Gatavība NIS2: tvērums, vadības pienākumi un pierādījumi

Gatavība NIS2 sākas ar dokumentētu lēmumu par piemērojamību. Nozīme var būt nozarei, pakalpojumam, lielumam, uzņēmējdarbības vietai un īpašajiem iekļaušanas noteikumiem. Klienta anketa ir noderīgs konteksts, taču tā nenosaka jūsu juridisko statusu. Tāpat drošības sertifikāts nepierāda, ka ir aptverta katra attiecīgā vienība, pakalpojums un ziņošanas pienākums.

Izpilddirektoram gatavība nozīmē spēju izskaidrot, ko vadība ir apstiprinājusi, kāpēc pasākumi ir piemēroti, kas tos īstenos un kā tiks novērtēta to efektivitāte. Tā nozīmē arī nodrošināt, ka organizācija spēj ziņot par būtisku incidentu laikā, kad informācija ir nepilnīga un ierastā darbība ir traucēta.

Praktiskais uzdevums ir sasaistīt juridisko tvērumu, pakalpojumu riskus, ieviešanas prioritātes un pārskatītus pierādījumus. Šī sasaiste dod vadībai pamatu lēmumiem par investīcijām, darbības traucējumiem, piegādātājiem un neatrisinātu apdraudējumu.

Nosakiet, kuras vienības un pakalpojumi ir aptverti

NIS2 direktīva nosaka ES kiberdrošības bāzes līmeni noteiktās darbībās. Tās 2. un 3. pants kopā ar pielikumiem nosaka direktīvas tvērumu un klasifikācijas struktūru. Nacionālie īstenošanas tiesību akti nosaka piemērojamos vietējos pienākumus un procedūras.

Novērtējiet katru attiecīgo juridisko personu, nevis uzskatiet grupas nosaukumu par regulējuma robežu. Meitasuzņēmuma darbības, īpašumtiesību attiecības un uzņēmējdarbības vietas var mainīt atbildi. Vadībai būtu jāpieprasa reģistrēts secinājums, pamatojošie fakti un atbildīgais par neatrisinātajiem jautājumiem.

Salīdziniet darbības ar uzskaitītajiem vienību veidiem

I pielikumā ietilpst tādas nozares kā enerģētika, transports, veselība, ūdens, finanšu pakalpojumi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, valsts pārvalde un kosmoss. II pielikums paplašina tvērumu uz jomām, tostarp pasta pakalpojumiem, atkritumu apsaimniekošanu, ķīmiskajām vielām, pārtiku, noteiktām ražošanas darbībām, digitālo pakalpojumu sniedzējiem un pētniecību.

Nozares virsraksts ir tikai sākumpunkts. Izlasiet attiecīgajā ierakstā norādītos vienību veidus un darbības. Ražošana nav universāla iekļaušanas kategorija, un programmatūras pārdošana pati par sevi nepadara uzņēmumu par mākoņpakalpojumu sniedzēju vai pārvaldītu pakalpojumu sniedzēju.

Aprakstiet, ko vienība faktiski nodrošina: pakalpojumu, tā saņēmējus, tā darbības veidu un to, vai tā administrē klientu sistēmas. Komercreģistra kodi un tīmekļvietnes apraksti var atbalstīt šo analīzi, taču tiem nevajadzētu to aizstāt.

Piemēram, licencētas lietotnes pārdošana un klienta informācijas sistēmu darbināšana ir dažādas darbības. Uzņēmums, kas sevi raksturo kā konsultāciju uzņēmumu, tomēr var sniegt pastāvīgu administrēšanu, kas jāizvērtē atbilstoši pārvaldīto pakalpojumu definīcijām. Atrisiniet šādus jautājumus, pirms veidojat atbilstības robežu.

Aprēķiniet lielumu pēc piemērojamajiem noteikumiem

Direktīvas 2. pantā izmantota ES uzņēmuma lieluma definīcija. Sākotnējai atlasei var vienkāršoti pieņemt, ka vispārējais iekļaušanas slieksnis ir 50 vai vairāk darbinieku vai arī gan apgrozījums, gan bilances kopsumma, kas pārsniedz 10 miljonus EUR. Vispārīgi runājot, vidējā uzņēmuma robežu pārsniegšana nozīmē vismaz 250 darbiniekus vai apgrozījumu virs 50 miljoniem EUR kopā ar bilances kopsummu virs 43 miljoniem EUR.

Šie skaitļi neaizstāj pilnu aprēķinu. Rezultātu var ietekmēt attiecīgie pārskata periodi, darbinieku skaita aprēķināšanas metodika un partneruzņēmumi vai saistītie uzņēmumi. Vietējā mērogā mazs meitasuzņēmums var pārsniegt slieksni, tiklīdz tiek ņemtas vērā attiecīgās īpašumtiesību attiecības.

Saglabājiet aprēķinu, pamatā esošos skaitļus un argumentāciju par grupas attiecībām. Izvairieties reģistrēt tikai „vidējs uzņēmums”, nepaskaidrojot, kā šis secinājums iegūts. Apgrozījums vien nav pilnīga finanšu alternatīva darbinieku skaitam.

Ja lielums ir tuvu robežai vai īpašumtiesību struktūra ir sarežģīta, pasūtiet konkrētu juridisko novērtējumu. Šīs nenoteiktības novēršanas izmaksas būtu jāuzskata par daļu no darbības prasību noteikšanas, nevis jāatliek līdz brīdim, kad secinājumu apstrīd iestāde vai klients.

