Vyspělost NIS 2 · Povinná evropská směrnice
Vaše povinnosti podle NIS 2, změřené po jednotlivých tematických oblastech a převedené do vyčísleného akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost NIS 2 · Povinná evropská směrnice
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Směrnice (EU) 2022/2555, zvaná NIS 2 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je spojuje) mění zjištění v trajektorii.
Umožňuje nastavený mechanismus hlášení incidentů dodržet lhůtu 24 hodin pro včasné varování příslušného orgánu?
- N1
Žádný postup hlášení. Kanál pro oznámení orgánu a očekávaný obsah nejsou určeny.
- N2
Postup existuje na papíře. Kritéria spuštění zůstávají nejasná a nikdo nebyl určen k podání hlášení mimo pracovní dobu.
- N3
Kritéria kvalifikace jsou definována, je určena role pro podání hlášení včetně zástupce a kanál ke komunikaci s orgánem byl alespoň jednou otestován.
- N4
Hlášení je součástí pohotovostního řetězce, lhůty 24 hodin, 72 hodin a jednoho měsíce jsou sledovány jako ukazatele, každé hlášení je zaznamenáno s časovými razítky.
- N5
Mechanismus je prověřen cvičeními zahrnujícími noční a víkendové scénáře a po každém cvičení nebo skutečném incidentu revidován, s doloženým sledováním revizí.
Akce pro posun z N2 na N3
Sepsat kritéria kvalifikace závažného incidentu, určit osobu odpovědnou za podání hlášení a jejího zástupce v pohotovostním rozpisu, poté při příštím krizovém cvičení otestovat kanál oznámení orgánu.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína NIS 2.
O čem tento referenční rámec je
Směrnice (EU) 2022/2555, zvaná NIS 2, nahrazuje směrnici NIS z roku 2016 a výrazně rozšiřuje počet dotčených subjektů. Rozlišuje základní a důležité subjekty, rozdělené do 18 odvětví, od energetiky přes zdravotnictví, dopravu a digitální technologie až po nakládání s odpady a výrobu kritických produktů. Článek 21 vyjmenovává 10 kategorií opatření pro řízení rizik: analýzu rizik, zvládání incidentů, kontinuitu činnosti, bezpečnost dodavatelského řetězce, pořizování a údržbu systémů, hodnocení účinnosti, kybernetickou hygienu a školení, kryptografii, řízení přístupu a správu aktiv, vícefaktorové ověřování. Článek 20 zakládá odpovědnost řídicích orgánů, které musí opatření schválit a absolvovat školení.
Obtížnost nespočívá v přečtení textu, ale ve zjištění, kde se organizace skutečně nachází. Směrnice stanovuje cíle, nikoli podrobné technické požadavky, a jejich upřesnění ponechává na vnitrostátních transpozicích. Konkrétní otázky se vracejí všude: je dodavatelský řetězec skutečně pokryt, nebo jen smluvně již zajištění IT dodavatelé? Zvládá nastavený mechanismus hlášení lhůtu 24 hodin pro včasné varování, včetně víkendů? Schválil řídicí orgán opatření formálně, s doložitelným záznamem? Tyto odpovědi nelze odvodit z inventáře nástrojů.
Je třeba vyvrátit častý omyl: NIS 2 se necertifikuje. Žádný subjekt nevydává certifikát NIS 2. Dohled přísluší příslušným vnitrostátním orgánům, ve Francii úřadu ANSSI, s přísnějším režimem dohledu pro základní subjekty než pro důležité subjekty. Dalším často nepochopeným bodem je, že rozsah působnosti nezávisí jen na velikosti, některé subjekty jsou určeny bez ohledu na počet zaměstnanců. A konečně, vnitrostátní transpozice nebyly přijaty stejným tempem, což ale nesnímá povinnost přípravy ze skupin působících ve více členských státech.
Diagnostika vyspělosti odpovídá na jinou otázku než audit souladu. Audit končí závěrem shoda nebo neshoda k danému datu. Diagnostika zařazuje každý postup na postupnou škálu a určuje, jaká konkrétní akce posune organizaci na vyšší úroveň. U textu, který ponechává orgánům prostor pro uvážení, je toto čtení po úrovních užitečnější než binární verdikt: umožňuje doložit trajektorii, rozhodovat o investicích a porovnávat subjekty v rámci jedné skupiny.
V platformě Datamensio je referenční rámec NIS 2 připraven k okamžitému použití. Můžete jej také přizpůsobit svému kontextu: umělá inteligence upraví tematické oblasti, otázky a úrovně podle metody CMMI, nebo vytvoří odvětvovou variantu na základě vašich vlastních dokumentů, bezpečnostní politiky, plánu kontinuity nebo požadavků vaší vnitrostátní transpozice.
