Pripravljenost na NIS2: obseg, dolžnosti vodstva in dokazila

Pripravljenost na NIS2 se začne z dokumentirano odločitvijo o uporabnosti. Pomembni so lahko sektor, storitev, velikost, sedež in posebna pravila o vključitvi. Vprašalnik stranke je koristen kontekst, vendar ne določa vašega pravnega položaja. Prav tako varnostni certifikat ne dokazuje, da so bili obravnavani vsi relevantni subjekti, storitve in obveznosti poročanja.

Za izvršnega direktorja pripravljenost pomeni, da zna pojasniti, kaj je vodstvo odobrilo, zakaj so ukrepi ustrezni, kdo jih bo izvedel in kako se bo ocenjevala njihova učinkovitost. Pomeni tudi zagotoviti, da lahko organizacija poroča o znatnem incidentu, ko so informacije še nepopolne in je redno poslovanje moteno.

Praktična naloga je povezati pravni obseg, tveganja storitev, prednostne naloge izvedbe in pregledana dokazila. Ta povezava daje vodstvu podlago za odločitve o naložbah, motnjah poslovanja, dobaviteljih in nerešeni izpostavljenosti.

Ugotovite, kateri subjekti in storitve so zajeti

Direktiva NIS 2 vzpostavlja osnovno raven kibernetske varnosti v EU za določene dejavnosti. Člena 2 in 3 skupaj s prilogami določata njeno področje uporabe in strukturo razvrščanja. Nacionalna izvedbena zakonodaja določa veljavne lokalne obveznosti in postopke.

Ocenite vsak relevanten pravni subjekt, namesto da bi ime skupine obravnavali kot regulativno mejo. Dejavnosti hčerinske družbe, lastniška razmerja in lokacije sedežev lahko spremenijo odgovor. Vodstvo naj zahteva zapisan sklep, podporna dejstva in odgovorno osebo za odprta vprašanja.

Povežite dejavnosti z navedenimi vrstami subjektov

Priloga I vključuje sektorje, kot so energetika, promet, zdravstvo, voda, finančne storitve, digitalna infrastruktura, upravljanje storitev IKT, javna uprava in vesolje. Priloga II razširja področje uporabe na področja, kot so poštne storitve, ravnanje z odpadki, kemikalije, hrana, določene proizvodne dejavnosti, digitalni ponudniki in raziskave.

Naslov sektorja je le izhodišče. Preberite vrste subjektov in dejavnosti v ustreznem vnosu. Proizvodnja ni splošna kategorija vključitve in prodaja programske opreme podjetja ne naredi samodejno ponudnika storitev v oblaku ali ponudnika upravljanih storitev.

Opišite, kaj subjekt dejansko zagotavlja: storitev, njene prejemnike, kako deluje in ali upravlja sisteme strank. Šifre dejavnosti iz poslovnega registra in opisi na spletnem mestu lahko podprejo to analizo, ne smejo pa je nadomestiti.

Prodaja licencirane aplikacije in upravljanje informacijskih sistemov stranke sta na primer različni dejavnosti. Podjetje, ki se predstavlja kot svetovalno, lahko kljub temu izvaja stalno administracijo, ki jo je treba oceniti glede na opredelitve upravljanih storitev. Takšna vprašanja razrešite, preden zasnujete mejo skladnosti.

Velikost izračunajte po veljavnih pravilih

Člen 2 uporablja opredelitev velikosti podjetij EU. Kot prvo grobo merilo velja splošni prag vključitve 50 ali več zaposlenih ali hkrati letni promet in bilančna vsota nad 10 milijonov EUR. Na splošno preseganje zgornjih mej za srednja podjetja pomeni najmanj 250 zaposlenih ali letni promet nad 50 milijonov EUR skupaj z bilančno vsoto nad 43 milijonov EUR.

Te številke ne nadomeščajo celotnega izračuna. Na rezultat lahko vplivajo ustrezna obračunska obdobja, metodologija štetja zaposlenih ter partnerska ali povezana podjetja. Lokalno majhna hčerinska družba lahko prag preseže, ko upoštevamo ustrezna lastniška razmerja.

Hranite izračun, osnovne podatke in utemeljitev glede razmerij v skupini. Ne zapišite le „srednje podjetje“, ne da bi pojasnili, kako ste prišli do tega sklepa. Sam letni promet ni celotna finančna alternativa številu zaposlenih.

Kadar je velikost blizu meje ali je lastništvo zapleteno, naročite posebno pravno oceno. Stroške razrešitve te negotovosti obravnavajte kot del določanja zahtev za poslovanje, ne pa jih odlagajte, dokler sklepa ne izpodbija organ ali stranka.

