Pasirengimas NIS2: taikymo sritis, vadovybės pareigos ir įrodymai

Pasirengimas NIS2 prasideda nuo dokumentuoto sprendimo dėl taikymo. Reikšmės gali turėti sektorius, paslauga, dydis, buveinė ir specialiosios įtraukimo taisyklės. Kliento klausimynas yra naudingas kontekstas, tačiau jis nenustato jūsų teisinio statuso. Lygiai taip pat saugumo sertifikatas neįrodo, kad buvo įvertinti visi susiję subjektai, paslaugos ir pranešimo įpareigojimai.

Generaliniam direktoriui pasirengimas reiškia gebėjimą paaiškinti, ką patvirtino vadovybė, kodėl priemonės yra tinkamos, kas jas įgyvendins ir kaip bus vertinamas jų veiksmingumas. Tai taip pat reiškia užtikrinti, kad organizacija galėtų pranešti apie reikšmingą incidentą net tada, kai informacija yra neišsami, o įprasta veikla sutrikdyta.

Praktinis uždavinys yra susieti teisinę taikymo sritį, paslaugų rizikas, įgyvendinimo prioritetus ir peržiūrėtus įrodymus. Tokia sąsaja suteikia vadovybei pagrindą sprendimams dėl investicijų, veiklos sutrikdymų, tiekėjų ir neišspręstų rizikų.

Nustatykite, kuriems subjektams ir paslaugoms taikoma

NIS2 direktyva nustato bendrą ES kibernetinio saugumo lygį konkrečiose veiklos srityse. Jos taikymo sritį ir klasifikavimo struktūrą lemia 2 ir 3 straipsniai kartu su priedais. Konkrečius vietos įpareigojimus ir procedūras nustato nacionaliniai įgyvendinamieji teisės aktai.

Vertinkite kiekvieną susijusį juridinį asmenį, o ne laikykite grupės pavadinimą reguliavimo riba. Dukterinės bendrovės veikla, nuosavybės ryšiai ir buveinių vietos gali pakeisti atsakymą. Vadovybė turėtų reikalauti užfiksuotos išvados, ją pagrindžiančių faktų ir atsakingo asmens neišspręstiems klausimams.

Susiekite veiklą su išvardytais subjektų tipais

I priede nurodyti tokie sektoriai kaip energetika, transportas, sveikatos priežiūra, vanduo, finansinės paslaugos, skaitmeninė infrastruktūra, IRT paslaugų valdymas, viešasis administravimas ir kosmosas. II priedas išplečia taikymą tokioms sritims kaip pašto paslaugos, atliekų tvarkymas, chemijos medžiagos, maistas, tam tikra gamybos veikla, skaitmeninių paslaugų teikėjai ir moksliniai tyrimai.

Sektoriaus pavadinimas yra tik atspirties taškas. Perskaitykite atitinkamo įrašo subjektų tipus ir veiklos rūšis. Gamyba nėra visuotinė įtraukimo kategorija, o programinės įrangos pardavimas savaime nepaverčia įmonės debesijos paslaugų teikėja ar valdomų paslaugų teikėja.

Aprašykite, ką subjektas iš tikrųjų teikia: paslaugą, jos gavėjus, kaip ji veikia ir ar subjektas administruoja klientų sistemas. Komercinės registracijos kodai ir aprašymai interneto svetainėje gali padėti atlikti šią analizę, tačiau jos nepakeičia.

Pavyzdžiui, licencijuotos programos pardavimas ir kliento informacinių sistemų eksploatavimas yra skirtingos veiklos. Konsultacine save vadinanti įmonė vis dėlto gali teikti nuolatinio administravimo paslaugas, kurias reikia vertinti pagal valdomų paslaugų apibrėžtis. Išspręskite tokius klausimus prieš nustatydami atitikties ribas.

Apskaičiuokite dydį pagal taikomas taisykles

2 straipsnyje naudojama ES įmonių dydžio apibrėžtis. Kaip pradinis atrankos orientyras, bendroji įtraukimo riba yra 50 ar daugiau darbuotojų arba metinė apyvarta ir balanso suma, abi viršijančios 10 mln. EUR. Apskritai vidutinės įmonės ribos viršijamos, kai yra bent 250 darbuotojų arba apyvarta viršija 50 mln. EUR, o balanso suma kartu viršija 43 mln. EUR.

Šie skaičiai nepakeičia viso skaičiavimo. Rezultatui įtakos gali turėti atitinkami ataskaitiniai laikotarpiai, darbuotojų skaičiavimo metodika ir partnerinės arba susijusios įmonės. Vietos mastu maža dukterinė bendrovė gali peržengti ribą, kai įvertinami atitinkami nuosavybės ryšiai.

Išsaugokite skaičiavimą, pradinius duomenis ir samprotavimus apie grupės ryšius. Venkite įrašyti vien „vidutinė įmonė“, nepaaiškinę, kaip buvo prieita prie šios išvados. Vien apyvarta nėra visavertė finansinė alternatyva darbuotojų skaičiui.

Jei dydis yra arti ribos arba nuosavybės struktūra sudėtinga, užsakykite konkretų teisinį vertinimą. Šio neapibrėžtumo pašalinimo išlaidos turėtų būti laikomos veiklos reikalavimų nustatymo dalimi, o ne atidedamos, kol išvadą užginčys institucija ar klientas.