Referenční norma: Směrnice (EU) 2022/2555, zvaná NIS 2
Hodnocené tematické oblasti
Působnost a řízení
Kvalifikace jako základní nebo důležitý subjekt, registrace u vnitrostátního orgánu, role a odpovědnosti, schválení opatření řídicím orgánem, školení vedení.
Analýza rizik a bezpečnostní politika
Formalizovaná a schválená politika, metoda posouzení rizik, pokrytý rozsah, kritéria akceptace, četnost přehodnocení.
Zvládání incidentů
Detekce a kvalifikace, postupy zvládání, zaznamenávání, poučení z incidentů, propojení s provozními týmy.
Hlášení orgánům
Mechanismus včasného varování do 24 hodin, hlášení do 72 hodin, závěrečná zpráva do jednoho měsíce, informování příjemců služeb, pohotovost a rozhodovací řetězec.
Kontinuita činnosti a krizové řízení
Zálohování a otestovaná obnova, plány kontinuity a obnovy provozu, krizové řízení, cvičení a scénáře ransomwarových útoků.
Bezpečnost dodavatelského řetězce
Mapování kritických dodavatelů a poskytovatelů, bezpečnostní smluvní ujednání, hodnocení třetích stran, řízení zranitelností přenesených z řetězce.
Pořizování, vývoj a údržba
Bezpečnost v životním cyklu systémů, správa oprav, zveřejňování a řešení zranitelností, přejímka a uvádění do provozu.
Řízení přístupu a správa aktiv
Inventář aktiv, správa privilegovaných účtů, revize oprávnění, vícefaktorové ověřování, zabezpečená nouzová komunikace.
Kryptografie a ochrana dat
Politika šifrování, správa klíčů, šifrování dat v klidu i při přenosu, používání protokolů.
Kybernetická hygiena, školení a hodnocení účinnosti
Program zvyšování povědomí, základní hygienické postupy, ukazatele, interní audity, měření účinnosti opatření pro řízení rizik.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Je NIS 2 certifikovatelná?
Ne. Žádný subjekt nevydává certifikát NIS 2. Dohled přísluší příslušným vnitrostátním orgánům, s odlišeným režimem dohledu podle toho, zda je subjekt základní nebo důležitý. Diagnostika vyspělosti slouží k doložení trajektorie, nikoli k získání označení.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu s NIS 2?
Audit ověřuje naplnění požadavků k danému datu a končí zjištěním mezery. Diagnostika zařazuje každý postup na pět úrovní a určuje akci, která posune organizaci na vyšší úroveň. Obě se doplňují: diagnostika připravuje a stanovuje priority, audit ověřuje.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu s více přispěvateli, se obvykle rozloží na jeden až dva týdny, přičemž většinu času zabere shromažďování podkladů od bezpečnostních, nákupních a provozních týmů.
Jsme již certifikováni podle ISO 27001, je nutné dělat diagnostiku znovu?
ISO 27001 pokrývá velkou část opatření článku 21, nikoli však všechna. Hlášení orgánům v předepsaných lhůtách, odpovědnost řídicího orgánu a úroveň požadavků na dodavatelský řetězec vyžadují samostatné posouzení. Diagnostika identifikuje tento rozdíl, místo aby vše přehodnocovala znovu.
Lze referenční rámec přizpůsobit našemu odvětví nebo vnitrostátní transpozici?
Ano. Můžete upravit otázky, úrovně, přidat vlastní tematické oblasti nebo začít z prázdného základu. Umělá inteligence také vytvoří variantu na základě vašich dokumentů, například požadavků upřesněných vaším vnitrostátním orgánem. Kontrola nad referenčním rámcem zůstává na vás.
Jak porovnat více subjektů v rámci jedné skupiny?
Každá obchodní jednotka provádí hodnocení podle stejného referenčního rámce, díky čemuž jsou skóre porovnatelná podle tematických oblastí. Průřezová roadmapa pak konsoliduje akční plány a slučuje duplicitní akce, místo aby se řešily subjekt po subjektu.
Je akční plán vyčíslený?
Každá mezera mezi skóre a cílem vygeneruje akci. Katalog služeb nabízí řešení ke každé akci, s uvedením nákladů, lhůty a očekávaného dopadu na skóre. Umělá inteligence poté tyto akce seskupí do prioritizované roadmapy.
Kde jsou data uložena?
Ve Francii, u poskytovatele OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských řešení.