Preučite posebna pravila o vključitvi in razvrstitvi

Nekatere kategorije storitev so lahko vključene ne glede na velikost. Člen 2 obravnava določene komunikacijske dejavnosti, storitve zaupanja, DNS in vrhnje domene, nekatere organe javne uprave ter subjekte, ki so v skladu z ustreznim okvirom EU opredeljeni kot kritični. V področje uporabe lahko subjekte pripelje tudi nacionalna identifikacija zaradi njihovega družbenega pomena ali posledic motenj.

Člen 3 nato določa, ali je zajeti subjekt bistven ali pomemben. Veliki subjekti iz Priloge I tvorijo pomembno kategorijo bistvenih subjektov, vendar člen vsebuje dodatna pravila za posamezne storitve in za določitev. Srednje veliko podjetje iz Priloge I ni samodejno bistveni subjekt; prilogi nista preprosto dva seznama nadzornih ravni.

Obe razvrstitvi prinašata temeljne dolžnosti obvladovanja varnostnih tveganj in poročanja o znatnih incidentih. Status pomembnega subjekta spremeni model nadzora; ne odpravi pa potrebe po učinkovitih ukrepih.

Neposredno pravno zavezanost in zahteve strank zapišite ločeno. Manjši dobavitelj je lahko zunaj neposrednega področja uporabe, hkrati pa ima obsežne pogodbene varnostne obveznosti. Nasprotno vprašalnik stranke, ki trdi „za vas velja NIS2“, ni verodostojna odločitev o razvrstitvi.

Zagovorljiv zapis o obsegu naj vsebuje:

• Pravni subjekt in njegove dejanske storitve.
• Ustrezne vnose iz prilog ali posebne razloge za vključitev.
• Izračun velikosti in relevantna lastniška razmerja.
• Razvrstitev med bistvene ali pomembne subjekte z utemeljitvijo.
• Lokacije sedežev in analizo pristojnosti.
• Veljavna nacionalna pravila, pregledovalca, datum odobritve in odprta vprašanja.

Sprožilci ponovne ocene naj vključujejo prevzeme, nove storitve, bistvene spremembe velikosti in zakonodajne spremembe. Odločitev o izključitvi je lahko ob sprejetju utemeljena, pozneje pa zastari.

Osnovno raven EU prevedite v nacionalne obveznosti

NIS2 je direktiva, ki se izvaja z nacionalnim pravom. Države članice so morale direktivo prenesti do 17. oktobra 2024, izvedbeni ukrepi pa naj bi se uporabljali od 18. oktobra 2024. Ta datuma posameznemu podjetju ne povesta, kakšen je njegov trenutni nacionalni rok za registracijo ali kateri postopek mora uporabiti.

Za vsak relevanten subjekt in državo vzpostavite register obveznosti. Opredelite veljavno zakonodajo, pristojni organ, postopek registracije, kanal za poročanje, sektorske določbe in odgovorno notranjo osebo. Ločite zakonsko zahtevo od smernic organa ali notranjega priporočila za izvedbo.

Pred izbiro kanala za poročanje določite pristojnost

Člen 26 pristojnost praviloma veže na sedež, za nekatere storitve pa veljajo drugačna pravila. Ponudniki javnih elektronskih komunikacij so regulirani tam, kjer zagotavljajo ustrezne storitve. Določeni digitalni ponudniki uporabljajo pristop glavnega sedeža, vključno s ponudniki storitev v oblaku, podatkovnih centrov, omrežij za dostavo vsebin, upravljanih storitev, upravljanih varnostnih storitev ter nekaterimi spletnimi platformami in podjetji, povezanimi z domenami.

Pri oceni glavnega sedeža preučite, kje v Uniji se pretežno sprejemajo odločitve o obvladovanju tveganj za kibernetsko varnost. Če te lokacije ni mogoče določiti ali se te odločitve ne sprejemajo v Uniji, ocenite, kje v Uniji se izvajajo operacije kibernetske varnosti; če tudi tega ni mogoče določiti, uporabite sedež v Uniji z največ zaposlenimi. Registrirani naslov holdinške družbe zato morda ne zadošča.

Nekateri ponudniki, ki storitve v Uniji ponujajo brez sedeža v EU, morajo imenovati predstavnika v EU. Sedež uprave v tujini ni samodejna izjema, vendar tudi evropske stranke ne pripeljejo samodejno vsakega podjetja zunaj EU v področje uporabe. Še vedno sta pomembna vrsta storitve in drugi pogoji uporabnosti.

Dolžnosti registracije in sporočanja podatkov o subjektu vodite ločeno od varnostnega programa. Hranite potrdila o oddaji, ažurne kontaktne podatke in odgovornost za posodobitve. Če registracija zamuja, preverite trenutni postopek organa in hitro ukrepajte. Opravljena registracija ne dokazuje, da so varnostni ukrepi izvedeni.

