Kontrolní seznam připravenosti na NIS2: praktické kroky pro firmy

Co to je?

Připravenost na NIS2 znamená pochopit, zda a jak se na vás směrnice vztahuje, a poté vybudovat a zdokumentovat řídicí, technická a organizační opatření, která očekává. Článek 21 vyjmenovává oblasti opatření k řízení kybernetických bezpečnostních rizik, mezi něž patří analýza rizik a bezpečnostní politiky, zvládání incidentů, kontinuita činností a krizové řízení, bezpečnost dodavatelského řetězce, bezpečnost při pořizování a vývoji včetně zvládání zranitelností, posuzování účinnosti opatření, základní kybernetická hygiena a školení, kryptografie, bezpečnost lidských zdrojů a řízení přístupu a vícefaktorová nebo kontinuální autentizace. Článek 20 ukládá odpovědnost řídicím orgánům, které tato opatření schvalují a dohlížejí na ně. Článek 23 stanovuje postupné hlášení incidentů příslušnému orgánu nebo týmu CSIRT: včasné varování do 24 hodin od zjištění významného incidentu, oznámení incidentu do 72 hodin a závěrečnou zprávu do jednoho měsíce od oznámení incidentu. Vnitrostátní právo může doplnit podrobnosti a pro některé digitální poskytovatele, jako jsou poskytovatelé cloudových služeb, datových center, řízených služeb a DNS, stanoví technické požadavky podrobněji prováděcí nařízení Komise (EU) 2024/2690.

Pro koho to je?

Tento kontrolní seznam je určen pro:

• Středně velké a větší organizace v odvětvích, na která se NIS2 vztahuje a které posuzují svou pozici
• Dodavatele regulovaných subjektů, kteří dostávají bezpečnostní dotazníky související s NIS2
• Vedení, které potřebuje strukturovaný přehled o tom, co probrat s právními a technickými poradci
• Vedoucí IT a bezpečnosti, kteří připravují analýzu mezer a plán postupu

Co to pomůže objasnit

Projití kontrolního seznamu pomáhá ujasnit:

• Zda vaše organizace pravděpodobně spadá do působnosti a který vnitrostátní orgán je příslušný
• Kde stávající opatření a dokumentace zaostávají za očekávanými opatřeními
• Kdo z vedení nese odpovědnost a jaké školení potřebuje
• Které mezery řešit nejdříve a které vyžadují samostatný odborný vstup

Co je zahrnuto

• Působnost: potvrďte odvětví, velikost a členské státy, ve kterých působíte; zaznamenejte výsledek a zdůvodnění
• Registrace: ověřte, zda vám vnitrostátní právo ukládá registraci u orgánu a do kdy
• Řízení: jmenujte odpovědného člena vedení, dohodněte, jak vedení schvaluje a přezkoumává bezpečnostní opatření, a naplánujte školení vedení
• Posouzení rizik: zdokumentujte kritické služby, podpůrné systémy a hlavní rizika, která je ohrožují
• Politiky: udržujte politiku bezpečnosti informací, pravidla řízení přístupu a pokyny ke kryptografii
• Zvládání incidentů: definujte, co je pro vás významný incident, kdo rozhoduje a jak budou připravována hlášení do 24 hodin, do 72 hodin a do jednoho měsíce
• Kontinuita: otestujte zálohy a obnovu kritických služeb a zdokumentujte krizovou komunikaci
• Dodavatelský řetězec: sepište klíčové dodavatele ICT, přezkoumejte jejich bezpečnostní závazky a zahrňte bezpečnostní ustanovení do smluv
• Bezpečný vývoj a zvládání zranitelností: definujte, jak jsou zranitelnosti hlášeny, tříděny a opravovány
• Hygiena a školení: pořádejte pravidelná osvětová školení, záplatujte podle plánu a vynucujte MFA
• Účinnost: naplánujte pravidelné přezkumy nebo testy, které prokážou, že opatření fungují

Co není součástí

• Právní poradenství nebo rozhodnutí, zda do působnosti spadáte, či nikoli
• Certifikace, schválení souladu nebo oficiální auditorský výrok
• Podávání hlášení nebo registrací orgánům vaším jménem
• Tvrzení, že vyplnění kontrolního seznamu splňuje požadavky vnitrostátního práva

Kdy si ji vybrat

Tento kontrolní seznam použijte při prvním posouzení NIS2, při zveřejnění nebo aktualizaci vnitrostátní transpozice v zemi, kde působíte, nebo když zákazník žádá doklad o zabezpečení v souladu s NIS2. Kombinujte jej s právním poradenstvím k působnosti a vnitrostátním požadavkům. Pokud již provozujete program založený na ISO 27001, namapujte stávající opatření na kontrolní seznam dříve, než vytvoříte nové dokumenty. Tento článek je obecnou informací a není právním poradenstvím.

Náš přístup

Začněte působností a řízením; technická práce bez vlastnictví ze strany vedení má sklon váznout. Dále proveďte analýzu mezer vůči opatřením a opírejte se o důkazy, nikoli o předpoklady: konfiguraci, logy, výsledky testů, smlouvy a záznamy o školení. Seřaďte mezery podle rizika a pracnosti a sestavte plán postupu s vlastníky a termíny. Naše služba Security Baseline Review může poskytnout zdokumentovaný výchozí bod: písemný pohled na dohodnutá aktiva, zjištění odstupňovaná podle závažnosti a zjištění o mezerách v připravenosti vůči dohodnutému referenčnímu rámci, pokud jsou zahrnuta v potvrzeném rozsahu. Podporuje interní rozhodování a diskusi se zainteresovanými stranami zdokumentovaným přehledem připravenosti, který můžete předložit certifikačním orgánům a právním poradcům. Pro zvládání incidentů si časovou osu hlášení nacvičte formou simulačního cvičení (tabletop), aby bylo včasné varování do 24 hodin realistické, a ne jen teoretické. Plán postupu průběžně revidujte podle vývoje vnitrostátních pokynů.

Security Baseline Review

Často kladené otázky

Související články