NIS2 megfelelés, fejfájás nélkül
Az EU új kiberbiztonsági irányelve sok szervezet számára emeli a lécet. Felmérjük, hol tartasz, és eljuttatunk a megfelelésig — lépésről lépésre, bizonyíthatóan.
Alapvető és fontos szervezetek
A NIS2 megkülönböztet „alapvető" és „fontos" szervezeteket, de a szabályok mindkettőre hasonlóak — a fő különbség a felügyeletben és a bírságok mértékében van. A gyakorlatban közepes és nagy szervezeteket érint (jellemzően 50+ fő vagy 10 millió euró feletti árbevétel) számos ágazatban.
Az érintett ágazatok közé tartozik az energia, a közlekedés, a bank- és pénzügyi szektor, az egészségügy, az ivó- és szennyvíz, a digitális infrastruktúra és szolgáltatások, a közigazgatás, az űripar, a postai és futárszolgálatok, a hulladékgazdálkodás, a vegy- és élelmiszeripar, valamint a gyártás.
Fontos, hogy a kötelezettségek továbbgyűrűznek az ellátási láncon: még ha rád közvetlenül nem is vonatkozik a NIS2, egy nagyobb ügyfeled elvárhatja, hogy megfelelj az ő elvárásainak. Ezért a „rám vonatkozik-e?" ritkán egyszerű igen-nem kérdés.
Nem biztos, hol tartasz? Egy rövid felmérés egyértelmű, dokumentált választ ad — és egy első listát arról, mi a teendő.
A NIS2 (21. cikk) 10 minimális kockázatkezelési intézkedést ír elő, amelyet minden érintett szervezetnek be kell vezetnie:
- Kockázatelemzési és információrendszer-biztonsági szabályzatok
- Incidenskezelés (észlelés, reagálás, helyreállítás)
- Üzletmenet-folytonosság, mentéskezelés és válságkezelés
- Ellátási lánc biztonsága, a beszállítói kapcsolatokkal együtt
- Biztonság a rendszerek beszerzésében, fejlesztésében és karbantartásában
- A biztonsági intézkedések hatékonyságát mérő eljárások
- Alapvető kiberhigiéniai gyakorlatok és biztonsági képzés
- A kriptográfia és titkosítás alkalmazására vonatkozó szabályok
- HR-biztonság, hozzáférés-kezelés és eszközgazdálkodás
- Többfaktoros hitelesítés és biztonságos kommunikáció
Mindezeken túl: incidensbejelentés szigorú határidőkkel, valamint vezetői szintű felelősség.
A hiányelemzéstől a folyamatos megfelelésig
Hiányelemzés
Hol tartasz a NIS2 elvárásaihoz képest.
Hiánypótlás
Szabályzatok, folyamatok és technikai intézkedések.
Bevezetés
Bevezetés, betanítás és dokumentáció.
Folyamatos támogatás
Auditok, review-k és incidens-készenlét.