Išnagrinėkite specialiąsias įtraukimo ir klasifikavimo taisykles

Kai kurios paslaugų kategorijos gali būti įtrauktos nepriklausomai nuo dydžio. 2 straipsnis apima tam tikras ryšių, patikimumo užtikrinimo, DNS ir aukščiausiojo lygio domenų veiklas, tam tikras viešojo administravimo institucijas ir subjektus, pagal atitinkamą ES sistemą nustatytus kaip ypatingos svarbos. Nacionalinis identifikavimas taip pat gali įtraukti subjektus dėl jų svarbos visuomenei arba veiklos sutrikimo pasekmių.

3 straipsnis lemia, ar subjektas yra esminis, ar svarbus. Dideli I priedo subjektai sudaro vieną reikšmingą esminių subjektų kategoriją, tačiau straipsnyje yra papildomų konkrečioms paslaugoms taikomų ir priskyrimo taisyklių. Vidutinė I priedo įmonė savaime nėra esminis subjektas; priedai nėra tiesiog du priežiūros lygių sąrašai.

Abiem klasifikacijoms taikomos pagrindinės saugumo rizikos valdymo ir pranešimo apie reikšmingus incidentus pareigos. Svarbaus subjekto statusas keičia priežiūros modelį; jis nepanaikina veiksmingų priemonių poreikio.

Tiesioginį teisinį taikymą ir klientų reikalavimus reikėtų fiksuoti atskirai. Mažesnis tiekėjas gali nepatekti į tiesioginę taikymo sritį, tačiau turėti didelių sutartinių saugumo pareigų. Ir atvirkščiai, kliento klausimyne pateiktas teiginys „NIS2 taikoma“ nėra autoritetingas sprendimas dėl klasifikacijos.

Pagrįstas taikymo srities įrašas turėtų apimti:

• Juridinį asmenį ir jo faktines paslaugas.
• Atitinkamus priedų įrašus arba specialiuosius įtraukimo pagrindus.
• Dydžio skaičiavimą ir susijusius nuosavybės ryšius.
• Esminio arba svarbaus subjekto klasifikaciją su priežastimis.
• Buveinių vietas ir jurisdikcijos analizę.
• Taikomas nacionalines taisykles, vertintoją, patvirtinimo datą ir atvirus klausimus.

Pakartotinio vertinimo priežastys turėtų apimti įsigijimus, naujas paslaugas, reikšmingus dydžio pokyčius ir teisėkūros pokyčius. Sprendimas dėl netaikymo gali būti pagrįstas jo priėmimo metu, o vėliau pasenti.

Paverskite ES bazinius reikalavimus nacionaliniais įpareigojimais

NIS2 yra direktyva, įgyvendinama nacionaline teise. Valstybėms narėms ES perkėlimo terminas buvo 2024 m. spalio 17 d., o įgyvendinamosios priemonės turėjo būti taikomos nuo 2024 m. spalio 18 d. Šios datos konkrečiai įmonei nepasako, koks yra jos dabartinis nacionalinis registracijos terminas ar kokią procedūrą ji turi taikyti.

Sukurkite kiekvieno susijusio subjekto ir šalies įpareigojimų registrą. Nurodykite taikomus teisės aktus, instituciją, registracijos procesą, pranešimo kanalą, konkrečiam sektoriui taikomas nuostatas ir atsakingą vidaus asmenį. Atskirkite teisės aktų reikalavimą nuo institucijos gairių ar vidinės įgyvendinimo rekomendacijos.

Nustatykite jurisdikciją prieš pasirinkdami pranešimo kanalą

26 straipsnis jurisdikciją paprastai sieja su buveine, tačiau tam tikroms paslaugoms taikomos kitos taisyklės. Viešųjų elektroninių ryšių paslaugų teikėjai reguliuojami ten, kur jie teikia atitinkamas paslaugas. Tam tikriems skaitmeninių paslaugų teikėjams taikomas pagrindinės buveinės principas, įskaitant debesijos, duomenų centrų, turinio teikimo tinklų, valdomų paslaugų, valdomų saugumo paslaugų ir tam tikras internetinių platformų bei su domenais susijusias įmones.

Vertindami pagrindinę buveinę, išnagrinėkite, kur Sąjungoje daugiausia priimami sprendimai dėl kibernetinio saugumo rizikos valdymo. Jei tos vietos nustatyti neįmanoma arba tokie sprendimai Sąjungoje nepriimami, įvertinkite, kur Sąjungoje vykdomos kibernetinio saugumo operacijos; jei ir to nustatyti neįmanoma, remkitės Sąjungoje esančia buveine, kurioje dirba daugiausia darbuotojų. Todėl kontroliuojančiosios bendrovės registruotos buveinės adreso gali nepakakti.

Tam tikri paslaugų teikėjai, teikiantys paslaugas Sąjungoje, bet neturintys buveinės ES, privalo paskirti atstovą ES. Užsienyje esanti būstinė savaime neatleidžia nuo pareigų, tačiau ir Europos klientai savaime neįtraukia kiekvienos ne ES įmonės į taikymo sritį. Paslaugos rūšis ir kitos taikymo sąlygos vis tiek turi reikšmės.

Registracijos ir informacijos apie subjektą teikimo pareigas fiksuokite atskirai nuo saugumo programos. Saugokite pateikimo patvirtinimus, dabartinius kontaktinius duomenis ir nustatykite atsakomybę už jų atnaujinimą. Jei registracija vėluoja, pasitikslinkite dabartinę institucijos procedūrą ir veikite nedelsdami. Užbaigta registracija neįrodo, kad saugumo priemonės įgyvendintos.