Izvērtējiet īpašos iekļaušanas un klasifikācijas noteikumus

Dažas pakalpojumu kategorijas var tikt iekļautas neatkarīgi no lieluma. 2. pants attiecas uz noteiktām sakaru, uzticamības, DNS un augstākā līmeņa domēnu darbībām, atsevišķām valsts pārvaldes struktūrām un vienībām, kas atzītas par kritiskām saskaņā ar attiecīgo ES regulējumu. Arī nacionālā identificēšana var iekļaut vienības tvērumā to sabiedriskās nozīmes vai darbības traucējumu seku dēļ.

Pēc tam 3. pants nosaka, vai aptvertā vienība ir būtiska vai svarīga. Lielas I pielikuma vienības veido vienu nozīmīgu būtisko vienību kategoriju, taču pantā ir papildu pakalpojumiem specifiski un noteikšanas noteikumi. Vidēja lieluma I pielikuma uzņēmums nav automātiski būtisks; pielikumi nav vienkārši divi uzraudzības līmeņu saraksti.

Abām klasifikācijām ir saistoši galvenie drošības riska pārvaldības un ziņošanas par būtiskiem incidentiem pienākumi. Svarīgas vienības statuss maina uzraudzības modeli; tas neatceļ nepieciešamību pēc efektīviem pasākumiem.

Tiešais juridiskais tvērums un klientu prasības būtu jāreģistrē atsevišķi. Mazāks piegādātājs var būt ārpus tiešā tvēruma, vienlaikus saskaroties ar ievērojamiem līgumiskiem drošības pienākumiem. Un otrādi: klienta anketa, kurā teikts „NIS2 ir piemērojama”, nav autoritatīvs klasifikācijas lēmums.

Pamatotā tvēruma ierakstā būtu jāietver:

• Juridiskā persona un tās faktiskie pakalpojumi.
• Attiecīgie pielikumu ieraksti vai īpašie iekļaušanas pamati.
• Lieluma aprēķins un attiecīgās īpašumtiesību attiecības.
• Būtiskas vai svarīgas vienības klasifikācija ar pamatojumu.
• Uzņēmējdarbības vietas un jurisdikcijas analīze.
• Piemērojamie nacionālie noteikumi, pārskatītājs, apstiprināšanas datums un atvērtie jautājumi.

Atkārtotas izvērtēšanas iemesliem būtu jāietver iegādes, jauni pakalpojumi, būtiskas lieluma izmaiņas un likumdošanas attīstība. Lēmums par izslēgšanu var būt pamatots tā pieņemšanas brīdī un vēlāk novecot.

Pārveidojiet ES bāzes līmeni nacionālajos pienākumos

NIS2 ir direktīva, ko īsteno ar nacionālajiem tiesību aktiem. Dalībvalstīm ES transponēšanas termiņš bija 2024. gada 17. oktobris, un īstenošanas pasākumi bija jāpiemēro no 2024. gada 18. oktobra. Šie datumi atsevišķam uzņēmumam nepasaka tā pašreizējo nacionālās reģistrācijas termiņu vai procedūru, kas tam jāizmanto.

Izveidojiet pienākumu reģistru katrai attiecīgajai vienībai un valstij. Nosakiet piemērojamos tiesību aktus, iestādi, reģistrācijas procesu, ziņošanas kanālu, nozarei specifiskos noteikumus un atbildīgo iekšējo īpašnieku. Nošķiriet tiesību aktā noteiktu prasību no iestādes vadlīnijām vai iekšējas ieviešanas rekomendācijas.

Nosakiet jurisdikciju, pirms izvēlaties ziņošanas kanālu

Direktīvas 26. pants jurisdikciju parasti saista ar uzņēmējdarbības vietu, taču uz atsevišķiem pakalpojumiem attiecas citi noteikumi. Publisko elektronisko sakaru pakalpojumu sniedzējus regulē tur, kur tie sniedz attiecīgos pakalpojumus. Noteiktiem digitālo pakalpojumu sniedzējiem piemēro galvenās uzņēmējdarbības vietas pieeju, tostarp mākoņpakalpojumu, datu centru, satura piegādes, pārvaldīto pakalpojumu, pārvaldīto drošības pakalpojumu un atsevišķiem tiešsaistes platformu un ar domēniem saistītiem uzņēmumiem.

Šim galvenās uzņēmējdarbības vietas novērtējumam izvērtējiet, kur Savienībā pārsvarā tiek pieņemti lēmumi par kiberdrošības riska pārvaldību. Ja šo vietu nevar noteikt vai šie lēmumi netiek pieņemti Savienībā, izvērtējiet, kur Savienībā tiek veiktas kiberdrošības darbības; ja arī to nevar noteikt, izmantojiet Savienības uzņēmējdarbības vietu ar lielāko darbinieku skaitu. Tāpēc mātessabiedrības juridiskā adrese var nebūt pietiekama.

Atsevišķiem pakalpojumu sniedzējiem, kas piedāvā pakalpojumus Savienībā bez uzņēmējdarbības vietas ES, ir jāieceļ pārstāvis ES. Ārvalstu galvenā mītne nav automātisks izņēmums, taču arī Eiropas klienti automātiski neiekļauj tvērumā katru ārpus ES esošu uzņēmumu. Joprojām nozīme ir pakalpojuma veidam un citiem piemērojamības nosacījumiem.

Reģistrējiet reģistrācijas un vienības informācijas pienākumus atsevišķi no drošības programmas. Saglabājiet iesniegšanas apliecinājumus, aktuālu kontaktinformāciju un atbildību par atjauninājumiem. Ja reģistrācija ir nokavēta, pārliecinieties par iestādes pašreizējo procesu un rīkojieties nekavējoties. Reģistrācijas pabeigšana nepierāda drošības pasākumu ieviešanu.