Ločite KRITIS in sektorske obveznosti

Za poslovanje v Nemčiji poleg veljavnih izvedbenih pravil NIS2 preverite tudi zahteve KRITIS. Režima se prekrivata, nista pa enaka. Zajetost po NIS2 ne pomeni samodejno, da je vsak objekt kritična naprava, uveljavljen program KRITIS pa ne izpolni samodejno vsake obveznosti iz NIS2.

Ločeno vodite zapise o razvrstitvi subjekta, kritičnih napravah in dodatnih dolžnostih. Za trenutni nacionalni postopek se obrnite na informacije BSI o NIS2, namesto da bi se zanašali na stara obvestila o rokih.

Člen 4 obravnava tudi enakovredne sektorske zahteve EU. Za zajete finančne subjekte lahko relevantna področja ureja Uredba o digitalni operativni odpornosti (DORA). Ugotovite, katere dolžnosti veljajo za posamezni subjekt in storitev, namesto da bi privzeto vzdrževali podvojene poti poročanja.

Pripravite načrt, za katerega odgovarja vodstvo

Člen 20 odobritev in nadzor nad izvajanjem nalaga upravljalnim organom bistvenih in pomembnih subjektov. Določa tudi odgovornost za kršitve člena 21; pravne posledice so odvisne od nacionalnega prava in pravne oblike subjekta.

Izvedbo je mogoče prenesti na varnostne, IT, operativne, nabavne in druge ekipe. Prenos naj ohrani viden nadzor vodstva. Vloga izvršnega direktorja ni konfiguriranje sistemov, temveč zagotavljanje, da so za pomembna tveganja storitev sprejete premišljene odločitve, zagotovljeni viri in da se odločitve tudi izvedejo.

Odobravajte odločitve, ne le dokumentov

Paket za odobritev naj oceno tveganj poveže z izvedljivim načrtom. Vključite zajete storitve, glavne scenarije motenj, predlagane ukrepe, alternative, odvisnosti izvedbe, kadrovske potrebe, mejnike in pričakovana dokazila.

Za vsako obveznost zapišite izvedbo, odgovorno osebo, dokazilo, vrzel in naslednjo odločitev. Tako lahko ločite odobreni namen od dokončane zmogljivosti. Razkrijejo se tudi ukrepi, ki nimajo odgovorne osebe ali so odvisni od virov, ki nikoli niso bili dodeljeni.

Zapisniki vodstva naj pojasnijo odločitev in njeno podlago. Pri odobritvi naložbe v obnovo naj bo na primer zapisano, katero prekinitev storitve obravnava, kakšen je pričakovani rezultat obnove in kakšne so operativne omejitve. Podpis na politiki ne pove, ali je vodstvo upoštevalo izvedbeni problem, ki se skriva za njo.

Razprave o proračunu naj vključujejo notranje zmogljivosti in prekinitve poslovanja, ne le izdatkov za programsko opremo. Sprememba omrežja lahko zahteva izpad proizvodnega okolja; pregled dobavitelja lahko zahteva pravna pogajanja; test obnove lahko zahteva izolirano okolje in operativno osebje.

Posebno pozornost zasluži sprejemanje tveganj. Z njim je mogoče dokumentirati odločitev o obravnavi v okviru procesa obvladovanja tveganj, ne more pa odpraviti zakonske zahteve. Kadar bi bila izjema lahko v nasprotju z obveznostjo, pridobite pravno razlago, opredelite začasno zaščito in poskrbite, da odprto vprašanje ostane vidno.

Ločite napredek izvedbe od učinkovitosti kontrol

Projekt lahko konča uvajanje ukrepa, ne da bi dosegel nameravano zaščito. Poročanje vodstvu naj odgovori na obe vprašanji: ali je odobreno delo dokončano in ali deluje v celotni relevantni meji storitve.

Pogostost pregledov prilagodite programu. Četrtletni pregledi vodstva so lahko praktični za stabilno poslovanje, med uvajanjem pa so smiselni pogostejši pregledi. To je priporočilo, ne splošna pogostost, ki bi jo predpisoval člen 20.

Določite eskalacijo med sestanki. Neuspešen test obnove, kompromitiran privilegiran račun ali na novo ugotovljena kritična odvisnost ne smejo čakati na naslednjo načrtovano predstavitev.

Usposabljanje vodstva naj bo povezano z odločitvami

Člen 20 zahteva, da se člani upravljalnih organov udeležijo usposabljanja, ki jim pomaga prepoznavati tveganja, ocenjevati prakse obvladovanja tveganj in razumeti posledice za storitve. Ne določa enotnega trajanja tečaja ali intervala obnavljanja.

Usposabljanje naj zajema pomembnost incidentov, kompromise pri obnovi, koncentracijo dobaviteljev, omejitve dokazil in odločanje v negotovosti. Vključite scenarij, v katerem morajo vodilni odobriti poročilo, omejiti delovanje ali financirati nujno obravnavo.

