NIS2 și ISO 27001: reutilizați controalele, examinați lacunele

Un program ISO 27001 poate oferi o structură operațională solidă pentru NIS2: evaluarea riscurilor, proprietari responsabili, controale, dovezi și îmbunătățire. Următorul pas este o evaluare, cerință cu cerință, a ceea ce acoperă efectiv această structură.

Pentru un CTO, întrebarea utilă nu este dacă cadrele se suprapun. Este dacă un control implementat protejează serviciul relevant, îndeplinește obligația aplicabilă și produce dovezi care susțin această concluzie. Reutilizați implementarea acolo unde aceste condiții sunt îndeplinite; păstrați diferențele juridice și operaționale acolo unde nu sunt.

Înțelegeți ce stabilește fiecare cadru

ISO/IEC 27001 specifică cerințele pentru un sistem de management al securității informației (SMSI) cu perimetru definit. Clauzele 4–10 se referă la structura sa de management, inclusiv tratarea riscurilor, evaluarea performanței și îmbunătățirea. Anexa A conține 93 de controale de referință, grupate în categoriile organizaționale, privind persoanele, fizice și tehnologice. Aplicabilitatea controalelor se bazează pe risc; nu există o cerință de a implementa fiecare control în mod identic. ISO 27002 oferă îndrumări de implementare.

NIS2 este o directivă a UE aplicată prin legislația națională. Aplicabilitatea depinde de sector, dimensiune, serviciu și reguli specifice de includere. Anexa I și anexa II identifică sectoarele relevante, dar sectorul singur nu determină dacă o organizație este o entitate esențială sau importantă. Unele entități sunt vizate indiferent de dimensiune.

Diferențele practice sunt:

Certificarea este realizată de organisme de certificare independente, nu de ISO. Ea nu stabilește conformitatea cu NIS2, iar NIS2 nu impune, în general, certificarea ISO 27001. Aplicarea legii poate include măsuri de supraveghere și sancțiuni; certificarea ISO are un alt scop de asigurare.

Începeți cu limite care se potrivesc

Comparați perimetrul certificat al SMSI cu entitățile juridice și serviciile care intră sub incidența NIS2. Un certificat care acoperă o echipă de dezvoltare poate lăsa în afara limitei sale operațiunile de producție, o altă filială sau locații suplimentare.

Creați o comparație a perimetrelor care înregistrează:

• Entitățile juridice, țările, serviciile vizate și temeiul includerii.
• Sistemele, rețelele, locațiile și furnizorii de suport relevanți.
• Perimetrul SMSI, perimetrul certificatului și excluderile.
• Cerințele naționale, normele sectoriale și autoritățile responsabile aplicabile, inclusiv obligațiile de înregistrare aplicabile, informațiile necesare despre entitate, canalele de transmitere și obligațiile de actualizare.
• Cine a aprobat evaluarea aplicabilității și când trebuie revizuită.

Distingeți o lacună de perimetru de o lacună de control. Un mediu de producție aflat în afara SMSI poate avea deja controale bune ale accesului, dar aceste controale au nevoie în continuare de proprietari, evaluare și dovezi în cadrul fluxului de lucru NIS2.

Verificați legislația sectorială înainte de a duplica obligațiile. Articolul 4 se referă la relația cu actele juridice sectoriale ale Uniunii. Pentru entitățile financiare, relația cu DORA necesită o analiză specifică rolului. Pentru operațiunile din Germania, consultați informațiile BSI privind NIS2, în loc să presupuneți că obligațiile KRITIS existente și obligațiile NIS2 sunt identice.

Puneți în corespondență controalele implementate, nu etichetele similare

Articolul 21 impune măsuri tehnice, operaționale și organizatorice adecvate și proporționale. Cele zece domenii minime de măsuri oferă un punct de plecare pentru corespondență, dar o formulare similară este un indiciu util, nu o dovadă de echivalență.

Folosiți următoarele ca puncte de pornire pentru revizuire, nu ca declarații automate de acoperire:

Declarația de aplicabilitate înregistrează controalele necesare și raționamentul privind includerea sau excluderea. Ea nu este interschimbabilă cu planul de tratare a riscurilor, cu constatările auditului intern sau cu înregistrările analizei efectuate de management. Folosiți aceste artefacte împreună pentru a explica atât designul, cât și funcționarea.