Nošķiriet KRITIS un nozarei specifiskos pienākumus

Darbībām Vācijā pārbaudiet KRITIS prasības līdztekus piemērojamajiem NIS2 īstenošanas noteikumiem. Abi režīmi pārklājas, taču nav identiski. NIS2 tvērums automātiski nepadara katru objektu par kritisku iekārtu, un izveidota KRITIS programma automātiski neizpilda katru NIS2 pienākumu.

Uzturiet atsevišķus ierakstus par vienības klasifikāciju, kritiskajām iekārtām un papildu pienākumiem. Aktuālo nacionālo procesu skatiet BSI informācijā par NIS2, nevis paļaujieties uz veciem paziņojumiem par termiņiem.

Direktīvas 4. pants attiecas arī uz līdzvērtīgām nozarei specifiskām ES prasībām. Aptvertajām finanšu vienībām attiecīgās jomas var regulēt DORA. Nosakiet, kuri pienākumi attiecas uz konkrēto vienību un pakalpojumu, nevis pēc noklusējuma uzturiet dublējošus ziņošanas ceļus.

Izveidojiet vadības pārziņā esošu plānu

Direktīvas 20. pants uzliek būtisko un svarīgo vienību vadības struktūrām pienākumu apstiprināt pasākumus un uzraudzīt to īstenošanu. Tas paredz arī atbildību par 21. panta pārkāpumiem; juridiskās sekas ir atkarīgas no nacionālajiem tiesību aktiem un vienības juridiskās formas.

Īstenošanu var deleģēt drošības, IT, darbības, iepirkumu un citām komandām. Deleģēšanai būtu jāsaglabā redzama vadības uzraudzība. Izpilddirektora uzdevums nav konfigurēt sistēmas, bet gan nodrošināt, ka attiecībā uz būtiskiem pakalpojumu riskiem tiek pieņemti informēti lēmumi, piešķirti resursi un nodrošināta to izpilde.

Apstipriniet lēmumus, nevis tikai dokumentus

Apstiprināšanas paketei būtu jāsasaista riska novērtējums ar izpildāmu plānu. Iekļaujiet aptvertos pakalpojumus, galvenos darbības traucējumu scenārijus, ierosinātos pasākumus, alternatīvas, ieviešanas atkarības, personāla vajadzības, starpposma mērķus un sagaidāmos pierādījumus.

Katram pienākumam reģistrējiet ieviešanu, īpašnieku, pierādījumus, nepilnību un nākamo lēmumu. Tas ļauj nošķirt apstiprinātu nodomu no pabeigtas spējas. Tas arī atklāj pasākumus, kuriem nav atbildīga īpašnieka vai kuri ir atkarīgi no resursiem, kas nekad netika piešķirti.

Vadības sēžu protokolos būtu jāizskaidro lēmums un tā pamatojums. Piemēram, apstiprinot investīciju atjaunošanā, būtu jāreģistrē, kuru pakalpojuma pārtraukumu tā novērš, sagaidāmais atjaunošanas rezultāts un darbības ierobežojumi. Paraksts uz politikas nepaskaidro, vai vadība ir izvērtējusi aiz tās esošo ieviešanas problēmu.

Budžeta diskusijās būtu jāietver iekšējā kapacitāte un uzņēmējdarbības pārtraukumi, nevis tikai programmatūras izdevumi. Tīkla izmaiņām var būt nepieciešams ražošanas vides pārtraukums; piegādātāja pārskatīšanai var būt vajadzīgas juridiskas sarunas; atjaunošanas testam var būt nepieciešama izolēta vide un darbības personāls.

Īpaša uzmanība jāpievērš riska pieņemšanai. Tā var dokumentēt apstrādes lēmumu riska pārvaldības procesā, taču tā nevar atcelt juridisku prasību. Ja izņēmums varētu būt pretrunā ar pienākumu, saņemiet juridisku interpretāciju, nosakiet pagaidu aizsardzību un saglabājiet neatrisināto jautājumu redzamu.

Nošķiriet ieviešanas progresu no kontroles efektivitātes

Projekts var pabeigt pasākuma ieviešanu, nesasniedzot paredzēto aizsardzību. Ziņojumiem vadībai būtu jāatbild gan uz jautājumu, vai apstiprinātais darbs ir pabeigts, gan uz jautājumu, vai tas darbojas visā attiecīgā pakalpojuma robežās.

Nosakiet programmai samērīgu pārskatīšanas biežumu. Stabilai darbībai var būt praktiski ceturkšņa vadības pārskati, bet ieviešanas laikā – biežāki pārskati. Tā ir rekomendācija, nevis 20. pantā noteikts universāls biežums.

Definējiet eskalāciju starp sanāksmēm. Neveiksmīgs atjaunošanas tests, kompromitēts priviliģētais konts vai jaunatklāta kritiska atkarība nedrīkst gaidīt nākamo plānoto prezentāciju.

Padariet vadības apmācību nozīmīgu lēmumiem

Direktīvas 20. pants nosaka, ka vadības struktūru locekļiem jāapgūst apmācība, kas ir pietiekama, lai palīdzētu viņiem identificēt riskus, novērtēt riska pārvaldības praksi un izprast sekas pakalpojumiem. Tas nenosaka vienu universālu kursa ilgumu vai atjaunošanas intervālu.

Apmācībā būtu jāaptver incidentu būtiskums, kompromisi atjaunošanā, piegādātāju koncentrācija, pierādījumu ierobežojumi un lēmumi nenoteiktības apstākļos. Iekļaujiet scenāriju, kurā vadītājiem ir jāpilnvaro ziņojums, jāierobežo darbība vai jāfinansē steidzama apstrāde.