Hranite datume, udeležence, vsebino in nadaljnje ukrepe. Usposabljanje zaposlenih obravnava tudi člen 21, vendar ozaveščanje osebja ne nadomešča lastnega usposabljanja vodstva. Vodstvo naj bo sposobno izpodbijati trditve o zagotovilih, ne da bi moralo postati tehnični strokovnjak.

Člen 21 prevedite v ukrepe na ravni storitev

Člen 21 zahteva sorazmerno tehnično, operativno in organizacijsko zaščito. Ocena sorazmernosti upošteva izpostavljenost, velikost organizacije, stroške izvedbe ter verjetnost in resnost incidentov, vključno s širšimi družbenimi in gospodarskimi učinki.

Zahtevani pristop zajema nevarnosti, ki presegajo zlonamerno kibernetsko dejavnost. Izpad električne energije, poplava, fizični vdor, nerazpoložljivo osebje in motnje v telekomunikacijah lahko ogrozijo isto storitev.

Naslednji primeri izvedbe so praktična priporočila. Pojasnjujejo deset vsebinskih področij, ne da bi vsakemu subjektu predpisovali enako tehnično zasnovo. Za nekatere digitalne storitve veljajo tudi podrobnejše izvedbene zahteve EU; preverite njihovo uporabnost, preden se zanesete zgolj na kontrolni seznam na visoki ravni.

Analiza tveganj in politike varnosti sistemov

Začnite pri storitvi: kaj mora delovati naprej, kdo je od nje odvisen in kaj bi pomenila motnja. Preden dodelite ocene tveganja, popišite podporne sisteme, objekte, ljudi in zunanje ponudnike.

Uporabite merila vpliva, ki ločijo finančno izgubo od varnosti ljudi, škode za prejemnike storitev in širših motenj. Zapišite scenarije, obstoječo zaščito, predlagane obravnave, preostalo izpostavljenost in sprožilce ponovne ocene. Splošen seznam kibernetskih groženj je manj uporaben kot razlaga, kako lahko določena odvisnost prekine storitev.

Rezultat je ocena tveganj, ki podpira odločitve, s politikami, ki opisujejo, kako te odločitve postanejo zahteve za delovanje.

Obravnava incidentov

Opredelite zaznavanje, razvrščanje, eskalacijo, zajezitev, preiskavo, usklajevanje obnove in zaključek. Imenujte koordinatorja in namestnike ter odzivnikom dajte uporabne postopke za verjetne incidente.

Operativna resnost in zakonska znatnost sta povezani, vendar različni. Nujen tehnični incident lahko zahteva zajezitev, preden je razjasnjeno, ali ga je treba prijaviti. Proces mora podpirati obe dejavnosti, ne da bi ena blokirala drugo.

Hranite časovnice incidentov, odločitve, relevantna dokazila in korektivne ukrepe. Preverite, ali so bile dogovorjene izboljšave izvedene; dokument o pridobljenih izkušnjah brez nadaljnjih ukrepov daje šibko zagotovilo.

Neprekinjeno poslovanje, varnostne kopije, obnova in krizno upravljanje

Z analizo vpliva na poslovanje opredelite bistvene dejavnosti in sprejemljive motnje. S skrbniki storitev se dogovorite o ciljnih časih obnove (RTO) in ciljnih točkah obnove (RPO). Prvi se nanašajo na čas obnove, drugi na sprejemljivo izgubo podatkov.

Zapisi o uspešno izvedenih varnostnih kopijah so koristni, ne dokazujejo pa, da je storitev mogoče obnoviti. Preizkusite obnovo, podporne identitete, ključe, vmesnike in uporabnost podatkov. Preverite, ali obnovljeni sistemi podpirajo dejanski poslovni potek dela.

Krizni dogovori naj obravnavajo operativne odločitve in komunikacijo, ne le tehnične obnove. Zapišite rezultate testov, nedosežene cilje, ukrepe in odločitve vodstva o preostali izpostavljenosti.

Odnosi z dobavitelji

Opredelite neposredne dobavitelje, katerih izpad ali kompromitacija bi lahko bistveno vplivala na storitev. Upoštevajte administrativni dostop, občutljive informacije, programske odvisnosti in razpoložljivost.

Ocenite varnostno relevantnost dejanskega odnosa, vključno z ranljivostmi, značilnimi za dobavitelja, ter njegovimi praksami pri izdelkih ali razvoju. Ugotovitve povežite s kontrolami dostopa, pogodbenimi dogovori, rezervnimi rešitvami in sprožilci pregledov.

Certifikat dobavitelja lahko podpre oceno. Ne zajema pa samodejno storitve, ki ste jo kupili, njene konfiguracije ali vaših odgovornosti pri integraciji.