Atskirkite KRITIS ir konkretiems sektoriams taikomus įpareigojimus

Vokietijoje vykdomai veiklai patikrinkite KRITIS reikalavimus kartu su taikomomis NIS2 įgyvendinimo taisyklėmis. Šie du režimai iš dalies sutampa, bet nėra tapatūs. NIS2 taikymas savaime nepaverčia kiekvieno objekto ypatingos svarbos įrenginiu, o veikianti KRITIS programa savaime neįvykdo visų NIS2 įpareigojimų.

Atskirai tvarkykite subjektų klasifikacijos, ypatingos svarbos įrenginių ir papildomų pareigų įrašus. Dabartinės nacionalinės procedūros ieškokite BSI informacijoje apie NIS2, o ne remkitės senais pranešimais apie terminus.

4 straipsnyje taip pat aptariami lygiaverčiai konkretiems sektoriams taikomi ES reikalavimai. Finansų subjektams, kuriems taikomas Skaitmeninės veiklos atsparumo reglamentas (DORA), atitinkamas sritis gali reglamentuoti būtent jis. Nustatykite, kurios pareigos taikomos konkrečiam subjektui ir paslaugai, užuot pagal nutylėjimą palaikę dubliuojančius pranešimo kanalus.

Parenkite vadovybei priklausantį planą

20 straipsnis patvirtinimą ir įgyvendinimo priežiūrą paveda esminių ir svarbių subjektų valdymo organams. Jame taip pat numatyta atsakomybė už 21 straipsnio pažeidimus; teisinės pasekmės priklauso nuo nacionalinės teisės ir subjekto teisinės formos.

Įgyvendinimą galima deleguoti saugumo, IT, veiklos, pirkimų ir kitoms komandoms. Delegavimas turėtų išlaikyti matomą vadovybės priežiūrą. Generalinio direktoriaus vaidmuo nėra konfigūruoti sistemas, o užtikrinti, kad dėl reikšmingų paslaugų rizikų būtų priimti informuoti sprendimai, skirti ištekliai ir užtikrintas tolesnis vykdymas.

Tvirtinkite sprendimus, ne vien dokumentus

Tvirtinimo dokumentų rinkinys turėtų susieti rizikos vertinimą su įvykdomu planu. Įtraukite apimamas paslaugas, pagrindinius sutrikimų scenarijus, siūlomas priemones, alternatyvas, įgyvendinimo priklausomybes, personalo poreikius, etapus ir laukiamus įrodymus.

Kiekvienam įpareigojimui užfiksuokite įgyvendinimą, atsakingą asmenį, įrodymus, spragą ir kitą sprendimą. Taip galima atskirti patvirtintą ketinimą nuo užbaigto pajėgumo. Tai taip pat atskleidžia priemones, kurios neturi atsakingo asmens arba priklauso nuo niekada neskirtų išteklių.

Vadovybės posėdžių protokoluose turėtų būti paaiškintas sprendimas ir jo pagrindas. Pavyzdžiui, tvirtinant investiciją į atkūrimą reikėtų užfiksuoti, kokį paslaugos sutrikimą ji sprendžia, kokio atkūrimo rezultato tikimasi ir kokie yra veiklos apribojimai. Parašas po politika nepaaiškina, ar vadovybė įvertino už jos slypinčią įgyvendinimo problemą.

Biudžeto diskusijos turėtų apimti vidinius pajėgumus ir veiklos sutrikdymą, o ne vien programinės įrangos išlaidas. Tinklo pakeitimui gali prireikti gamybos sustabdymo; tiekėjo peržiūrai gali prireikti teisinių derybų; atkūrimo bandymui gali prireikti izoliuotos aplinkos ir eksploatavimo darbuotojų.

Ypatingo dėmesio reikalauja rizikos prisiėmimas. Jis gali dokumentuoti rizikos valdymo proceso metu priimtą sprendimą dėl rizikos tvarkymo, tačiau negali panaikinti teisinio reikalavimo. Jei išimtis gali prieštarauti įpareigojimui, gaukite teisinį išaiškinimą, nustatykite laikinąsias apsaugos priemones ir išlaikykite neišspręstą klausimą matomą.

Atskirkite įgyvendinimo pažangą nuo kontrolės priemonių veiksmingumo

Projektas gali baigti diegti priemonę, nepasiekęs numatytos apsaugos. Vadovybei teikiamose ataskaitose turėtų būti atsakyta ir į klausimą, ar patvirtinti darbai baigti, ir į klausimą, ar jie veikia visoje atitinkamoje paslaugos aprėptyje.

Nustatykite programos mastui proporcingą peržiūrų dažnumą. Stabiliai veiklai gali tikti ketvirtinės vadovybės peržiūros, o įgyvendinimo metu jos gali būti dažnesnės. Tai yra rekomendacija, o ne 20 straipsnyje nustatytas visuotinis dažnumas.

Apibrėžkite eskalavimą tarp posėdžių. Nepavykęs atkūrimo bandymas, sukompromituota privilegijuota paskyra ar naujai nustatyta kritinė priklausomybė neturėtų laukti kito suplanuoto pristatymo.

Vadovų mokymus susiekite su sprendimais

20 straipsnis reikalauja, kad valdymo organų nariai dalyvautų mokymuose, kurie būtų pakankami padėti jiems nustatyti rizikas, vertinti rizikos valdymo praktiką ir suprasti pasekmes paslaugoms. Jame nenustatyta vienos visuotinės kurso trukmės ar atnaujinimo intervalo.

Mokymai turėtų apimti incidento reikšmingumą, atkūrimo kompromisus, tiekėjų koncentraciją, įrodymų apribojimus ir sprendimų priėmimą neapibrėžtumo sąlygomis. Įtraukite scenarijų, kuriame vadovai turi įgalioti pranešimo pateikimą, apriboti veiklą arba finansuoti skubias rizikos tvarkymo priemones.