O politică stabilește așteptări. Un export de configurație poate arăta implementarea. Rezultatele revizuirii accesului, tichetele de remediere și înregistrările testelor pot arăta funcționarea. Reutilizați dovezile doar acolo unde sistemul, perioada și obiectivul evaluării se potrivesc.

Evitați procentele fixe de suprapunere. Acoperirea depinde de implementare și de perimetrul juridic; un număr universal nu poate stabili gradul de pregătire.

Construiți o cale de raportare a incidentelor care poate funcționa sub presiune

Un plan de răspuns aliniat la ISO poate susține detectarea, izolarea, investigarea și recuperarea fără a defini notificarea către autorități. Articolul 23 din NIS2 adaugă obligații de raportare pentru incidentele semnificative.

Etapele de raportare din directivă includ, în general:

• O avertizare timpurie, fără întârzieri nejustificate și în termen de 24 de ore de la momentul în care entitatea a luat cunoștință de un incident semnificativ.
• O notificare a incidentului, fără întârzieri nejustificate și în termen de 72 de ore, care actualizează avertizarea timpurie și oferă o evaluare inițială.
• Un raport final, în general în termen de o lună de la transmiterea notificării incidentului. Pentru un incident în curs, la acel moment este necesar un raport de progres, iar raportul final trebuie transmis în termen de o lună de la gestionarea incidentului.

De asemenea, trebuie furnizat un raport intermediar dacă CSIRT sau autoritatea competentă îl solicită.

Verificați normele naționale și sectoriale aplicabile: directiva prevede un alt termen de notificare pentru prestatorii de servicii de încredere. Nu folosiți un prag generic de întrerupere ca substitut pentru criteriile de semnificație aplicabile.

Ca recomandare practică de implementare, creați un runbook de raportare care precizează responsabilul evaluării, calea de escaladare, persoana autorizată să transmită, personalul de rezervă, canalul către autoritate și informațiile necesare în fiecare etapă. Înregistrați distinct marcajele temporale ale detectării, luării la cunoștință, evaluării semnificației și transmiterii.

Exersați procesul cu informații incomplete. Echipa ar trebui să poată transmite raportul inițial cerut fără a aștepta finalizarea unei investigații criminalistice. Păstrați versiunile transmise, confirmările de primire, faptele justificative și deciziile privind atingerea pragului de către un incident.

Acolo unde se aplică și un alt regim de raportare, coordonați investigația, dar evaluați separat fiecare obligație de notificare. O înregistrare comună a incidentului nu face identici destinatarii, declanșatorii sau termenele.

Faceți guvernanța și reziliența demonstrabile

Articolul 20 impune organelor de conducere să aprobe măsurile de gestionare a riscurilor de securitate cibernetică și să supravegheze implementarea lor. El se referă, de asemenea, la formarea membrilor organelor de conducere. O analiză existentă efectuată de management este o dovadă utilă, dar verificați dacă înregistrează explicit aprobările, supravegherea, deciziile și acțiunile ulterioare relevante.

Oferiți conducerii o imagine pregătită pentru decizie: serviciile afectate, riscurile semnificative, opțiunile de tratare, excepțiile nerezolvate și rezultatele privind eficacitatea. Procesele-verbale care afirmă doar că „s-a discutat despre securitate” oferă puține dovezi ale unei supravegheri reale. Atribuiți fiecărei acțiuni aprobate un proprietar și o dată de revizuire.

Continuitatea are nevoie de o tratare la fel de concretă. Articolul 21 include copiile de rezervă, recuperarea în caz de dezastru și gestionarea crizelor; el nu impune o cerință universală de certificare ISO 22301. Stabiliți profunzimea necesară în funcție de serviciu, de riscuri și de normele aplicabile.

Testați restaurarea și recuperarea serviciilor, nu doar finalizarea joburilor de backup. Includeți dependențe precum serviciile de identitate, DNS, suportul furnizorilor, credențialele privilegiate și comunicațiile pentru situația în care mediul obișnuit nu este disponibil. Înregistrați rezultatele de recuperare obținute și blocajele nerezolvate în raport cu obiectivele convenite.