Saglabājiet datumus, dalībniekus, saturu un turpmākās darbības. Darbinieku apmācība ir aplūkota arī 21. pantā, taču darbinieku izpratnes sesijas neaizstāj pašas vadības apmācību. Vadībai būtu jāspēj apšaubīt apgalvojumus par pārliecību, nekļūstot par tehniskiem speciālistiem.

Pārvērtiet 21. pantu pakalpojumu līmeņa pasākumos

Direktīvas 21. pants prasa samērīgu tehnisko, darbības un organizatorisko aizsardzību. Samērīguma novērtējumā ņem vērā pakļautību riskam, organizācijas lielumu, ieviešanas izmaksas un incidentu iespējamību un smagumu, tostarp plašāku sabiedrisko un ekonomisko ietekmi.

Prasītā pieeja aptver apdraudējumus, kas pārsniedz ļaunprātīgas kiberdarbības. Elektroapgādes pārtraukums, plūdi, fiziska ielaušanās, nepieejams personāls un traucēti telekomunikāciju pakalpojumi var apdraudēt vienu un to pašu pakalpojumu.

Turpmākie ieviešanas piemēri ir praktiskas rekomendācijas. Tie izskaidro desmit tematiskās jomas, nenosakot identisku tehnisko risinājumu katrai vienībai. Uz atsevišķiem digitālajiem pakalpojumiem attiecas arī detalizētākas ES īstenošanas prasības; pirms paļaujaties tikai uz augsta līmeņa kontrolsarakstu, pārbaudiet to piemērojamību.

Riska analīze un sistēmu drošības politikas

Sāciet ar pakalpojumu: kam jāturpina darboties, kas no tā ir atkarīgs un ko nozīmētu traucējumi. Pirms riska novērtējumu piešķiršanas kartējiet atbalsta sistēmas, objektus, cilvēkus un ārējos pakalpojumu sniedzējus.

Izmantojiet ietekmes kritērijus, kas nošķir finansiālus zaudējumus no drošuma, kaitējuma pakalpojuma saņēmējiem un plašākiem traucējumiem. Reģistrējiet scenārijus, esošo aizsardzību, ierosināto apstrādi, atlikušo apdraudējumu un atkārtotas novērtēšanas iemeslus. Vispārīgs kiberdraudu saraksts ir mazāk noderīgs nekā skaidrojums, kā konkrēta atkarība var pārtraukt pakalpojumu.

Rezultāts ir riska novērtējums, kas atbalsta lēmumus, un politikas, kas apraksta, kā šie lēmumi kļūst par darbības prasībām.

Incidentu pārvaldība

Definējiet atklāšanu, šķirošanu, eskalāciju, ierobežošanu, izmeklēšanu, atjaunošanas koordinēšanu un slēgšanu. Ieceliet koordinatoru un aizvietotājus un nodrošiniet reaģētājiem lietojamas procedūras iespējamākajiem incidentiem.

Darbības smagums un būtiskums tiesību aktu izpratnē ir saistīti, taču atšķirīgi. Steidzama tehniska incidenta gadījumā var būt nepieciešama ierobežošana, pirms ir noskaidrots, vai par to jāziņo saskaņā ar tiesību aktiem. Procesam jāatbalsta abas darbības, neļaujot vienai bloķēt otru.

Saglabājiet incidentu laika grafikus, lēmumus, attiecīgos pierādījumus un korektīvās darbības. Pārskatiet, vai saskaņotie uzlabojumi ir ieviesti; gūto atziņu dokuments bez turpmākas izpildes sniedz vāju pārliecību.

Darbības nepārtrauktība, rezerves kopijas, atjaunošana un krīžu pārvaldība

Izmantojiet ietekmes uz uzņēmējdarbību analīzi, lai identificētu būtiskās darbības un pieļaujamos traucējumus. Saskaņojiet atjaunošanas laika mērķus un atjaunošanas punkta mērķus ar pakalpojumu īpašniekiem. Pirmie attiecas uz atjaunošanas laiku, otrie – uz pieļaujamo datu zudumu.

Ieraksti par rezerves kopēšanas pabeigšanu ir noderīgi, taču tie nepierāda, ka pakalpojumu var atjaunot. Testējiet atjaunošanu, atbalsta identitātes, atslēgas, saskarnes un lietojamus datus. Pārbaudiet, vai atjaunotās sistēmas spēj atbalstīt faktisko uzņēmējdarbības darba plūsmu.

Krīzes pasākumiem jāaptver darbības lēmumi un komunikācija, ne tikai tehniskā atjaunošana. Reģistrējiet testu rezultātus, nesasniegtos mērķus, darbības un vadības lēmumus par atlikušo apdraudējumu.

Attiecības ar piegādātājiem

Identificējiet tiešos piegādātājus, kuru darbības pārtraukums vai kompromitēšana varētu būtiski ietekmēt pakalpojumu. Ņemiet vērā administratīvo piekļuvi, sensitīvu informāciju, programmatūras atkarības un pieejamību.

Novērtējiet faktisko attiecību nozīmi drošībai, tostarp piegādātājam specifiskās ievainojamības un produktu vai izstrādes praksi. Sasaistiet konstatējumus ar piekļuves kontroli, līgumiskajiem nosacījumiem, rezerves plāniem un pārskatīšanas iemesliem.

Piegādātāja sertifikāts var atbalstīt novērtējumu. Tas automātiski neaptver jūsu iegādāto pakalpojumu, tā konfigurāciju vai jūsu integrācijas pienākumus.

