Problem · NIS2

Jakie procedury cyberbezpieczeństwa są wymagane?

NIS2 wymaga udokumentowanych, wdrożonych i testowanych procedur - sama polityka bezpieczeństwa na papierze nie wystarczy.

Ustawa wymaga m.in. polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych, procedur obsługi incydentów, planów ciągłości działania i zarządzania kryzysowego, procedur bezpieczeństwa łańcucha dostaw oraz zasad stosowania kryptografii i szyfrowania.

Do tego dochodzą procedury dotyczące bezpieczeństwa w cyklu życia systemów (od zakupu i wdrożenia, przez utrzymanie, po wycofanie z użycia), zasady kontroli dostępu oparte na najmniejszych niezbędnych uprawnieniach, polityka stosowania uwierzytelniania wieloskładnikowego dla dostępu do systemów krytycznych oraz plan cyklicznych szkoleń podnoszących świadomość zagrożeń (tzw. cyberhigiena) wśród wszystkich pracowników, nie tylko działu IT.

Zakres i poziom szczegółowości procedur powinien być proporcjonalny do wielkości organizacji i poziomu ryzyka - dlatego przed napisaniem dokumentów warto wykonać analizę ryzyka, która wskaże, które obszary wymagają najbardziej rozbudowanych zabezpieczeń.

Same procedury nie wystarczą bez dowodów ich stosowania - organ nadzorczy podczas kontroli może poprosić o dzienniki zdarzeń, protokoły z testów planów ciągłości działania czy listy obecności ze szkoleń. Brak takich dowodów bywa traktowany podobnie jak brak samej procedury.

Podstawa prawna

art. 21 dyrektywy NIS2 oraz przepisy wykonawcze do ustawy o KSC