Išsaugokite datas, dalyvius, turinį ir tolesnius veiksmus. Darbuotojų mokymai taip pat aptariami 21 straipsnyje, tačiau personalo sąmoningumo užsiėmimai nepakeičia pačios vadovybės mokymų. Vadovybė turėtų gebėti kritiškai vertinti teiginius apie užtikrinimą, netapdama techniniais specialistais.

Paverskite 21 straipsnį paslaugų lygmens priemonėmis

21 straipsnis reikalauja proporcingų techninių, veiklos ir organizacinių apsaugos priemonių. Vertinant proporcingumą atsižvelgiama į poveikio mastą, organizacijos dydį, įgyvendinimo sąnaudas ir incidentų tikimybę bei sunkumą, įskaitant platesnį poveikį visuomenei ir ekonomikai.

Reikalaujamas požiūris apima ne tik kenkėjišką kibernetinę veiklą. Tai pačiai paslaugai gali grėsti elektros energijos tiekimo sutrikimas, potvynis, fizinis įsibrovimas, darbuotojų nebuvimas ir telekomunikacijų sutrikimai.

Toliau pateikti įgyvendinimo pavyzdžiai yra praktinės rekomendacijos. Jie paaiškina dešimt temų nenustatydami vienodo techninio sprendimo kiekvienam subjektui. Tam tikroms skaitmeninėms paslaugoms taip pat taikomi išsamesni ES įgyvendinimo reikalavimai; prieš remdamiesi vien aukšto lygio kontroliniu sąrašu, patikrinkite jų taikymą.

Rizikos analizė ir informacinių sistemų saugumo politika

Pradėkite nuo paslaugos: kas turi veikti toliau, kas nuo jos priklauso ir ką reikštų jos sutrikimas. Prieš priskirdami rizikos įvertinimus, sudarykite palaikančiųjų sistemų, patalpų, žmonių ir išorės paslaugų teikėjų žemėlapį.

Naudokite poveikio kriterijus, kurie atskiria finansinius nuostolius nuo saugos, žalos paslaugų gavėjams ir platesnio sutrikimo. Užfiksuokite scenarijus, esamas apsaugos priemones, siūlomas rizikos tvarkymo priemones, liekamąją riziką ir pakartotinio vertinimo priežastis. Bendras kibernetinių grėsmių sąrašas yra mažiau naudingas nei paaiškinimas, kaip konkreti priklausomybė gali sutrikdyti paslaugą.

Rezultatas yra sprendimus palaikantis rizikos vertinimas ir politika, aprašanti, kaip šie sprendimai virsta veiklos reikalavimais.

Incidentų valdymas

Apibrėžkite aptikimą, rūšiavimą, eskalavimą, suvaldymą, tyrimą, atkūrimo koordinavimą ir užbaigimą. Paskirkite koordinatorių ir jo pavaduotojus bei suteikite reagavimo komandai tikėtiniems incidentams pritaikytas ir praktiškai taikomas procedūras.

Veiklos požiūriu vertinamas sunkumas ir teisinis reikšmingumas yra susiję, bet skirtingi dalykai. Skubus techninis incidentas gali reikalauti suvaldymo dar prieš išsprendžiant, ar apie jį privaloma pranešti. Procesas turi palaikyti abi veiklas, neleisdamas vienai blokuoti kitos.

Saugokite incidentų laiko juostas, sprendimus, susijusius įrodymus ir taisomuosius veiksmus. Peržiūrėkite, ar sutarti patobulinimai buvo įgyvendinti; išmoktų pamokų dokumentas be tolesnių veiksmų suteikia menką užtikrinimą.

Veiklos tęstinumas, atsarginės kopijos, atkūrimas ir krizių valdymas

Naudokite poveikio verslui analizę esminei veiklai ir priimtinam sutrikimui nustatyti. Su paslaugų savininkais suderinkite atkūrimo laiko tikslus ir atkūrimo taško tikslus. Pirmieji susiję su atkūrimo trukme, antrieji – su toleruotinu duomenų praradimu.

Atsarginių kopijų užbaigimo įrašai yra naudingi, tačiau jie neįrodo, kad paslaugą galima atkurti. Išbandykite atkūrimą, palaikančiąsias tapatybes, raktus, sąsajas ir duomenų tinkamumą naudoti. Patikrinkite, ar atkurtos sistemos gali palaikyti faktinį verslo procesą.

Krizių valdymo tvarka turėtų apimti ne tik techninį atkūrimą, bet ir veiklos sprendimus bei komunikaciją. Užfiksuokite bandymų rezultatus, nepasiektus tikslus, veiksmus ir vadovybės sprendimus dėl likusios rizikos.

Santykiai su tiekėjais

Nustatykite tiesioginius tiekėjus, kurių veiklos sutrikimas ar kompromitavimas galėtų reikšmingai paveikti paslaugą. Atsižvelkite į administracinę prieigą, jautrią informaciją, programinės įrangos priklausomybes ir prieinamumą.

Įvertinkite faktinio santykio reikšmę saugumui, įskaitant konkrečiam tiekėjui būdingus pažeidžiamumus ir produktų ar kūrimo praktiką. Išvadas susiekite su prieigos kontrolės priemonėmis, sutartinėmis nuostatomis, atsarginiais planais ir peržiūros priežastimis.

Tiekėjo sertifikatas gali pagrįsti vertinimą. Jis savaime neapima jūsų įsigytos paslaugos, jos konfigūracijos ar jūsų integravimo atsakomybės.

