Problem · NIS2

Jak przygotować organizację do NIS2?

Przygotowanie do NIS2 to proces, nie jednorazowy projekt - obejmuje zarówno dokumentację, jak i realne zmiany w zarządzaniu bezpieczeństwem.

Punktem wyjścia jest audyt luk względem wymagań ustawy, obejmujący m.in. zarządzanie ryzykiem, obsługę incydentów, bezpieczeństwo łańcucha dostaw i ciągłość działania. Na tej podstawie buduje się plan wdrożenia priorytetowych działań, w tym systemu zarządzania bezpieczeństwem informacji (SZBI).

Dyrektywa NIS2 wskazuje dziesięć obszarów, które musi obejmować zarządzanie ryzykiem bezpieczeństwa sieci i systemów informatycznych: analizę ryzyka i politykę bezpieczeństwa systemów, obsługę incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu systemów, ocenę skuteczności wdrożonych środków, podstawową cyberhigienę i szkolenia, politykę i procedury stosowania kryptografii, bezpieczeństwo zasobów ludzkich i kontrolę dostępu oraz stosowanie uwierzytelniania wieloskładnikowego tam, gdzie to zasadne.

Wdrożenie kończy się zwykle stałym nadzorem - monitorowaniem wskaźników ryzyka (KRI), aktualizacją procedur i szkoleniem pracowników, ponieważ NIS2 wymaga utrzymania zgodności, a nie jednorazowego jej osiągnięcia.

Warto zaplanować wdrożenie z odpowiednim wyprzedzeniem względem terminu rejestracji w wykazie podmiotów kluczowych i ważnych - w praktyce organizacje, które czekają z przygotowaniami do ostatniej chwili, najczęściej mają braki właśnie w obszarze łańcucha dostaw i zarządzania incydentami, bo te elementy wymagają czasu na wynegocjowanie zmian w umowach z dostawcami.

Podstawa prawna

art. 21 dyrektywy NIS2 oraz odpowiadające mu przepisy ustawy o krajowym systemie cyberbezpieczeństwa