Iegāde, izstrāde, uzturēšana un ievainojamības

Nosakiet drošības pieņemšanas kritērijus iepirkumiem un jaunām sistēmām. Definējiet atbildību par drošu izstrādi, konfigurāciju, izmaiņām, uzturēšanu, atjauninājumiem un saņemtajiem ziņojumiem par ievainojamībām.

Izsekojiet būtiskas ievainojamības cauri novērtēšanai, apstrādei, izņēmumu pārvaldībai un pārbaudei. Novēršanas prioritātēm jāatspoguļo izmantošanas potenciāls un sekas pakalpojumam, nevis tikai skaitlisks smaguma vērtējums.

Darbības tehnoloģijām pirms ielāpu uzstādīšanas var būt nepieciešama ražotāja validācija un plānoti pārtraukumi. Dokumentējiet pagaidu aizsardzības pasākumus un apstrādes grafiku. „Nevar uzstādīt ielāpu” ir ierobežojums, kas jāpārvalda, nevis pilnīgs riska lēmums.

Efektivitātes novērtēšana

Svarīgiem pasākumiem definējiet jautājumu, uz kuru testam jāatbild. Piekļuves pārskatīšana pārbauda pilnvarojumu; atjaunošanas mācības pārbauda atjaunošanu; incidenta simulācija pārbauda koordināciju un lēmumu pieņemšanu.

Reģistrējiet testēto tvērumu, sagaidāmo rezultātu, metodi, pārskatītāju, konstatējumus un reakciju uz neveiksmi. Izmantojiet neatkarīgu pārliecību, ja tā sniedz pievienoto vērtību vai to prasa piemērojamie noteikumi.

Direktīvas 21. pants prasa efektivitātes novērtēšanu, taču neuzliek katrai aptvertajai organizācijai vienu ielaušanās testēšanas biežumu. Testēšanai jāatbilst pārliecības vajadzībai un visām attiecīgajām detalizētajām prasībām.

Kiberhigiēna un darbinieku apmācība

Sniedziet darbiniekiem praktiskas instrukcijas par ziņošanu par aizdomīgām darbībām, akreditācijas datu aizsardzību, informācijas apstrādi un drošu darbu. Pievienojiet lomai specifisku saturu izstrādātājiem, administratoriem, iepirkumu personālam un reaģētājiem.

Apmācību apmeklējums parāda dalību, bet ne obligāti spēju rīkoties. Mācības un novērotā rīcība var atklāt neskaidras instrukcijas vai vājus eskalācijas ceļus.

Izmantojiet konstatējumus procedūru uzlabošanai. Ja darbinieki pareizi ziņo par aizdomīgiem ziņojumiem, bet saņēmēja komanda reaģē lēni, tā paša izpratnes kursa atkārtošana neatrisinās pamatproblēmu.

Kriptogrāfija

Definējiet, kurai informācijai un darba plūsmām nepieciešama kriptogrāfiskā aizsardzība, tostarp attiecīgajiem pārsūtāmajiem un glabātajiem datiem. Nosakiet atslēgu un sertifikātu īpašniekus, atjaunošanu, atsaukšanu, piekļuvi un atkopšanu.

Pierādījumos būtu jāietver konfigurācijas lēmumi un atslēgu pārvaldības kārtība, nevis tikai apgalvojums, ka šifrēšana pastāv. Aizsardzība var izgāzties, ja šifrētās rezerves kopijas ir atkarīgas no nepieejamām atslēgām vai ja piekļuve atslēgām nav pienācīgi ierobežota.

Uzturiet pamatotus izņēmumus un pārskatiet tos, kad mainās sistēmas vai riski. Neuzskatiet tādu plašu apgalvojumu kā „viss ir šifrēts” par pietiekamu pārliecību.

Cilvēki, piekļuve un aktīvi

Sasaistiet pieņemšanu darbā, lomu maiņu un aiziešanu ar lēmumiem par piekļuvi. Identificējiet biznesa īpašniekus, administratorus, ārējos kontus, pakalpojumu identitātes un attiecīgos aktīvus.

Pārskatiet priviliģēto piekļuvi un noņemiet atļaujas, kas vairs nav pamatotas. Iekļaujiet novērtējumā koplietojamos vai ne-cilvēku kontus, nevis ierobežojiet to ar darbinieku lietotāju sarakstiem.

Pierādījumi var ietvert apstiprinātus pieprasījumus, izlases veidā pārbaudītus darba attiecību izbeigšanas ierakstus, pabeigtas piekļuves pārskatīšanas un atrisinātus izņēmumus. Aktīvu uzskaitei būtu jāizskaidro īpašumtiesības un pakalpojumu atkarības, nevis tikai jāsaskaita ierīces.

Autentifikācija un droša saziņa

Direktīvas 21. pants attiecas uz stiprāku autentifikāciju un aizsargātu saziņu, tostarp ārkārtas kārtību, ar piemērotības nosacījumu.

Kā praktisku prioritāti izvērtējiet priviliģēto un attālināto piekļuvi kritiskiem pakalpojumiem. Identificējiet mantoto sistēmu ierobežojumus un izvērtējiet aizsardzības alternatīvas, nevis pieņemiet, ka katra sistēma atbalsta vienu un to pašu mehānismu.

Testējiet arī krīzes saziņu, kad ierastais e-pasts, sadarbības rīki vai identitātes pakalpojumi nav pieejami. Ārkārtas procedūra, kas pilnībā atkarīga no platformas, kura ir izgāzusies, var būt nelietojama tieši tad, kad tā ir vajadzīga.