Įsigijimas, kūrimas, priežiūra ir pažeidžiamumai

Nustatykite pirkiniams ir naujoms sistemoms taikomus saugumo priėmimo kriterijus. Apibrėžkite atsakomybę už saugų kūrimą, konfigūravimą, pakeitimus, priežiūrą, atnaujinimus ir gaunamus pranešimus apie pažeidžiamumus.

Reikšmingus pažeidžiamumus sekite per vertinimą, tvarkymą, išimčių valdymą ir patikrinimą. Šalinimo prioritetai turėtų atspindėti išnaudojimo galimybę ir pasekmes paslaugai, o ne vien skaitinį sunkumo įvertinimą.

Operacinėms technologijoms prieš diegiant pataisas gali prireikti gamintojo patvirtinimo ir planuotų prastovų. Dokumentuokite laikinąsias apsaugos priemones ir rizikos tvarkymo tvarkaraštį. „Neįmanoma įdiegti pataisos“ yra valdytinas apribojimas, o ne užbaigtas sprendimas dėl rizikos.

Veiksmingumo vertinimas

Svarbioms priemonėms apibrėžkite klausimą, į kurį turi atsakyti bandymas. Prieigos peržiūra tikrina įgaliojimus; atkūrimo pratybos tikrina atkūrimą; incidento imitacija tikrina koordinavimą ir sprendimų priėmimą.

Užfiksuokite išbandytą apimtį, laukiamą rezultatą, metodą, vertintoją, išvadas ir reakciją į nesėkmę. Pasitelkite nepriklausomą užtikrinimą, kai jis suteikia papildomos vertės arba kai to reikalauja taikomos taisyklės.

21 straipsnis reikalauja vertinti veiksmingumą, tačiau nenustato vieno skverbties testavimo dažnumo kiekvienai organizacijai, kuriai jis taikomas. Bandymai turėtų atitikti užtikrinimo poreikį ir bet kokius susijusius išsamius reikalavimus.

Kibernetinė higiena ir darbuotojų mokymai

Pateikite darbuotojams praktinius nurodymus, kaip pranešti apie įtartiną veiklą, apsaugoti prisijungimo duomenis, tvarkyti informaciją ir saugiai dirbti. Papildykite turiniu, pritaikytu kūrėjų, administratorių, pirkimų darbuotojų ir reagavimo komandų vaidmenims.

Dalyvavimas mokymuose rodo dalyvavimą, bet nebūtinai gebėjimą veikti. Pratybos ir stebimi veiksmai gali atskleisti neaiškius nurodymus ar silpnus eskalavimo kelius.

Išvadas panaudokite procedūroms tobulinti. Jei darbuotojai teisingai praneša apie įtartinus pranešimus, bet juos gaunanti komanda reaguoja lėtai, to paties sąmoningumo kurso kartojimas pagrindinės problemos neišspręs.

Kriptografija

Apibrėžkite, kuriai informacijai ir kuriems procesams reikia kriptografinės apsaugos, įskaitant atitinkamus perduodamus ir saugomus duomenis. Nustatykite atsakomybę už raktus ir sertifikatus, jų atnaujinimą, atšaukimą, prieigą ir atkūrimą.

Įrodymai turėtų apimti konfigūravimo sprendimus ir raktų valdymo tvarką, o ne vien teiginį, kad šifravimas taikomas. Apsauga gali neveikti, jei užšifruotos atsarginės kopijos priklauso nuo nepasiekiamų raktų arba jei prieiga prie raktų nėra tinkamai apribota.

Tvarkykite pagrįstas išimtis ir peržiūrėkite jas, kai keičiasi sistemos ar rizikos. Nelaikykite plataus teiginio, pavyzdžiui, „viskas užšifruota“, pakankamu užtikrinimu.

Žmonės, prieiga ir turtas

Įdarbinimą, vaidmenų pasikeitimus ir išėjimus susiekite su sprendimais dėl prieigos. Nustatykite verslo savininkus, administratorius, išorines paskyras, paslaugų tapatybes ir susijusį turtą.

Peržiūrėkite privilegijuotą prieigą ir panaikinkite nebepagrįstas teises. Į vertinimą įtraukite bendrąsias ar ne žmonių naudojamas paskyras, o ne apsiribokite darbuotojų naudotojų sąrašais.

Įrodymai gali apimti patvirtintus prašymus, atrankos būdu patikrintus išėjimo iš darbo įrašus, užbaigtas prieigos peržiūras ir išspręstas išimtis. Turto inventorius turėtų paaiškinti atsakomybę ir priklausomybę nuo paslaugos, o ne vien suskaičiuoti įrenginius.

Autentifikavimas ir saugūs ryšiai

21 straipsnyje aptariamas stipresnis autentifikavimas ir apsaugoti ryšiai, įskaitant avarinę tvarką, su tinkamumo išlyga.

Kaip praktinį prioritetą išnagrinėkite privilegijuotą ir nuotolinę prieigą prie kritinių paslaugų. Nustatykite senųjų sistemų apribojimus ir įvertinkite alternatyvias apsaugos priemones, užuot manę, kad kiekviena sistema palaiko tą patį mechanizmą.

Taip pat išbandykite krizinę komunikaciją, kai įprastas el. paštas, bendradarbiavimo įrankiai ar tapatybių paslaugos neveikia. Avarinė procedūra, visiškai priklausanti nuo sutrikusios platformos, gali būti netinkama naudoti būtent tada, kai jos reikia.