Nabava, razvoj, vzdrževanje in ranljivosti

Določite varnostna merila sprejemljivosti za nakupe in nove sisteme. Opredelite odgovornosti za varen razvoj, konfiguracijo, spremembe, vzdrževanje, posodobitve in prejeta poročila o ranljivostih.

Pomembne ranljivosti spremljajte skozi oceno, obravnavo, obravnavo izjem in preverjanje. Prednostni vrstni red odprave naj odraža možnost izkoriščanja in posledice za storitev, ne le številčne ocene resnosti.

Operativna tehnologija lahko pred namestitvijo popravkov zahteva potrditev proizvajalca in načrtovane izpade. Dokumentirajte začasne zaščitne ukrepe in časovni načrt obravnave. „Popravka ni mogoče namestiti“ je omejitev, ki jo je treba upravljati, ne pa celovita odločitev o tveganju.

Ocena učinkovitosti

Za pomembne ukrepe opredelite vprašanje, na katerega mora test odgovoriti. Pregled dostopov preverja pooblastila; vaja obnove preverja obnovo; simulacija incidenta preverja usklajevanje in odločanje.

Zapišite testirani obseg, pričakovani rezultat, metodo, pregledovalca, ugotovitve in odziv na neuspeh. Neodvisno zagotovilo uporabite, kadar prinaša dodano vrednost ali kadar ga zahtevajo veljavna pravila.

Člen 21 zahteva oceno učinkovitosti, vendar vsem zajetim organizacijam ne nalaga enotne pogostosti penetracijskih testov. Testiranje naj ustreza potrebi po zagotovilu in morebitnim relevantnim podrobnim zahtevam.

Kibernetska higiena in usposabljanje zaposlenih

Zaposlenim dajte praktična navodila za prijavo sumljivih dejavnosti, zaščito poverilnic, ravnanje z informacijami in varno delo. Dodajte vsebine za posamezne vloge: razvijalce, administratorje, nabavno osebje in odzivnike.

Udeležba na usposabljanju dokazuje sodelovanje, ne nujno tudi sposobnosti ukrepanja. Vaje in opazovano izvajanje lahko razkrijejo nejasna navodila ali šibke poti eskalacije.

Ugotovitve uporabite za izboljšanje postopkov. Če zaposleni sumljiva sporočila pravilno prijavijo, prejemna ekipa pa se odzove počasi, ponavljanje istega tečaja ozaveščanja ne bo odpravilo temeljnega problema.

Kriptografija

Opredelite, katere informacije in poteki dela potrebujejo kriptografsko zaščito, vključno z relevantnimi podatki v prenosu in v mirovanju. Določite odgovornost za ključe in certifikate, obnavljanje, preklic, dostop in obnovo.

Dokazila naj vključujejo konfiguracijske odločitve in ureditev upravljanja ključev, ne le trditve, da šifriranje obstaja. Zaščita lahko odpove, če so šifrirane varnostne kopije odvisne od nedosegljivih ključev ali če dostop do ključev ni ustrezno omejen.

Vzdržujte utemeljene izjeme in jih preglejte, ko se sistemi ali tveganja spremenijo. Široke trditve, kot je „vse je šifrirano“, ne obravnavajte kot zadostnega zagotovila.

Ljudje, dostopi in sredstva

Zaposlovanje, spremembe vlog in odhode povežite z odločitvami o dostopih. Opredelite poslovne skrbnike, administratorje, zunanje račune, storitvene identitete in relevantna sredstva.

Preglejte privilegirane dostope in odstranite pravice, ki niso več utemeljene. V oceno vključite skupne ali nečloveške račune, namesto da bi jo omejili na sezname uporabnikov med zaposlenimi.

Dokazila lahko vključujejo odobrene zahtevke, vzorčene zapise o odhodih, opravljene preglede dostopov in razrešene izjeme. Popis sredstev naj pojasni lastništvo in odvisnost storitev, ne le prešteje naprav.

Avtentikacija in varna komunikacija

Člen 21 obravnava močnejšo avtentikacijo in zaščiteno komunikacijo, vključno z ureditvami za izredne razmere, z omejitvijo „kadar je ustrezno“.

Kot praktično prednostno nalogo preučite privilegirane dostope in dostope na daljavo do kritičnih storitev. Opredelite omejitve starejših sistemov in ocenite zaščitne alternative, namesto da bi domnevali, da vsak sistem podpira isti mehanizem.

Preizkusite tudi krizno komunikacijo, ko običajna e-pošta, orodja za sodelovanje ali storitve identitete niso na voljo. Postopek za izredne razmere, ki je v celoti odvisen od platforme, ki je odpovedala, je lahko neuporaben ravno takrat, ko ga potrebujete.