Padariet lēmumus par kritiskajiem piegādātājiem skaidrus

Piegādes ķēdes drošība bieži kļūst par vadības jautājumu, jo iepirkumi nevar novērst katru atkarību ar anketas palīdzību. Sāciet ar darbības pārtraukuma sekām: vai šis piegādātājs var pārtraukt piegādi, ieviest neatļautas izmaiņas, atklāt informāciju vai novērst atjaunošanu?

Kritiskajiem tiešajiem piegādātājiem reģistrējiet atbalstīto pakalpojumu, piešķirto piekļuvi, novērtējuma īpašnieku, pārskatīto pārliecību, neatrisinātos konstatējumus un apstrādes lēmumus. Pārbaudiet pārliecības dokumentu tvērumu un periodu. Ziņojums, kas aptver citu pakalpojumu vai agrāku darbības modeli, var neatbildēt uz pašreizējo jautājumu.

Līguma sarunās būtu jārisina attiecību riski. Praktiskie temati ietver drošības pienākumus, saziņu par incidentiem, sadarbību izmeklēšanā, ievainojamību pārvaldību, piekļuves ierobežojumus, pierādījumu pieejamību, darbības nepārtrauktību un atbalstu sadarbības izbeigšanai. Tie ir ieteicami sarunu temati, nevis identiskas tiesību aktos noteiktas klauzulas katram līgumam.

Piegādātāju paziņošanas kārtībai būtu jāatbalsta jūsu ziņošanas grafiks. Pārliecinieties par operatīvajiem kontaktiem un aizvietotājiem; klientu vadītāja parastā darba laika e-pasta kastīte nopietna incidenta gadījumā var būt nepietiekama.

Direktīvas 21. pants īpaši attiecas uz tiešajām attiecībām. Tālākas piegādes ķēdes atkarības joprojām var būt nozīmīgas, ja tās rada koncentrācijas risku vai apdraud atjaunošanu. Izpētiet dziļāk, ja tas maina lēmumu, nevis mēģiniet izveidot neierobežotu katra piegādātāja piegādātāju uzskaiti.

Ja pārliecība joprojām ir nepietiekama, vadība var ierobežot piekļuvi, pastiprināt uzraudzību, vienoties par uzlabojumiem, ieviest alternatīvas, pārveidot atkarību vai nomainīt pakalpojumu sniedzēju. Reģistrējiet pamatojumu un pagaidu pasākumus. Pakalpojumu sniegšanas ārpakalpojums neatceļ atbildību par vienības pašas riska pārvaldības programmu.

Izmēģiniet ziņošanu par būtiskiem incidentiem

Direktīvas 23. pants nosaka ziņošanu par būtiskiem incidentiem. Incidents ir būtisks, ja tas rada vai var radīt smagus pakalpojumu darbības traucējumus vai finansiālus zaudējumus vienībai vai ievērojamu materiālu vai nemateriālu kaitējumu citām fiziskām vai juridiskām personām. Pirms lēmumu pieņemšanas procesa izstrādes pārliecinieties par piemērojamajiem nacionālajiem un nozarei specifiskajiem būtiskuma noteikumiem.

Termiņš ir saistīts ar uzzināšanu par būtisku incidentu, nevis ar kriminālistikas analīzes pabeigšanu. Reģistrējiet, kad kļuva pieejama attiecīgā informācija, būtiskuma novērtējumu un to, kas pieņēma lēmumu. Neveidojiet mākslīgi vēlāku uzzināšanas laiku, aizkavējot iekšējo eskalāciju.

Uzticamības pakalpojumu sniedzējiem ir īpašs 24 stundu paziņošanas noteikums attiecībā uz būtiskiem incidentiem, kas ietekmē to uzticamības pakalpojumus. Gan būtiskām, gan svarīgām vienībām ir pakāpeniski ziņošanas pienākumi; svarīgas vienības klasifikācija neatceļ agrīno brīdinājumu.

Izstrādājiet pilnvaras un piekļuvi lietošanai ārpus darba laika

Nosauciet novērtēšanas vadītāju, pilnvaroto iesniedzēju, aizvietotāju, juridisko kontaktpersonu un vadības eskalācijas ceļu. Vienojieties, kā tiks apstiprināta provizoriskā informācija. Vadībai nepieciešama pārskatāmība, nekļūstot par neizbēgamu šķērsli katrai iesniegšanai.

Sagatavojiet veidnes, kurās nošķirti apstiprināti fakti, provizoriski novērtējumi, nezināmie apstākļi un plānotie atjauninājumi. Izvairieties no nepamatotas atbildības piedēvēšanas vai solījumiem par atjaunošanu. Agrīnajai ziņošanai jābūt precīzai attiecībā uz nenoteiktību, nevis mākslīgi pilnīgai.

Testējiet piekļuvi ziņošanas kanālam, akreditācijas datus, kontaktinformāciju un rezerves risinājumus. Ja iesniedzējs ir atkarīgs no kompromitēta uzņēmuma identitātes pakalpojuma, procesam nepieciešama alternatīva.

Izspēlējiet vakara vai nedēļas nogales scenāriju. Izmēriet laiku, kas nepieciešams, lai atpazītu iespējamo būtiskumu, sapulcinātu vajadzīgos cilvēkus, sagatavotu brīdinājumu, to pilnvarotu un piekļūtu kanālam. Saglabājiet šo darbību saistītu ar ierobežošanu un atjaunošanu, vienlaikus piesaistot pietiekami daudz cilvēku, lai ziņošana neaizņemtu visu reaģēšanas komandu.