Sprendimus dėl kritinių tiekėjų priimkite aiškiai

Tiekimo grandinės saugumas dažnai tampa vadovybės klausimu, nes pirkimai negali pašalinti kiekvienos priklausomybės klausimynu. Pradėkite nuo sutrikimo pasekmių: ar šis tiekėjas gali sutrikdyti paslaugos teikimą, atlikti neleistinus pakeitimus, atskleisti informaciją ar sutrukdyti atkūrimui?

Kritiniams tiesioginiams tiekėjams užfiksuokite palaikomą paslaugą, suteiktą prieigą, už vertinimą atsakingą asmenį, peržiūrėtą užtikrinimą, neišspręstas išvadas ir sprendimus dėl rizikos tvarkymo. Patikrinkite užtikrinimo dokumentų apimtį ir laikotarpį. Ataskaita, apimanti kitą paslaugą ar ankstesnį veiklos modelį, gali neatsakyti į dabartinį klausimą.

Derybos dėl sutarties turėtų apimti santykio rizikas. Praktinės temos apima atsakomybę už saugumą, komunikaciją incidentų atveju, bendradarbiavimą tyrimuose, pažeidžiamumų valdymą, prieigos apribojimus, įrodymų prieinamumą, veiklos tęstinumą ir pagalbą nutraukiant santykius. Tai yra rekomenduojamos derybų temos, o ne kiekvienai sutarčiai vienodos teisės aktuose nustatytos sąlygos.

Tiekėjų pranešimo tvarka turėtų atitikti jūsų pranešimų tvarkaraštį. Patvirtinkite veiklos kontaktus ir jų pavaduotojus; klientų vadybininko pašto dėžutė, tikrinama tik įprastomis darbo valandomis, rimto incidento atveju gali būti netinkama.

21 straipsnyje konkrečiai aptariami tiesioginiai santykiai. Ankstesnės grandinės priklausomybės vis tiek gali būti svarbios, kai jos sukuria koncentracijos riziką ar silpnina atkūrimą. Tirkite giliau, kai tai keičia sprendimą, o ne bandykite sudaryti beribį kiekvieno tiekėjo tiekėjų inventorių.

Jei užtikrinimo lieka nepakankamai, vadovybė gali apriboti prieigą, sustiprinti stebėseną, derėtis dėl patobulinimų, įvesti alternatyvas, pertvarkyti priklausomybę ar pakeisti paslaugų teikėją. Užfiksuokite motyvus ir laikinąsias priemones. Perdavus paslaugų teikimą išorės paslaugų teikėjui, subjektas neatleidžiamas nuo atsakomybės už savo rizikos valdymo programą.

Repetuokite pranešimą apie reikšmingus incidentus

23 straipsnis nustato pranešimą apie reikšmingus incidentus. Incidentas yra reikšmingas, jei jis sukelia arba gali sukelti didelį paslaugų veikimo sutrikimą ar finansinių nuostolių subjektui arba didelę turtinę ar neturtinę žalą kitiems fiziniams ar juridiniams asmenims. Prieš kurdami sprendimų priėmimo procesą, patikrinkite taikomas nacionalines ir konkrečiam sektoriui taikomas reikšmingumo taisykles.

Terminas skaičiuojamas nuo sužinojimo apie reikšmingą incidentą, o ne nuo teismo ekspertizės analizės užbaigimo. Užfiksuokite, kada tapo prieinama atitinkama informacija, reikšmingumo vertinimą ir kas priėmė sprendimą. Nekurkite dirbtinai vėlesnio sužinojimo momento delsdami su vidiniu eskalavimu.

Patikimumo užtikrinimo paslaugų teikėjams taikoma speciali 24 valandų pranešimo nuostata dėl reikšmingų incidentų, paveikiančių jų patikimumo užtikrinimo paslaugas. Tiek esminiams, tiek svarbiems subjektams taikomos etapinės pranešimo pareigos; svarbaus subjekto klasifikacija nepanaikina išankstinio įspėjimo.

Įgaliojimus ir prieigą parenkite naudojimui ne darbo valandomis

Paskirkite vertinimo vadovą, įgaliotą pranešimo teikėją, pavaduotoją, teisininką kontaktiniam ryšiui ir vadovybės eskalavimo kelią. Susitarkite, kaip bus tvirtinama preliminari informacija. Vadovybei reikia matomumo, tačiau ji neturėtų tapti neišvengiama kliūtimi kiekvienam pateikimui.

Parenkite šablonus, kuriuose atskiriami patvirtinti faktai, preliminarūs vertinimai, nežinomi dalykai ir planuojami atnaujinimai. Venkite nepagrįsto priskyrimo ar pažadų dėl atkūrimo. Ankstyvas pranešimas turėtų tiksliai atspindėti neapibrėžtumą, o ne būti dirbtinai išsamus.

Išbandykite prieigą prie pranešimo kanalo, prisijungimo duomenis, kontaktinę informaciją ir atsarginę tvarką. Jei pranešimo teikėjas priklauso nuo sukompromituotos įmonės tapatybių paslaugos, procesui reikia alternatyvos.

Surenkite vakaro arba savaitgalio scenarijaus pratybas. Išmatuokite laiką, per kurį atpažįstamas galimas reikšmingumas, sukviečiami reikiami žmonės, parengiamas įspėjimas, jis patvirtinamas ir pasiekiamas kanalas. Šią veiklą išlaikykite susietą su suvaldymu ir atkūrimu, kartu paskirdami pakankamai žmonių, kad pranešimų teikimas neužimtų visos reagavimo komandos.

