerzés, fejlesztés, karbantartás és sérülékenységek

Határozzon meg biztonsági átvételi kritériumokat a beszerzésekhez és az új rendszerekhez. Rögzítse a felelősségeket a biztonságos fejlesztés, a konfiguráció, a változtatások, a karbantartás, a frissítések és a beérkező sérülékenységi bejelentések tekintetében.

A jelentős sérülékenységeket kövesse végig az értékelésen, a kezelésen, a kivételkezelésen és az ellenőrzésen. A javítási prioritásoknak a kihasználhatóságot és a szolgáltatásra gyakorolt következményeket kell tükrözniük, nem csupán egy numerikus súlyossági értéket.

Az operatív technológia javításához gyártói jóváhagyás és tervezett leállás lehet szükséges. Dokumentálja az átmeneti védőintézkedéseket és a kezelési ütemtervet. A „nem javítható” egy kezelendő korlát, nem pedig teljes kockázati döntés.

A hatékonyság értékelése

A fontos intézkedéseknél határozza meg, milyen kérdésre kell a tesztnek választ adnia. Egy hozzáférési felülvizsgálat a jogosultságokat ellenőrzi; egy visszaállítási gyakorlat a helyreállítást; egy incidensszimuláció a koordinációt és a döntéshozatalt.

Rögzítse a tesztelt hatókört, a várt eredményt, a módszert, az ellenőrt, a megállapításokat és a kudarcra adott választ. Alkalmazzon független megbízhatósági vizsgálatot, ahol az hozzáadott értéket teremt, vagy az alkalmazandó szabályok előírják.

A 21. cikk a hatékonyság értékelését követeli meg, de nem ír elő egységes behatolásteszt-gyakoriságot minden érintett szervezet számára. A tesztelésnek a bizonyossági igényhez és az esetleges releváns részletes követelményekhez kell igazodnia.

Kiberhigiénia és a személyzet képzése

Adjon a munkatársaknak gyakorlati utasításokat a gyanús tevékenységek bejelentésére, a hitelesítő adatok védelmére, az információk kezelésére és a biztonságos munkavégzésre. Egészítse ki ezt szerepkör-specifikus tartalommal a fejlesztők, az adminisztrátorok, a beszerzési munkatársak és az incidensreagálók számára.

A képzésen való jelenlét a részvételt mutatja, nem feltétlenül a cselekvőképességet. A gyakorlatok és a megfigyelt teljesítmény felszínre hozhatják a nem egyértelmű utasításokat vagy a gyenge eszkalációs utakat.

A megállapításokat használja fel az eljárások javítására. Ha a munkavállalók helyesen jelentik a gyanús üzeneteket, de a fogadó csapat lassan reagál, ugyanannak a tudatossági képzésnek a megismétlése nem oldja meg a mögöttes problémát.

Kriptográfia

Határozza meg, mely információk és munkafolyamatok igényelnek kriptográfiai védelmet, beleértve az érintett továbbított és tárolt adatokat. Azonosítsa a kulcsok és tanúsítványok gazdáit, a megújítást, a visszavonást, a hozzáférést és a helyreállítást.

A bizonyítékoknak a konfigurációs döntéseket és a kulcskezelési megoldásokat is tartalmazniuk kell, nem csupán azt az állítást, hogy titkosítás létezik. A védelem kudarcot vallhat, ha a titkosított biztonsági mentések elérhetetlen kulcsoktól függenek, vagy ha a kulcsokhoz való hozzáférés nincs megfelelően korlátozva.

Tartsa nyilván az indokolt kivételeket, és vizsgálja felül őket, ha a rendszerek vagy a kockázatok változnak. Ne tekintsen elegendő bizonyosságnak egy olyan általános állítást, mint a „minden titkosítva van”.

Személyek, hozzáférés és eszközök

Kapcsolja össze a felvételt, a szerepkörváltásokat és a távozásokat a hozzáférési döntésekkel. Azonosítsa az üzleti gazdákat, az adminisztrátorokat, a külső fiókokat, a szolgáltatási identitásokat és a releváns eszközöket.

Vizsgálja felül a kiemelt jogosultságú hozzáféréseket, és vonja vissza a már nem indokolt jogosultságokat. Az értékelésbe vonja be a közös és a nem emberi fiókokat is, ahelyett hogy a munkavállalói felhasználólistákra korlátozná.

Bizonyíték lehet például a jóváhagyott kérelem, a mintavétellel ellenőrzött kiléptetési nyilvántartás, az elvégzett hozzáférési felülvizsgálat és a lezárt kivétel. Egy eszközleltárnak a gazdát és a szolgáltatási függőséget kell megmagyaráznia, nem csupán az eszközöket megszámolnia.

