Gotowość na NIS2: lista kontrolna i praktyczne kroki dla firm

Co to jest

Gotowość na NIS2 oznacza zrozumienie, czy i w jaki sposób dyrektywa ma do Państwa zastosowanie, a następnie wdrożenie i udokumentowanie oczekiwanych przez nią środków w zakresie nadzoru oraz środków technicznych i organizacyjnych. Art. 21 wymienia obszary środków zarządzania ryzykiem w cyberbezpieczeństwie, w tym analizę ryzyka i polityki bezpieczeństwa, obsługę incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo nabywania i rozwoju systemów, w tym postępowanie w przypadku podatności, ocenę skuteczności środków, podstawową cyberhigienę i szkolenia, kryptografię, bezpieczeństwo zasobów ludzkich i kontrolę dostępu oraz uwierzytelnianie wieloskładnikowe lub ciągłe. Art. 20 nakłada na organy zarządzające odpowiedzialność za zatwierdzanie tych środków i nadzór nad nimi. Art. 23 określa etapowe zgłaszanie incydentów właściwemu organowi lub zespołowi CSIRT: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu miesiąca od zgłoszenia incydentu. Prawo krajowe może dodawać szczegóły, a w odniesieniu do niektórych dostawców usług cyfrowych, takich jak dostawcy usług chmurowych, centrów danych, usług zarządzanych i DNS, rozporządzenie wykonawcze Komisji (UE) 2024/2690 określa wymagania techniczne bardziej szczegółowo.

Dla kogo

Ta lista kontrolna jest przeznaczona dla:

• Średnich i większych organizacji z sektorów objętych NIS2, które oceniają swoją sytuację
• Dostawców podmiotów objętych dyrektywą, którzy otrzymują kwestionariusze bezpieczeństwa związane z NIS2
• Zespołów zarządzających, które potrzebują uporządkowanego obrazu tego, co omówić z doradcami prawnymi i technicznymi
• Liderów IT i bezpieczeństwa przygotowujących analizę luk i plan działań

Co pomaga wyjaśnić

Przejście przez listę kontrolną pomaga wyjaśnić:

• Czy Państwa organizacja prawdopodobnie podlega dyrektywie i który organ krajowy jest właściwy
• Gdzie obecne zabezpieczenia i dokumentacja nie odpowiadają oczekiwanym środkom
• Kto w kierownictwie ponosi odpowiedzialność i jakich szkoleń potrzebuje
• Które luki należy usunąć w pierwszej kolejności, a które wymagają osobnego wsparcia specjalistów

Co jest zawarte

• Zakres: potwierdzić sektor, wielkość i państwa członkowskie, w których prowadzą Państwo działalność; zapisać wynik i uzasadnienie
• Rejestracja: sprawdzić, czy prawo krajowe wymaga rejestracji w organie i w jakim terminie
• Nadzór: wskazać odpowiedzialnego członka kierownictwa, uzgodnić, jak kierownictwo zatwierdza i przegląda środki bezpieczeństwa, oraz zaplanować szkolenia dla kierownictwa
• Ocena ryzyka: udokumentować usługi krytyczne, wspierające je systemy i główne zagrożenia dla nich
• Polityki: utrzymywać politykę bezpieczeństwa informacji, zasady kontroli dostępu i wytyczne dotyczące kryptografii
• Obsługa incydentów: określić, czym jest dla Państwa poważny incydent, kto podejmuje decyzję i jak będą przygotowywane zgłoszenia 24-godzinne, 72-godzinne i miesięczne
• Ciągłość działania: testować kopie zapasowe i odtwarzanie usług krytycznych oraz udokumentować komunikację kryzysową
• Łańcuch dostaw: sporządzić listę kluczowych dostawców ICT, przeanalizować ich zobowiązania w zakresie bezpieczeństwa i uwzględnić klauzule bezpieczeństwa w umowach
• Bezpieczny rozwój i postępowanie w przypadku podatności: określić, jak podatności są zgłaszane, oceniane i usuwane
• Higiena i szkolenia: prowadzić regularne szkolenia podnoszące świadomość, instalować poprawki zgodnie z harmonogramem i egzekwować MFA
• Skuteczność: zaplanować okresowe przeglądy lub testy wykazujące, że środki działają

Co nie jest uwzględnione

• Porady prawnej ani rozstrzygnięcia, czy podlegają Państwo dyrektywie
• Certyfikacji, zatwierdzenia zgodności ani oficjalnej opinii audytowej
• Składania zgłoszeń lub rejestracji w organach w Państwa imieniu
• Twierdzenia, że wypełnienie listy kontrolnej spełnia wymogi prawa krajowego

Kiedy to wybrać

Z tej listy kontrolnej warto skorzystać przy pierwszej ocenie NIS2, gdy opublikowano lub zaktualizowano transpozycję w kraju, w którym prowadzą Państwo działalność, albo gdy klient prosi o dowód bezpieczeństwa zgodnego z NIS2. Należy łączyć ją z poradą prawną dotyczącą zakresu i wymogów krajowych. Jeśli prowadzą już Państwo program oparty na ISO 27001, przed tworzeniem nowych dokumentów warto odwzorować istniejące zabezpieczenia na tę listę. Ten artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.

Nasze podejście

Należy zacząć od zakresu i nadzoru; prace techniczne bez zaangażowania kierownictwa zwykle utykają. Następnie warto przeprowadzić analizę luk względem wymaganych środków, opierając się na dowodach, a nie na założeniach: konfiguracji, logach, wynikach testów, umowach i dokumentacji szkoleń. Luki należy uszeregować według ryzyka i nakładu pracy oraz opracować plan działań z osobami odpowiedzialnymi i terminami. Nasza usługa Security Baseline Review może zapewnić udokumentowany punkt wyjścia: pisemny obraz uzgodnionych zasobów, obserwacje ocenione według istotności oraz obserwacje dotyczące luk w gotowości względem uzgodnionego punktu odniesienia, jeśli zostały uwzględnione w potwierdzonym zakresie. Wspiera ona wewnętrzne decyzje i rozmowy z interesariuszami, dając udokumentowany obraz gotowości, z którym mogą Państwo zwrócić się do jednostek certyfikujących i doradców prawnych. W zakresie obsługi incydentów warto przećwiczyć harmonogram zgłoszeń w formie ćwiczenia sztabowego (tabletop), aby 24-godzinne wczesne ostrzeżenie było realne, a nie teoretyczne. Plan działań należy aktualizować w miarę rozwoju krajowych wytycznych.

Security Baseline Review

Często zadawane pytania

Artykuły pokrewne