23 straipsnyje taip pat aptariamas, kai tikslinga, informavimas paslaugų gavėjams. Sutartys ir kiti teisės aktai gali nustatyti papildomus pranešimus. Asmens duomenų saugumo pažeidimui reikia atskiro BDAR vertinimo; pagal NIS2 pateiktas pranešimas jo savaime neįvykdo. Koordinuokite faktus, kartu išlaikydami atskirus sprendimus ir terminus.

Tvarkykite įrodymus, kurie paaiškina, kas veikia

Politika, sertifikatai, sutartys su tiekėjais ir registracijos patvirtinimai gali pagrįsti pasirengimą. Vis dėlto įrodymai turi parodyti, kas veikia taikomoje apimtyje.

Atskirkite projektavimą, įgyvendinimą ir veikimą. Prieigos politika aprašo numatytą elgseną. Konfigūracijos įrodymai rodo įdiegimą. Užbaigta prieigos peržiūra, rodanti panaikintas teises ir išspręstas išimtis, įrodo veikimą. Šie įrašai atsako į skirtingus klausimus ir neturėtų būti laikomi tarpusavyje pakeičiamais.

Kiekvienam įrodymui išsaugokite jo šaltinį, apimtį, datą ar laikotarpį, atsakingą asmenį, vertintoją, išvadą ir apribojimus. Sėkmingas vienos programos atkūrimo bandymas neįrodo visos aplinkos atkūrimo. Ekrano nuotrauka gali parodyti vieną konfigūraciją vienu momentu, o ne nuolatinį veikimą.

Apsaugokite jautrius įrodymus. Incidentų žurnalai, architektūros schemos ir prieigos teisių eksportai gali atskleisti veiklos ar asmeninę informaciją. Nustatykite tinkamą prieigos, saugojimo ir dalijimosi su išorės šalimis tvarką.

Įrodymų spragos turėtų tapti darbo užduotimis. „Nėra naujausio bandymo“, „neaiški tiekėjo apimtis“ ir „atsakingas asmuo neperžiūrėjo eksporto“ yra skirtingos problemos, reikalaujančios skirtingų veiksmų. Dokumentų skaičius jų neatskleidžia.

Pakartotinai panaudokite jau atliktą ISMS ir KRITIS darbą

ISO 27001 ISMS gali suteikti rizikos vertinimo, rizikos tvarkymo, politikos, audito, vadovybės peržiūros ir veiklos įrašų. Palyginkite jos sertifikuotą apimtį su subjektais ir paslaugomis, kuriems taikomos nacionalinės NIS2 taisyklės.

Įmonės IT sertifikavimas gali neapimti gamybinių sistemų, valdomos paslaugos ar įsigyto verslo. Pakartotinai panaudokite susijusias kontrolės priemones ir įrodymus, o tada aiškiai išspręskite klasifikavimo, registracijos, teisinio pranešimo ir vadovybės mokymų klausimus. Mūsų NIS2 ir ISO 27001 vadovas paaiškina, kaip esamas ISMS darbas gali padėti šiame procese.

NIS2 nenustato bendro ES atitikties sertifikato. Sertifikavimas suteikia užtikrinimą savo apimtyje; jis neišsprendžia visų teisinių pareigų. Tuos pačius tinkamumo patikrinimus taikykite esamiems KRITIS įrodymams, užuot manę, kad ankstesnis pripažinimas apima dabartinius įpareigojimus.

Pavyzdys: nuotolinė priežiūra ir gamybos atkūrimas

Panagrinėkime iliustracinį Vokietijos gamintoją, turintį 180 darbuotojų ir gaminantį įrangą pagal II priede išvardytą gamybos veiklą. Tarkime, kad peržiūrėtas skaičiavimas patvirtina vidutinės įmonės statusą, nacionalinė analizė patvirtina svarbaus subjekto klasifikaciją, o atskiras vertinimas nenustato jokio KRITIS ypatingos svarbos įrenginio priskyrimo. Šios prielaidos taikomos tik šiam pavyzdžiui, o ne yra taisyklė kiekvienam tokio dydžio gamintojui.

Pirmasis įgyvendinimo dėmesio objektas yra gamybos planavimas vienoje gamykloje. Priklausomybės apima ERP programą, pramoninius valdiklius, tapatybių paslaugas, atsargines kopijas ir priežiūros tiekėją su nuotoline prieiga. Teisinis taikymo srities vertinimas vis tiek apima ir kitus susijusius subjekto įpareigojimus, ne tik šią pradinę paslaugą.

Peržiūra atskleidžia tris susijusias silpnąsias vietas. Tiekėjo technikai naudoja bendrą privilegijuotą paskyrą. Atsarginių kopijų užduotys baigiamos, tačiau joks naujausias atkūrimo bandymas neapima planavimo programos priklausomybės nuo tapatybių paslaugos. Incidentų procedūroje nurodytas atsakingas už pranešimą asmuo, tačiau nėra pavaduotojo, įgalioto pranešimą pateikti.

Vadovybė, užuot patvirtinusi tris atskirus politikos atnaujinimus, paprašo pateikti galimybes. Veiklos padalinys siūlo vardinę, laike apribotą tiekėjo prieigą per kontroliuojamą nuotolinės prieigos kanalą. IT siūlo paslaugos atkūrimo pratybas pagal verslo patvirtintus tikslus. Saugumo ir teisės komandos siūlo pavaduojančius pranešimo teikimo įgaliojimus ir repeticiją ne darbo valandomis.