Hitelesítés és biztonságos kommunikáció

A 21. cikk az erősebb hitelesítéssel és a védett kommunikációval foglalkozik, beleértve a vészhelyzeti megoldásokat is, a megfelelőség feltételéhez kötve.

Gyakorlati prioritásként vizsgálja meg a kritikus szolgáltatásokhoz való kiemelt jogosultságú és távoli hozzáférést. Azonosítsa az örökölt rendszerek korlátait, és értékeljen védelmi alternatívákat, ahelyett hogy feltételezné, hogy minden rendszer ugyanazt a mechanizmust támogatja.

Tesztelje a válsághelyzeti kommunikációt is arra az esetre, ha a szokásos e-mail, az együttműködési eszközök vagy az identitásszolgáltatások nem érhetők el. Egy vészhelyzeti eljárás, amely teljes egészében a kiesett platformtól függ, éppen akkor lehet használhatatlan, amikor szükség van rá.

Tegye egyértelművé a kritikus beszállítókkal kapcsolatos döntéseket

Az ellátási lánc biztonsága gyakran azért válik vezetői kérdéssé, mert a beszerzés nem tud minden függőséget egy kérdőívvel kiküszöbölni. Induljon ki a kiesés következményéből: megszakíthatja-e ez a beszállító a szolgáltatásnyújtást, végrehajthat-e jogosulatlan változtatásokat, kiszivárogtathat-e információt, vagy megakadályozhatja-e a helyreállítást?

A kritikus közvetlen beszállítóknál rögzítse a támogatott szolgáltatást, a biztosított hozzáférést, az értékelés gazdáját, az átvizsgált megbízhatósági dokumentumokat, a nyitott megállapításokat és a kezelési döntéseket. Ellenőrizze a megbízhatósági dokumentumok hatókörét és időszakát. Egy másik szolgáltatásra vagy egy korábbi működési modellre vonatkozó jelentés nem feltétlenül válaszolja meg a jelenlegi kérdést.

A szerződéses tárgyalásoknak a kapcsolat kockázataival kell foglalkozniuk. Gyakorlati témák lehetnek a biztonsági felelősségek, az incidensekkel kapcsolatos kommunikáció, a kivizsgálásban való együttműködés, a sérülékenységkezelés, a hozzáférési korlátozások, a bizonyítékok elérhetősége, a folytonosság és a kiszállási támogatás. Ezek ajánlott tárgyalási témák, nem minden szerződésre azonos törvényi kikötések.

A beszállítói értesítési megoldásoknak támogatniuk kell az Ön bejelentési ütemtervét. Ellenőrizze az operatív kapcsolattartókat és helyetteseiket; egy kapcsolattartó menedzser csak hivatali időben figyelt postafiókja egy súlyos incidens esetén elégtelen lehet.

A 21. cikk kifejezetten a közvetlen kapcsolatokkal foglalkozik. Az ellátási lánc korábbi szakaszaiban lévő függőségek ennek ellenére számíthatnak, ha koncentrációs kockázatot teremtenek vagy aláássák a helyreállítást. Akkor vizsgálódjon mélyebben, ha az megváltoztatja a döntést, ahelyett hogy korlátlan leltárt próbálna készíteni minden beszállító beszállítóiról.

Ha a bizonyosság továbbra is elégtelen, a vezetés korlátozhatja a hozzáférést, kiegészítő monitorozást vezethet be, fejlesztésekről tárgyalhat, alternatívákat vezethet be, átalakíthatja a függőséget, vagy lecserélheti a szolgáltatót. Rögzítse az indoklást és az átmeneti intézkedéseket. A szolgáltatásnyújtás kiszervezése nem szünteti meg a szervezet felelősségét saját kockázatkezelési programjáért.

Gyakorolja a jelentős incidensek bejelentését

A 23. cikk határozza meg a jelentős incidensek bejelentését. Egy incidens akkor jelentős, ha a szolgáltatások súlyos működési zavarát vagy a szervezet pénzügyi veszteségét okozza vagy okozhatja, illetve más természetes vagy jogi személyeknek jelentős vagyoni vagy nem vagyoni kárt okoz vagy okozhat. A döntési folyamat megtervezése előtt ellenőrizze az alkalmazandó nemzeti és ágazatspecifikus jelentőségi szabályokat.

