Dojrzałość NIS 2 · Obowiązkowa dyrektywa europejska
Państwa obowiązki wynikające z NIS 2, zmierzone obszar po obszarze i przełożone na wyliczony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość NIS 2 · Obowiązkowa dyrektywa europejska
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Dyrektywa (UE) 2022/2555, zwana NIS 2 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy oraz działanie łączące oba, zamienia stwierdzenie stanu faktycznego w trajektorię.
Czy mechanizm zgłaszania incydentów pozwala dotrzymać terminu 24 godzin na wczesne ostrzeżenie wobec właściwego organu
- N1
Brak procedury zgłaszania. Kanał zgłoszenia do organu oraz oczekiwana treść nie są określone.
- N2
Procedura istnieje na papierze. Kryteria uruchomienia pozostają niejasne i nikt nie został wyznaczony do przesłania zgłoszenia poza godzinami pracy.
- N3
Kryteria kwalifikacji są zdefiniowane, wyznaczona jest rola osoby zgłaszającej wraz z zastępcą, a kanał kontaktu z organem został przynajmniej raz przetestowany.
- N4
Zgłaszanie jest włączone do łańcucha dyżurów, terminy 24 godzin, 72 godzin i jednego miesiąca są monitorowane jako wskaźniki, każde zgłoszenie jest rejestrowane wraz ze znacznikami czasu.
- N5
Mechanizm jest sprawdzany w ramach ćwiczeń obejmujących scenariusze nocne i weekendowe, a po każdym ćwiczeniu lub rzeczywistym incydencie jest poddawany przeglądowi, z udokumentowanym śledzeniem wprowadzonych zmian.
Działanie umożliwiające przejście z N2 do N3
Spisanie kryteriów kwalifikacji istotnego incydentu, wyznaczenie osoby zgłaszającej oraz jej zastępcy w harmonogramie dyżurów, a następnie przeprowadzenie testu kanału zgłoszenia do organu podczas kolejnego ćwiczenia kryzysowego.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna NIS 2.
O czym jest ten model referencyjny
Dyrektywa (UE) 2022/2555, zwana NIS 2, zastępuje dyrektywę NIS z 2016 roku i znacząco poszerza liczbę podmiotów objętych jej zakresem. Rozróżnia ona podmioty kluczowe i podmioty ważne, rozmieszczone w 18 sektorach, od energetyki po ochronę zdrowia, od transportu po sektor cyfrowy, poprzez gospodarkę odpadami i produkcję wyrobów krytycznych. Artykuł 21 wymienia 10 kategorii środków zarządzania ryzykiem: analizę ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, nabywanie i utrzymanie systemów, ocenę skuteczności, higienę i szkolenia, kryptografię, kontrolę dostępu i zarządzanie aktywami, uwierzytelnianie wieloskładnikowe. Artykuł 20 angażuje odpowiedzialność organów zarządzających, które muszą zatwierdzić środki i odbyć szkolenie.
Trudność nie polega na przeczytaniu tekstu, lecz na ustaleniu, na jakim etapie Państwo się znajdują. Dyrektywa wyznacza cele, a nie szczegółowe wymagania techniczne, i pozostawia krajowym transpozycjom doprecyzowanie przepisów. Konkretne pytania powracają wszędzie: czy łańcuch dostaw jest rzeczywiście objęty, czy tylko dostawcy IT już związani umową? Czy mechanizm zgłaszania mieści się w terminie 24 godzin na wczesne ostrzeżenie, również w weekend? Czy organ zarządzający formalnie zatwierdził środki, z możliwym do wykorzystania śladem tego zatwierdzenia? Na te pytania nie da się odpowiedzieć na podstawie samego spisu narzędzi.
Warto rozwiać częste nieporozumienie: NIS 2 nie podlega certyfikacji. Żadna jednostka nie wydaje certyfikatu NIS 2. Nadzór sprawują właściwe organy krajowe, we Francji ANSSI, przy czym reżim nadzoru jest bardziej wymagający wobec podmiotów kluczowych niż wobec podmiotów ważnych. Kolejny często mylnie rozumiany punkt: zakres zastosowania nie zależy wyłącznie od wielkości podmiotu, niektóre podmioty są wskazane niezależnie od liczby zatrudnionych. Wreszcie, krajowe transpozycje nie zostały przyjęte w jednakowym tempie, co nie znosi obowiązku przygotowania dla grup obecnych w kilku państwach członkowskich.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt kończy się stwierdzeniem zgodności albo niezgodności, w określonym dniu. Diagnoza umiejscawia każdą praktykę na skali progresywnej i wskazuje konkretne działanie, które pozwala przejść na wyższy poziom. W przypadku tekstu pozostawiającego organom pewien margines oceny, takie odczytanie poziomami jest bardziej użyteczne niż binarny werdykt: pozwala wykazać trajektorię, zdecydować o priorytetach inwestycji i porównać podmioty w ramach tej samej grupy.