Odločitve o kritičnih dobaviteljih naj bodo izrecne

Varnost dobavne verige pogosto postane vprašanje vodstva, ker nabava z vprašalnikom ne more odpraviti vsake odvisnosti. Začnite s posledico izpada: ali lahko ta dobavitelj prekine izvajanje storitve, uvede nepooblaščene spremembe, razkrije informacije ali prepreči obnovo?

Za kritične neposredne dobavitelje zapišite podprto storitev, dodeljeni dostop, odgovorno osebo za oceno, pregledana zagotovila, odprte ugotovitve in odločitve o obravnavi. Preverite obseg in obdobje dokumentov o zagotovilih. Poročilo, ki zajema drugo storitev ali prejšnji model delovanja, morda ne odgovarja na trenutno vprašanje.

Pogodbena pogajanja naj obravnavajo tveganja odnosa. Praktične teme vključujejo varnostne odgovornosti, komunikacijo ob incidentih, sodelovanje pri preiskavah, obravnavo ranljivosti, omejitve dostopa, razpoložljivost dokazil, neprekinjeno poslovanje in podporo ob izstopu. To so priporočene teme pogajanj, ne enake zakonske določbe za vsako pogodbo.

Dogovori o obveščanju s strani dobaviteljev naj podpirajo vaš časovni načrt poročanja. Potrdite operativne kontakte in namestnike; običajni poštni predal skrbnika računa, ki deluje v uradnih urah, za resen incident morda ne zadošča.

Člen 21 izrecno obravnava neposredne odnose. Odvisnosti višje v verigi so lahko kljub temu pomembne, kadar ustvarjajo tveganje koncentracije ali ogrožajo obnovo. Globlje raziskujte takrat, ko to spremeni odločitev, namesto da bi poskušali vzpostaviti neomejen popis vseh dobaviteljev vaših dobaviteljev.

Če zagotovila ostajajo nezadostna, lahko vodstvo omeji dostop, uvede dodatno spremljanje, se pogaja o izboljšavah, uvede alternative, preoblikuje odvisnost ali zamenja ponudnika. Zapišite utemeljitev in začasne ukrepe. Zunanje izvajanje storitev ne odpravi odgovornosti za lasten program obvladovanja tveganj subjekta.

Vadite poročanje o znatnih incidentih

Člen 23 določa poročanje o znatnih incidentih. Incident je znaten, če povzroči ali bi lahko povzročil hude operativne motnje storitev ali finančno izgubo za subjekt ali če vpliva ali bi lahko vplival na druge fizične ali pravne osebe s povzročitvijo precejšnje premoženjske ali nepremoženjske škode. Preden zasnujete postopek odločanja, preverite veljavna nacionalna in sektorska pravila o znatnosti.

Rok teče od seznanitve z znatnim incidentom, ne od zaključka forenzične analize. Zapišite, kdaj so bile na voljo relevantne informacije, oceno znatnosti in kdo je sprejel odločitev. Poznejšega trenutka seznanitve ne ustvarjajte umetno z odlaganjem notranje eskalacije.

Za ponudnike storitev zaupanja velja posebna določba o 24-urnem obveščanju o znatnih incidentih, ki vplivajo na njihove storitve zaupanja. Tako bistveni kot pomembni subjekti imajo dolžnosti postopnega poročanja; razvrstitev med pomembne subjekte ne odpravi zgodnjega opozorila.

Pooblastila in dostope zasnujte za uporabo zunaj delovnega časa

Imenujte vodjo ocene, pooblaščeno osebo za oddajo, namestnika, pravni kontakt in pot eskalacije do vodstva. Dogovorite se, kako se odobrijo začasne informacije. Vodstvo potrebuje preglednost, ne sme pa postati neizogibno ozko grlo pri vsaki oddaji.

Pripravite predloge, ki ločujejo potrjena dejstva, predhodne ocene, neznanke in načrtovane posodobitve. Izogibajte se nepodprtim pripisom odgovornosti ali obljubam glede obnove. Zgodnje poročanje naj bo natančno glede negotovosti, ne pa umetno popolno.

Preizkusite dostop do kanala za poročanje, poverilnice, kontaktne podatke in rezervne rešitve. Če je oseba za oddajo odvisna od kompromitirane korporativne storitve identitete, proces potrebuje alternativo.

Izvedite vajo s scenarijem ob večerih ali med vikendom. Izmerite čas, potreben za prepoznavo morebitne znatnosti, sklic potrebnih ljudi, pripravo opozorila, njegovo odobritev in dostop do kanala. To dejavnost povežite z zajezitvijo in obnovo, hkrati pa dodelite dovolj ljudi, da poročanje ne zaposli celotne odzivne ekipe.