A határidő a jelentős incidensről való tudomásszerzéshez kötődik, nem a kriminalisztikai elemzés befejezéséhez. Rögzítse, mikor váltak elérhetővé a releváns információk, mi volt a jelentőség értékelése, és ki hozta meg a döntést. Ne hozzon létre mesterségesen későbbi tudomásszerzési időpontot a belső eszkaláció késleltetésével.

A bizalmi szolgáltatókra külön 24 órás bejelentési rendelkezés vonatkozik a bizalmi szolgáltatásaikat érintő jelentős incidensek esetén. Mind az alapvető, mind a fontos szervezeteket többlépcsős bejelentési kötelezettség terheli; a fontos szervezetként való besorolás nem szünteti meg a korai figyelmeztetést.

Alakítsa ki a jogosultságokat és a hozzáférést munkaidőn kívüli használatra

Nevezze meg az értékelés vezetőjét, a benyújtásra jogosult személyt, a helyettest, a jogi kapcsolattartót és a vezetői eszkalációs utat. Egyezzenek meg abban, hogyan hagyják jóvá az előzetes információkat. A vezetésnek rálátásra van szüksége, anélkül hogy minden benyújtásnál elkerülhetetlen szűk keresztmetszetté válna.

Készítsen olyan sablonokat, amelyek elkülönítik a megerősített tényeket, az előzetes értékeléseket, az ismeretleneket és a tervezett frissítéseket. Kerülje a megalapozatlan elkövetői azonosítást vagy helyreállítási ígéreteket. A korai bejelentésnek pontosnak kell lennie a bizonytalanságot illetően, nem pedig mesterségesen teljesnek.

Tesztelje a bejelentési csatornához való hozzáférést, a hitelesítő adatokat, az elérhetőségeket és a tartalékmegoldásokat. Ha a benyújtó egy kompromittált vállalati identitásszolgáltatástól függ, a folyamatnak alternatívára van szüksége.

Gyakoroljon egy esti vagy hétvégi forgatókönyvet. Mérje az időt, amely alatt felismerik a lehetséges jelentőséget, összehívják a szükséges embereket, elkészítik a figyelmeztetést, jóváhagyják, és eljuttatják a csatornára. Ezt a tevékenységet kösse össze a megfékezéssel és a helyreállítással, ugyanakkor jelöljön ki elegendő embert ahhoz, hogy a bejelentés ne kösse le a teljes reagáló csapatot.

A 23. cikk adott esetben a szolgáltatás igénybevevőivel való kommunikációval is foglalkozik. Szerződések és más jogszabályok további értesítési kötelezettségeket írhatnak elő. A személyes adatok megsértése saját GDPR-értékelést igényel; egy NIS2-bejelentés nem teljesíti azt automatikusan. Hangolják össze a tényeket, de tartsák meg a különálló döntéseket és határidőket.

Tartson fenn olyan bizonyítékokat, amelyek megmagyarázzák, mi működik

A szabályzatok, tanúsítványok, beszállítói megállapodások és regisztrációs igazolások alátámaszthatják a felkészültséget. A bizonyítékoknak ennek ellenére azt kell mutatniuk, mi működik az alkalmazandó hatókörön belül.

Különböztesse meg a kialakítást, a megvalósítást és a működést. Egy hozzáférési szabályzat a szándékolt viselkedést írja le. A konfigurációs bizonyíték a bevezetést mutatja. Egy elvégzett hozzáférési felülvizsgálat, amely visszavont jogosultságokat és lezárt kivételeket mutat, a működést bizonyítja. Ezek a nyilvántartások különböző kérdésekre válaszolnak, és nem szabad őket felcserélhetőnek tekinteni.

Minden bizonyítékelemnél őrizze meg annak forrását, hatókörét, dátumát vagy időszakát, gazdáját, ellenőrzőjét, következtetését és korlátait. Egy alkalmazás sikeres visszaállítási tesztje nem bizonyítja a teljes környezet helyreállíthatóságát. Egy képernyőkép egy pillanatban egy konfigurációt mutathat, nem a tartós működést.

Védje az érzékeny bizonyítékokat. Az incidensnaplók, az architektúraábrák és a hozzáférési exportok operatív vagy személyes információkat fedhetnek fel. Alakítson ki megfelelő hozzáférési, megőrzési és külső megosztási szabályokat.

A bizonyítékok hiányosságaiból munkafeladatoknak kell lenniük. A „nincs friss teszt”, a „nem egyértelmű beszállítói hatókör” és „a gazda nem vizsgálta át az exportot” különálló problémák, amelyek eltérő intézkedéseket igényelnek. Egy dokumentumszámláló ezeket nem mutatja meg.