Direktīvas 23. pants attiecas arī uz saziņu ar pakalpojumu saņēmējiem, ja tas ir lietderīgi. Līgumi un citi tiesību akti var radīt papildu paziņošanas pienākumus. Personas datu aizsardzības pārkāpumam nepieciešams atsevišķs VDAR novērtējums; NIS2 iesniegums to automātiski neizpilda. Koordinējiet faktus, vienlaikus saglabājot atsevišķus lēmumus un termiņus.

Uzturiet pierādījumus, kas izskaidro, kas darbojas

Politikas, sertifikāti, līgumi ar piegādātājiem un reģistrācijas apliecinājumi var atbalstīt gatavību. Tomēr pierādījumiem joprojām jāparāda, kas darbojas piemērojamajā tvērumā.

Nošķiriet izstrādi, ieviešanu un darbību. Piekļuves politika apraksta paredzēto rīcību. Konfigurācijas pierādījumi parāda ieviešanu. Pabeigta piekļuves pārskatīšana, kas uzrāda noņemtas atļaujas un atrisinātus izņēmumus, pierāda darbību. Šie ieraksti atbild uz dažādiem jautājumiem, un tos nevajadzētu uzskatīt par savstarpēji aizstājamiem.

Katram pierādījumam saglabājiet tā avotu, tvērumu, datumu vai periodu, īpašnieku, pārskatītāju, secinājumu un ierobežojumus. Veiksmīgs vienas lietotnes atjaunošanas tests nepierāda visas vides atjaunojamību. Ekrānuzņēmums var parādīt vienu konfigurāciju vienā brīdī, nevis ilgstošu darbību.

Aizsargājiet sensitīvus pierādījumus. Incidentu žurnāli, arhitektūras diagrammas un piekļuves eksporti var atklāt operatīvu vai personisku informāciju. Nosakiet atbilstošu piekļuves, glabāšanas un ārējas kopīgošanas kārtību.

Pierādījumu nepilnībām jākļūst par darba uzdevumiem. „Nav nesena testa”, „neskaidrs piegādātāja tvērums” un „īpašnieks nav pārskatījis eksportu” ir atšķirīgas problēmas, kurām nepieciešamas dažādas darbības. Dokumentu skaits tās neatklāj.

Izmantojiet atkārtoti esošo ISMS un KRITIS darbu

ISO 27001 ISMS var nodrošināt riska novērtējuma, apstrādes, politiku, audita, vadības pārskata un darbības ierakstus. Salīdziniet tā sertificēto robežu ar vienībām un pakalpojumiem, uz kuriem attiecas nacionālie NIS2 noteikumi.

Uzņēmuma IT sertifikācija var izslēgt ražošanas sistēmas, pārvaldītu pakalpojumu vai iegādātu uzņēmumu. Izmantojiet atkārtoti attiecīgās kontroles un pierādījumus, pēc tam skaidri risiniet klasifikāciju, reģistrāciju, ziņošanu saskaņā ar tiesību aktiem un vadības apmācību. Mūsu NIS2 un ISO 27001 ceļvedis izskaidro, kā esošais ISMS darbs var atbalstīt šo procesu.

NIS2 neievieš vispārēju ES atbilstības sertifikātu. Sertifikācija atbalsta pārliecību savā tvērumā; tā neatrisina katru juridisko pienākumu. Piemērojiet tās pašas atbilstības pārbaudes esošajiem KRITIS pierādījumiem, nevis pieņemiet, ka iepriekšēja akceptēšana aptver pašreizējos pienākumus.

Praktisks piemērs: attālinātā apkope un ražošanas atjaunošana

Aplūkosim ilustratīvu Vācijas ražotāju ar 180 darbiniekiem, kas ražo iekārtas II pielikumā uzskaitītās ražošanas darbības ietvaros. Pieņemsim, ka pārskatīts aprēķins apstiprina vidēja uzņēmuma statusu, nacionālā analīze apstiprina svarīgas vienības klasifikāciju un atsevišķs novērtējums nekonstatē KRITIS kritiskās iekārtas statusu. Šie pieņēmumi attiecas tikai uz piemēru, nevis ir noteikums katram šāda lieluma ražotājam.

Pirmais ieviešanas fokuss ir ražošanas plānošana vienā rūpnīcā. Atkarības ietver ERP lietotni, rūpnieciskos kontrolierus, identitātes pakalpojumus, rezerves kopijas un apkopes piegādātāju ar attālināto piekļuvi. Juridiskā tvēruma novērtējums joprojām aptver vienības attiecīgos pienākumus ārpus šī sākotnējā pakalpojuma.

Pārskatīšanā tiek konstatētas trīs savstarpēji saistītas nepilnības. Piegādātāja tehniķi izmanto kopīgu priviliģēto kontu. Rezerves kopēšanas uzdevumi tiek pabeigti, taču neviens nesens atjaunošanas tests neietver plānošanas lietotnes identitātes atkarību. Incidentu procedūrā nosaukts ziņojuma īpašnieks bez aizvietotāja, kas būtu pilnvarots iesniegt ziņojumu.

Vadība pieprasa iespējas, nevis apstiprina trīs izolētus politiku atjauninājumus. Darbības komanda ierosina vārdā nosauktu, laikā ierobežotu piegādātāja piekļuvi caur kontrolētu attālinātās piekļuves ceļu. IT ierosina pakalpojuma atjaunošanas mācības atbilstoši uzņēmējdarbības apstiprinātiem mērķiem. Drošības un juridiskā komanda ierosina aizvietotāja ziņošanas pilnvaras un izmēģinājumu ārpus darba laika.