Întrețineți un registru vizibil al diferențelor

Pentru fiecare cerință, înregistrați sursa și versiunea, controalele puse în corespondență, perimetrul, referințele la dovezi, evaluatorul și justificarea reutilizării. Distingeți între acoperirea susținută, acoperirea parțială, implementarea lipsă, dovezile lipsă și o decizie motivată de neaplicabilitate. Absența unui document nu înseamnă întotdeauna absența unui control, dar impune o investigație.

Fiecare lacună are nevoie de un proprietar, de modificarea necesară, de așteptările privind dovezile, de un termen și de un evaluator pentru închidere. Prioritizați deficiențele care amenință serviciile sau împiedică raportarea critică din punct de vedere al timpului, în loc să tratați fiecare sarcină de documentare ca fiind la fel de urgentă.

Greșelile frecvente includ punerea în corespondență doar a anexei A, cu omiterea cerințelor de guvernanță, acceptarea certificatului unui furnizor fără verificarea perimetrului său, tratarea dovezilor de anul trecut ca fiind actuale și închiderea unei sarcini atunci când o politică este publicată, dar procesul rămâne netestat. Înregistrarea sau certificarea nu ar trebui tratate niciodată drept dovadă a implementării operaționale.

Exemplu practic: extinderea unui SMSI existent

Ipoteze ilustrative: un furnizor de servicii gestionate are un SMSI certificat ISO 27001 care acoperă echipa sa operațională principală. Evaluarea aplicabilității concluzionează că un serviciu operat printr-o entitate juridică suplimentară intră sub incidența NIS2. Această entitate folosește aceeași platformă de identitate și aceeași echipă de incidente, dar aranjamente de recuperare separate.

Echipa compară mai întâi limitele serviciilor. Configurațiile de autentificare existente pot susține ambele perimetre, dar evaluatorul verifică dacă sunt incluși administratorii, conturile de urgență și conturile de serviciu ale entității suplimentare. Un export al revizuirii accesului care acoperă doar echipa inițială nu poate dovedi acoperirea completă.

Apoi, responsabilul incidentelor păstrează procedura de răspuns stabilită și adaugă o evaluare a incidentelor semnificative și o cale de notificare către autoritate. Un exercițiu de tip tabletop simulează o întrerupere la un furnizor, cu impact incert asupra clienților. Participanții înregistrează când au luat cunoștință de faptele relevante, cine a decis asupra semnificației și cum ar fi transmisă o avertizare timpurie.

În final, responsabilul infrastructurii desfășoară un exercițiu de recuperare pentru serviciul entității suplimentare. Testul arată că credențialele de recuperare depind de platforma de identitate indisponibilă. Registrul lacunelor atribuie o acțiune corectivă și impune o retestare reușită înainte de închidere.

Livrabilele rezultate sunt o comparație a perimetrelor, corespondențe revizuite, dovezi extinse privind revizuirea accesului, înregistrări ale exercițiului de raportare, rezultate ale recuperării și aprobarea de către conducere a acțiunilor de tratare restante. Controalele comune rămân comune; dovezile și deciziile specifice entității rămân vizibile.

Transformați evaluarea într-o muncă întreținută

Modelul Secani de cerințe și dovezi conectate le oferă echipelor o structură pentru păstrarea muncii comune și a deciziilor specifice fiecărui cadru. Modelați serviciile și dependențele, atașați dovezile existente la controalele relevante și transformați acoperirea lipsă în sarcini cu proprietari. Păstrați explicită aprobarea umană pentru corespondențe și concluziile privind dovezile, inclusiv pentru sugestiile asistate de AI. Ghidul nostru privind corespondența trasabilă între cadre explică modul de păstrare a justificării din spatele reutilizării.

Începeți cu un singur serviciu reglementat. Aduceți perimetrul său, tratarea riscurilor, Declarația de aplicabilitate, runbook-ul pentru incidente și dovezile recente ale testelor într-o revizuire comună a echipelor tehnice și de conformitate. Produceți un registru revizuit al diferențelor, apoi folosiți ciclurile obișnuite de revizuire ale SMSI pentru a-l întreține pe măsură ce serviciile, furnizorii și cerințele se schimbă.