Használja fel újra a meglévő IBIR- és KRITIS-munkát

Egy ISO 27001 szerinti IBIR szolgáltathat kockázatértékelési, kockázatkezelési, szabályzati, auditálási, vezetőségi átvizsgálási és működési nyilvántartásokat. Vesse össze a tanúsított határát a nemzeti NIS2-szabályok által lefedett szervezetekkel és szolgáltatásokkal.

A vállalati IT tanúsítása kizárhatja az éles rendszereket, egy gondoskodó szolgáltatást vagy egy felvásárolt vállalkozást. Használja fel újra a releváns kontrollokat és bizonyítékokat, majd kifejezetten foglalkozzon a besorolással, a regisztrációval, a jogi bejelentéssel és a vezetői képzéssel. NIS2 és ISO 27001 útmutatónk bemutatja, hogyan támogathatja a meglévő IBIR-munka ezt a folyamatot.

A NIS2 nem hoz létre általános uniós megfelelőségi tanúsítványt. A tanúsítás a saját hatókörén belül nyújt bizonyosságot; nem rendez minden jogi kötelezettséget. Ugyanezeket a relevanciavizsgálatokat alkalmazza a meglévő KRITIS-bizonyítékokra is, ahelyett hogy feltételezné, hogy a korábbi elfogadás lefedi a jelenlegi kötelezettségeket.

Kidolgozott példa: távkarbantartás és a termelés helyreállítása

Vegyünk egy szemléltető német gyártót 180 munkavállalóval, amely a II. mellékletben felsorolt gyártási tevékenységen belül állít elő berendezéseket. Tegyük fel, hogy egy átvizsgált számítás középvállalkozási státuszt állapít meg, a nemzeti elemzés megerősíti a fontos szervezetként való besorolást, egy külön értékelés pedig nem azonosít KRITIS szerinti kritikus létesítménnyé való kijelölést. Ezek a feltételezések a példára vonatkoznak, nem szabályt jelentenek minden ilyen méretű gyártóra.

Az első megvalósítási fókusz egy üzem termelésütemezése. A függőségek közé tartozik egy ERP-alkalmazás, ipari vezérlők, identitásszolgáltatások, biztonsági mentések és egy távoli hozzáféréssel rendelkező karbantartó beszállító. A jogi hatály értékelése továbbra is lefedi a szervezet ezen első szolgáltatáson túli releváns kötelezettségeit.

Az átvizsgálás három összefüggő gyengeséget tár fel. A beszállító technikusai egy közös kiemelt jogosultságú fiókot használnak. A mentési feladatok lefutnak, de egyetlen friss visszaállítási teszt sem terjed ki az ütemezőalkalmazás identitásfüggőségére. Az incidenskezelési eljárás megnevez egy bejelentésért felelős személyt, de benyújtásra jogosult helyettest nem.

A vezetés három különálló szabályzatfrissítés jóváhagyása helyett opciókat kér. Az üzemeltetés névre szóló, időkorlátos beszállítói hozzáférést javasol egy ellenőrzött távoli hozzáférési útvonalon keresztül. Az informatika szolgáltatás-visszaállítási gyakorlatot javasol az üzlet által jóváhagyott célok alapján. A biztonsági és a jogi terület helyettes bejelentési jogosultságot és munkaidőn kívüli főpróbát javasol.

Kizárólag tervezési célból tegyük fel, hogy hat hétre és egy ütemezett karbantartási ablakra van szükség. A vezetés jóváhagyja a munkaerő-kapacitást, a leállási megoldásokat és a beszállítói hozzáférés átmeneti korlátozásait. A döntési jegyzőkönyv elmagyarázza a szolgáltatásra gyakorolt következményeket, azt, hogy miért ezeket a kezeléseket választották, és milyen bizonyíték igazolja majd a teljesítést.

A hozzáférési munka eredményeként konfigurációs nyilvántartások, beszállítói visszaigazolás és egy, a közös fiók megszüntetését megerősítő felülvizsgálat születik. A visszaállítási gyakorlat helyreállítja az adatokat, de nem teljesíti az egyeztetett szolgáltatás-helyreállítási időt, mert a hitelesítést nem lehet gyorsan visszaállítani. Ez a megállapítás nyitva marad: a sikeres mentési feladatok nem írják felül a sikertelen szolgáltatási eredményt.

A vezetés ezután dönt arról, hogy javítja-e az identitás-helyreállítási megoldást, megváltoztatja-e az architektúrát, vagy más operatív vészforgatókönyvet vezet be. Minden módosított helyreállítási célnak üzleti indoklásra van szüksége, és összhangban kell maradnia az alkalmazandó kötelezettségekkel.