Vien planavimo tikslais tarkime, kad tam reikia šešių savaičių ir suplanuoto priežiūros lango. Vadovybė patvirtina darbuotojų pajėgumus, prastovų tvarką ir laikinus tiekėjo prieigos apribojimus. Sprendimo įraše paaiškinamos pasekmės paslaugai, kodėl buvo pasirinktos būtent tokios rizikos tvarkymo priemonės ir kokie įrodymai patvirtins jų įgyvendinimą.

Prieigos darbai sukuria konfigūracijos įrašus, tiekėjo patvirtinimą ir peržiūrą, patvirtinančią bendros paskyros panaikinimą. Atkūrimo pratybų metu duomenys atkuriami, tačiau sutartas paslaugos atkūrimo laikas viršijamas, nes autentifikavimo nepavyksta greitai atkurti. Ši išvada lieka atvira: sėkmingos atsarginių kopijų užduotys nepanaikina nepavykusio paslaugos atkūrimo rezultato.

Tada vadovybė sprendžia, ar patobulinti tapatybių paslaugos atkūrimo tvarką, pakeisti architektūrą, ar pasirinkti kitą veiklos atsarginį planą. Bet koks pakeistas atkūrimo tikslas turi turėti verslo pagrindimą ir išlikti suderinamas su taikomais įpareigojimais.

Pranešimo repeticija atskleidžia, kad pavaduojantis pranešimo teikėjas negali savarankiškai prisijungti prie pranešimo kanalo. Komanda pašalina šią prieigos priklausomybę ir išbando dar kartą. Pasirengimas gerėja per patikrintus pakeitimus ir peržiūrėtus sprendimus, o ne per pareiškimą, kad pakeistos procedūros yra užbaigtos.

Tiksliai supraskite priežiūrą ir pasekmes

32 ir 33 straipsniuose atskiriami priežiūros būdai. Esminiams subjektams gali būti taikomi iniciatyvaus patikrinimo ir audito įgaliojimai. Svarbiems subjektams taikoma ex post priežiūra, kai informacija rodo galimą reikalavimų nesilaikymą. Nei vieni, nei kiti neturėtų incidento ar institucijos užklausos nebuvimo laikyti pasirengimo įrodymu.

Už 21 ar 23 straipsnio pažeidimus 34 straipsnis reikalauja, kad nacionalinės didžiausios baudos siektų bent šiuos dydžius: esminiams subjektams – didesnė iš 10 mln. EUR ir 2 % atitinkamos įmonės pasaulinės metinės apyvartos sumų; svarbiems subjektams – didesnė iš 7 mln. EUR ir 1,4 % sumų. Tai yra nacionalinių baudų viršutinių ribų minimalūs dydžiai, o ne standartinės baudų sumos ar visuotinės fiksuotos viršutinės ribos.

Institucijos taip pat turi taisomųjų įgaliojimų. 32 straipsnyje numatyti sąlyginiai esminiams subjektams taikomi mechanizmai, susiję su atitinkamu sertifikavimu ar leidimu ir laikinais tam tikrų vadovavimo funkcijų vykdymo apribojimais po nustatytų vykdymo užtikrinimo veiksmų. Tai nėra automatinės kiekvieno incidento pasekmės, o ši nuostata netaikoma viešojo administravimo subjektams.

Vadovybės atsakomybės ir draudimo klausimams reikia konkrečiai jurisdikcijai pritaikytos konsultacijos. Vadovybė turėtų sutelkti dėmesį į teisingus įrašus, savalaikį rizikos tvarkymą ir informuotą priežiūrą, o ne laikyti galimas baudas pakaitalu privalomų priemonių įgyvendinimui.

Nustatykite kitą vadovybės sprendimą

Įgyvendinimą pradėkite nuo didžiausią poveikį turinčios paslaugos ir jos priklausomybių, kartu užtikrindami, kad teisinis vertinimas būtų išsamus kiekvienam susijusiam subjektui. Pirmenybę teikite teisės aktų nulemtam skubumui, pasekmėms paslaugoms ir užduotims, kurios atveria kelią vėlesniems darbams. Aiškiai apibrėžta įgyvendinimo apimtis padeda nusistatyti darbo eigą; ji nesumažina subjekto teisinių įpareigojimų iki šio bandomojo projekto.

Kitoje vadovybės peržiūroje turėtų būti patvirtintas arba išspręstas sprendimas dėl taikymo srities, patvirtinta registracijos ir pranešimo tvarka, finansuotos prioritetinės rizikos tvarkymo priemonės, paskirti atsakingi asmenys ir suplanuotos atkūrimo bei pranešimo pratybos. Taip pat turėtų būti nustatyta, kada vadovybė peržiūrės veikimo įrodymus ir kurios išvados reikalauja ankstesnio eskalavimo.

Secani platformoje komandos gali sumodeliuoti pasirinktą paslaugą, palaikančiąsias sistemas ir priklausomybes nuo išorės paslaugų teikėjų, o tada susieti reikalavimus, kontrolės priemones, atsakingus asmenis ir peržiūrėtus įrodymus. Trūkstami įrodymai ir neišspręstos išvados gali tapti užduotimis. Susiejimus ir išvadas dėl įrodymų turėtų tvirtinti žmonės, išsaugant šaltinių nuorodas, komentarus, patvirtinimus ir laiko žymas, kad samprotavimus būtų galima patikrinti.

Į tą posėdį atsineškite vieną paslaugų žemėlapį, vieną įpareigojimų registrą ir svarbiausias spragas. Išeikite su finansuotais veiksmais, veikiančiais pranešimo įgaliojimais ir data, kada bus nagrinėjami rezultatai, o ne vien su įsipareigojimu parengti daugiau dokumentų.