Tikai plānošanas nolūkā pieņemsim sešas nedēļas un plānotu apkopes logu. Vadība apstiprina personāla kapacitāti, pārtraukumu kārtību un pagaidu piegādātāja piekļuves ierobežojumus. Lēmuma ierakstā izskaidrotas sekas pakalpojumam, kāpēc izvēlēti attiecīgie apstrādes pasākumi un kādi pierādījumi apliecinās to pabeigšanu.

Piekļuves darbs rada konfigurācijas ierakstus, piegādātāja apstiprinājumu un pārskatu, kas apstiprina kopīgā konta likvidēšanu. Atjaunošanas mācībās dati tiek atjaunoti, taču saskaņotais pakalpojuma atjaunošanas laiks netiek sasniegts, jo autentifikāciju nevar savlaicīgi atjaunot. Šis konstatējums paliek atvērts: veiksmīgi rezerves kopēšanas uzdevumi neatsver neizdevušos pakalpojuma rezultātu.

Pēc tam vadība lemj, vai uzlabot identitātes atjaunošanas kārtību, mainīt arhitektūru vai pieņemt citu darbības rezerves plānu. Jebkuram pārskatītam atjaunošanas mērķim nepieciešams uzņēmējdarbības pamatojums, un tam jāpaliek saskaņā ar piemērojamajiem pienākumiem.

Ziņošanas izmēģinājumā atklājas, ka aizvietotājs iesniedzējs nevar patstāvīgi piekļūt ziņošanas kanālam. Komanda novērš piekļuves atkarību un to testē atkārtoti. Gatavība uzlabojas ar pārbaudītām izmaiņām un pārskatītiem lēmumiem, nevis ar paziņojumu, ka pārskatītās procedūras ir pabeigtas.

Precīzi izprotiet uzraudzību un sekas

Direktīvas 32. un 33. pants nošķir uzraudzības pieejas. Būtiskām vienībām var piemērot proaktīvas pārbaudes un audita pilnvaras. Svarīgām vienībām piemēro ex post uzraudzību, ja informācija liecina par iespējamu neatbilstību. Nevienai no tām nevajadzētu uzskatīt incidenta vai iestādes pieprasījuma neesamību par gatavības pierādījumu.

Par 21. vai 23. panta pārkāpumiem 34. pants prasa, lai nacionālie maksimālie sodi sasniegtu vismaz šādus līmeņus: būtiskām vienībām – lielākā no summām 10 miljoni EUR un 2 % no attiecīgā uzņēmuma kopējā gada apgrozījuma pasaulē; svarīgām vienībām – lielākā no summām 7 miljoni EUR un 1,4 %. Tie ir nacionālo sodu maksimālo robežu minimālie līmeņi, nevis standarta naudas sodu apmēri vai universāli fiksēti griesti.

Iestādēm ir arī korektīvas pilnvaras. 32. pants būtiskām vienībām paredz nosacītus mehānismus saistībā ar attiecīgo sertifikāciju vai atļaujām un pagaidu ierobežojumus noteiktām vadības funkcijām pēc noteikto izpildes nodrošināšanas posmu veikšanas. Tās nav automātiskas sekas katram incidentam, un šis noteikums neattiecas uz valsts pārvaldes vienībām.

Vadības atbildībai un apdrošināšanas aspektiem nepieciešamas konkrētai jurisdikcijai specifiskas konsultācijas. Vadībai būtu jākoncentrējas uz patiesiem ierakstiem, savlaicīgu apstrādi un informētu uzraudzību, nevis jāuzskata iespējamie sodi par aizstājēju prasīto pasākumu ieviešanai.

Nosakiet nākamo vadības lēmumu

Sāciet ieviešanu ar pakalpojumu, kuram ir vislielākā ietekme, un tā atkarībām, vienlaikus saglabājot pilnīgu juridisko novērtējumu katrai attiecīgajai vienībai. Piešķiriet prioritāti tiesību aktos noteiktajai steidzamībai, sekām pakalpojumiem un uzdevumiem, kas atbloķē turpmāko darbu. Mērķtiecīga ieviešanas robeža palīdz izveidot darba plūsmu; tā nesašaurina vienības juridiskos pienākumus līdz šim izmēģinājumam.

Nākamajā vadības pārskatā būtu jāapstiprina vai jāatrisina tvēruma lēmums, jāapstiprina reģistrācijas un ziņošanas kārtība, jāfinansē prioritārie apstrādes pasākumi, jānorīko atbildīgie īpašnieki un jāieplāno atjaunošanas un ziņošanas mācības. Tajā būtu arī jānosaka, kad vadība pārskatīs darbības pierādījumus un kuri konstatējumi prasa agrāku eskalāciju.

Secani komandas var modelēt izvēlēto pakalpojumu, atbalsta sistēmas un ārējo pakalpojumu sniedzēju atkarības, pēc tam sasaistīt prasības, kontroles, īpašniekus un pārskatītus pierādījumus. Trūkstošie pierādījumi un neatrisinātie secinājumi var kļūt par uzdevumiem. Cilvēkiem, kas veic pārskatīšanu, būtu jāapstiprina sasaistes un secinājumi par pierādījumiem, saglabājot saites uz avotiem, komentārus, apstiprinājumus un laika zīmogus, lai argumentācija paliktu pārbaudāma.

Ņemiet uz šo sanāksmi vienu pakalpojumu karti, vienu pienākumu reģistru un būtiskākās nepilnības. Dodieties prom ar finansētām darbībām, lietojamām ziņošanas pilnvarām un datumu rezultātu izvērtēšanai, nevis tikai ar apņemšanos sagatavot vēl vairāk dokumentācijas.