A bejelentési főpróba feltárja, hogy a helyettes benyújtó nem fér hozzá önállóan a bejelentési csatornához. A csapat kijavítja a hozzáférési függőséget, majd újra teszteli. A felkészültség ellenőrzött változtatások és átvizsgált döntések révén javul, nem pedig annak kinyilvánításával, hogy a módosított eljárások elkészültek.

Értse pontosan a felügyeletet és a következményeket

A 32. és 33. cikk különböző felügyeleti megközelítéseket különböztet meg. Az alapvető szervezetekkel szemben proaktív helyszíni ellenőrzési és auditálási jogkörök gyakorolhatók. A fontos szervezetek utólagos felügyelet alá esnek, ha információk esetleges meg nem felelésre utalnak. Egyikük sem tekintheti az incidensek vagy a hatósági megkeresések hiányát a felkészültség bizonyítékának.

A 21. vagy a 23. cikk megsértése esetén a 34. cikk előírja, hogy a nemzeti bírságmaximumoknak legalább a következő szintet el kell érniük: alapvető szervezeteknél 10 millió euró vagy az érintett vállalkozás teljes éves világpiaci árbevételének 2%-a közül a magasabb összeg; fontos szervezeteknél 7 millió euró vagy 1,4% közül a magasabb. Ezek a nemzeti bírságplafonok alsó határai, nem pedig szokásos bírságösszegek vagy egységes rögzített felső határok.

A hatóságok korrekciós jogkörökkel is rendelkeznek. A 32. cikk az alapvető szervezetekre vonatkozóan feltételes mechanizmusokat ír elő, amelyek érintik a vonatkozó tanúsítást vagy engedélyt, valamint meghatározott vezetői feladatok ideiglenes korlátozását az előírt végrehajtási lépések után. Ezek nem minden incidens automatikus következményei, és a rendelkezés kizárja a közigazgatási szervezeteket.

A vezetői felelősség és a biztosítási kezelés joghatóságspecifikus tanácsadást igényel. A vezetésnek a valós nyilvántartásokra, az időben történő kezelésre és a megalapozott felügyeletre kell összpontosítania, ahelyett hogy a lehetséges bírságokat az előírt intézkedések megvalósításának pótlékaként kezelné.

Határozza meg a következő vezetői döntést

Kezdje a megvalósítást a legnagyobb hatású szolgáltatással és annak függőségeivel, miközben a jogi értékelést minden érintett szervezetre teljes körűen fenntartja. Rangsorolja a törvényi sürgősséget, a szolgáltatásra gyakorolt következményeket és azokat a feladatokat, amelyek későbbi munkákat tesznek lehetővé. Egy fókuszált megvalósítási határ segít a munkafolyamat kialakításában; nem szűkíti le a szervezet jogi kötelezettségeit erre a kísérleti projektre.

A következő vezetői átvizsgálásnak jóvá kell hagynia vagy le kell zárnia a hatályra vonatkozó döntést, meg kell erősítenie a regisztrációs és bejelentési megoldásokat, finanszíroznia kell a kiemelt kezeléseket, ki kell jelölnie az elszámoltatható gazdákat, és be kell ütemeznie a helyreállítási és bejelentési gyakorlatokat. Azt is meg kell határoznia, mikor vizsgálja át a vezetés a működési bizonyítékokat, és mely megállapítások igényelnek korábbi eszkalációt.

A Secaniban a csapatok modellezhetik a kiválasztott szolgáltatást, a támogató rendszereket és a külső szolgáltatói függőségeket, majd összekapcsolhatják a követelményeket, a kontrollokat, a gazdákat és az átvizsgált bizonyítékokat. A hiányzó bizonyítékokból és a nyitott következtetésekből feladatok lehetnek. Az összerendeléseket és a bizonyítékokra vonatkozó következtetéseket emberi ellenőröknek kell jóváhagyniuk, a forráshivatkozások, megjegyzések, jóváhagyások és időbélyegek megőrzésével, hogy az érvelés ellenőrizhető maradjon.

Erre az ülésre vigyen egy szolgáltatási térképet, egy kötelezettség-nyilvántartást és a legsúlyosabb következményekkel járó hiányosságokat. Finanszírozott intézkedésekkel, használható bejelentési jogosultsággal és az eredmények átvizsgálásának dátumával távozzon – ne csupán azzal az ígérettel, hogy még több dokumentáció készül.