Člen 23 obravnava tudi obveščanje prejemnikov storitev, kadar je to ustrezno. Pogodbe in drugi zakoni lahko določajo dodatna obvestila. Kršitev varstva osebnih podatkov zahteva lastno oceno po Splošni uredbi o varstvu podatkov (GDPR); prijava po NIS2 je ne izpolni samodejno. Dejstva uskladite, odločitve in roke pa vodite ločeno.

Vzdržujte dokazila, ki pojasnjujejo, kaj dejansko deluje

Politike, certifikati, pogodbe z dobavitelji in potrdila o registraciji lahko podprejo pripravljenost. Dokazila pa morajo še vedno pokazati, kaj deluje v veljavnem obsegu.

Ločite zasnovo, izvedbo in delovanje. Politika dostopa opisuje nameravano ravnanje. Konfiguracijsko dokazilo kaže uvedbo. Opravljen pregled dostopov z odstranjenimi pravicami in razrešenimi izjemami dokazuje delovanje. Ti zapisi odgovarjajo na različna vprašanja in jih ne gre obravnavati kot zamenljive.

Za vsako dokazilo hranite vir, obseg, datum ali obdobje, odgovorno osebo, pregledovalca, sklep in omejitve. Uspešen test obnove ene aplikacije ne dokazuje obnovljivosti celotnega okolja. Posnetek zaslona lahko prikaže eno konfiguracijo v enem trenutku, ne pa trajnega delovanja.

Zaščitite občutljiva dokazila. Dnevniki incidentov, arhitekturni diagrami in izvozi dostopov lahko razkrijejo operativne ali osebne podatke. Določite ustrezen dostop, hrambo in pravila za deljenje z zunanjimi osebami.

Vrzeli v dokazilih naj postanejo delovne naloge. „Ni nedavnega testa“, „nejasen obseg dobavitelja“ in „odgovorna oseba izvoza ni pregledala“ so različni problemi, ki zahtevajo različne ukrepe. Število dokumentov jih ne razkrije.

Ponovno uporabite obstoječe delo na ISMS in KRITIS

ISMS po ISO 27001 lahko zagotovi zapise o oceni in obravnavi tveganj, politikah, presojah, vodstvenih pregledih in delovanju. Primerjajte njegovo certificirano mejo s subjekti in storitvami, ki jih zajemajo nacionalna pravila NIS2.

Certifikacija korporativnega IT lahko izključuje proizvodne sisteme, upravljano storitev ali prevzeto podjetje. Ponovno uporabite relevantne kontrole in dokazila, nato pa izrecno obravnavajte razvrstitev, registracijo, zakonsko poročanje in usposabljanje vodstva. Naš vodnik o NIS2 in ISO 27001 pojasnjuje, kako lahko obstoječe delo na ISMS podpre ta proces.

NIS2 ne uvaja splošnega certifikata skladnosti EU. Certifikacija podpira zagotovilo v svojem obsegu; ne razreši vseh pravnih dolžnosti. Enako preverjanje relevantnosti uporabite za obstoječa dokazila KRITIS, namesto da bi domnevali, da prejšnje sprejetje zajema trenutne obveznosti.

Primer: vzdrževanje na daljavo in obnova proizvodnje

Vzemimo ponazoritveni primer nemškega proizvajalca s 180 zaposlenimi, ki izdeluje opremo v okviru proizvodne dejavnosti, navedene v Prilogi II. Predpostavimo, da pregledan izračun potrjuje status srednjega podjetja, nacionalna analiza potrjuje razvrstitev med pomembne subjekte, ločena ocena pa ne ugotavlja določitve kritične naprave KRITIS. Te predpostavke veljajo za ta primer, ne pa kot pravilo za vsakega proizvajalca te velikosti.

Prvi poudarek izvedbe je načrtovanje proizvodnje v eni tovarni. Odvisnosti vključujejo aplikacijo ERP, industrijske krmilnike, storitve identitete, varnostne kopije in dobavitelja vzdrževanja z dostopom na daljavo. Ocena pravnega obsega še vedno zajema relevantne obveznosti subjekta tudi zunaj te začetne storitve.

Pregled odkrije tri povezane slabosti. Tehniki dobavitelja si delijo privilegiran račun. Varnostna kopiranja se zaključijo, vendar noben nedavni test obnove ne vključuje odvisnosti aplikacije za načrtovanje od storitve identitete. Postopek za incidente določa odgovorno osebo za poročilo, nima pa namestnika, pooblaščenega za oddajo.

Vodstvo ne odobri treh ločenih posodobitev politik, temveč zahteva možnosti. Operativa predlaga poimenski, časovno omejen dostop dobavitelja prek nadzorovane poti za dostop na daljavo. IT predlaga vajo obnove storitve glede na cilje, ki jih je odobrilo poslovanje. Varnost in pravna služba predlagata nadomestno pooblastilo za poročanje in vajo zunaj delovnega časa.

Zgolj za namene načrtovanja predpostavimo šest tednov in načrtovano vzdrževalno okno. Vodstvo odobri kadrovske zmogljivosti, ureditev izpadov in začasne omejitve dostopa dobavitelja. Zapis o odločitvi pojasni posledice za storitev, zakaj so bile izbrane obravnave in katera dokazila bodo potrdila dokončanje.

Delo na dostopih prinese konfiguracijske zapise, potrditev dobavitelja in pregled, ki potrjuje odstranitev skupnega računa. Vaja obnove podatke obnovi, vendar ne doseže dogovorjenega časa obnove storitve, ker avtentikacije ni mogoče hitro vzpostaviti. Ta ugotovitev ostane odprta: uspešna varnostna kopiranja ne izničijo neuspešnega izida za storitev.

Vodstvo nato odloči, ali bo izboljšalo ureditev obnove identitet, spremenilo arhitekturo ali sprejelo drugačno operativno rezervno rešitev. Vsak spremenjen cilj obnove potrebuje poslovno utemeljitev in mora ostati skladen z veljavnimi obveznostmi.

Vaja poročanja pokaže, da nadomestna oseba za oddajo ne more samostojno dostopati do kanala za poročanje. Ekipa odpravi odvisnost dostopa in jo ponovno preizkusi. Pripravljenost se izboljšuje s preverjenimi spremembami in pregledanimi odločitvami, ne z izjavo, da so prenovljeni postopki dokončani.

Natančno razumite nadzor in posledice

Člena 32 in 33 ločujeta pristope nadzora. Bistveni subjekti so lahko deležni proaktivnih inšpekcijskih pregledov in presoj. Pomembni subjekti so podvrženi naknadnemu nadzoru, kadar informacije kažejo na morebitno neskladnost. Nobeden od njih ne bi smel odsotnosti incidenta ali poizvedbe organa razumeti kot dokaz pripravljenosti.

Za kršitve členov 21 ali 23 člen 34 zahteva, da nacionalne najvišje globe dosežejo vsaj naslednje ravni: za bistvene subjekte višji znesek med 10 milijoni EUR in 2 % skupnega svetovnega letnega prometa zadevnega podjetja; za pomembne subjekte višji znesek med 7 milijoni EUR in 1,4 %. To so spodnje meje za nacionalne zgornje meje glob, ne standardni zneski glob ali splošne fiksne zgornje meje.

Organi imajo tudi korektivna pooblastila. Člen 32 za bistvene subjekte določa pogojne mehanizme, ki zadevajo relevantno certificiranje ali dovoljenje ter začasne omejitve določenih vodstvenih funkcij po predpisanih korakih izvrševanja. To niso samodejne posledice vsakega incidenta, določba pa izključuje subjekte javne uprave.

Odgovornost vodstva in zavarovalno kritje zahtevata nasvet, prilagojen posamezni jurisdikciji. Vodstvo naj se osredotoči na resnične zapise, pravočasno obravnavo in premišljen nadzor, namesto da bi morebitne kazni obravnavalo kot nadomestek za izvedbo zahtevanih ukrepov.

Določite naslednjo odločitev vodstva

Izvedbo začnite s storitvijo z največjim vplivom in njenimi odvisnostmi, pravno oceno pa ohranite popolno za vsak relevanten subjekt. Prednost dajte zakonski nujnosti, posledicam za storitve in nalogam, ki omogočijo nadaljnje delo. Osredotočena meja izvedbe pomaga vzpostaviti potek dela; ne zmanjša pa pravnih obveznosti subjekta na ta pilotni projekt.

Naslednji pregled vodstva naj odobri ali razreši odločitev o obsegu, potrdi ureditev registracije in poročanja, financira prednostne obravnave, dodeli odgovorne osebe ter načrtuje vaje obnove in poročanja. Določi naj tudi, kdaj bo vodstvo pregledalo dokazila o delovanju in katere ugotovitve zahtevajo zgodnejšo eskalacijo.

V Secaniju lahko ekipe modelirajo izbrano storitev, podporne sisteme in odvisnosti od zunanjih ponudnikov ter nato povežejo zahteve, kontrole, odgovorne osebe in pregledana dokazila. Manjkajoči dokazi in nerazrešeni sklepi lahko postanejo naloge. Preslikave in sklepe o dokazilih naj odobrijo ljudje, ki pregledujejo, pri čemer se ohranijo povezave do virov, komentarji, odobritve in časovni žigi, tako da je razmislek mogoče preveriti.

Na ta sestanek prinesite en zemljevid storitev, en register obveznosti in najpomembnejše vrzeli. Odidite s financiranimi ukrepi, uporabnim pooblastilom za poročanje in datumom pregleda rezultatov, ne zgolj z zavezo, da boste pripravili še več dokumentacije.