W Datamensio model referencyjny NIS 2 jest gotowy do użycia. Mogą Państwo również dostosować go do własnego kontekstu: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy zgodnie z metodą CMMI, albo tworzy wersję sektorową na podstawie Państwa własnych dokumentów, polityki bezpieczeństwa, planu ciągłości działania lub wymogów wynikających z Państwa krajowej transpozycji.
Norma referencyjna: Dyrektywa (UE) 2022/2555, zwana NIS 2
Oceniane obszary tematyczne
Zakres i ład organizacyjny
Kwalifikacja jako podmiot kluczowy lub ważny, rejestracja u organu krajowego, role i odpowiedzialności, zatwierdzanie środków przez organ zarządzający, szkolenie kadry kierowniczej.
Analiza ryzyka i polityka bezpieczeństwa
Sformalizowana i zatwierdzona polityka, metoda oceny ryzyka, zakres objęty analizą, kryteria akceptacji, częstotliwość ponownej oceny.
Zarządzanie incydentami
Wykrywanie i kwalifikacja, procedury obsługi, rejestrowanie zdarzeń, wnioski z doświadczeń, powiązanie z zespołami operacyjnymi.
Zgłaszanie organom
Mechanizm wczesnego ostrzegania w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca, informowanie odbiorców usług, dyżur i ścieżka decyzyjna.
Ciągłość działania i zarządzanie kryzysowe
Kopie zapasowe i testowane odtwarzanie, plany ciągłości i odtwarzania działania, zarządzanie kryzysowe, ćwiczenia i scenariusze ataku ransomware.
Bezpieczeństwo łańcucha dostaw
Mapowanie dostawców i usługodawców krytycznych, klauzule bezpieczeństwa w umowach, ocena stron trzecich, zarządzanie podatnościami przekazywanymi przez łańcuch dostaw.
Nabywanie, rozwój i utrzymanie systemów
Bezpieczeństwo w cyklu życia systemów, zarządzanie poprawkami, ujawnianie i obsługa podatności, odbiory i wdrożenia produkcyjne.
Kontrola dostępu i zarządzanie aktywami
Inwentaryzacja aktywów, zarządzanie kontami uprzywilejowanymi, przeglądy uprawnień, uwierzytelnianie wieloskładnikowe, bezpieczna komunikacja awaryjna.
Kryptografia i ochrona danych
Polityka szyfrowania, zarządzanie kluczami, szyfrowanie danych w spoczynku i w tranzycie, stosowanie protokołów.
Higiena informatyczna, szkolenia i ocena skuteczności
Program uświadamiający, podstawowe praktyki higieny, wskaźniki, audyty wewnętrzne, pomiar skuteczności środków zarządzania ryzykiem.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy NIS 2 podlega certyfikacji
Nie. Żadna jednostka nie wydaje certyfikatu NIS 2. Nadzór sprawują właściwe organy krajowe, przy zróżnicowanym reżimie nadzoru w zależności od tego, czy podmiot jest kluczowy czy ważny. Diagnoza dojrzałości służy wykazaniu udokumentowanej trajektorii, a nie uzyskaniu etykiety.
Jaka jest różnica między tą diagnozą a audytem zgodności NIS 2
Audyt weryfikuje obecność wymogów w określonym dniu i kończy się stwierdzeniem luki. Diagnoza umiejscawia każdą praktykę na pięciu poziomach i wskazuje działanie prowadzące do kolejnego poziomu. Oba podejścia się uzupełniają: diagnoza przygotowuje i porządkuje priorytety, audyt potwierdza.
Ile czasu zajmuje ocena
Wersja skrócona wypełniana jest w 20 do 30 minut. Wersja pełna, prowadzona wspólnie przez kilku uczestników, trwa zwykle od jednego do dwóch tygodni, przy czym większość czasu pochłania zebranie informacji od zespołów ds. bezpieczeństwa, zakupów i ciągłości działania.
Jesteśmy już certyfikowani według ISO 27001, czy trzeba przeprowadzać diagnozę ponownie
ISO 27001 obejmuje znaczną część środków z artykułu 21, ale nie wszystkie. Terminowe zgłaszanie organom, odpowiedzialność organu zarządzającego oraz poziom wymagań wobec łańcucha dostaw wymagają odrębnego sprawdzenia. Diagnoza identyfikuje tę różnicę, zamiast ponownie oceniać wszystko od nowa.
Czy można dostosować model referencyjny do Państwa sektora lub krajowej transpozycji
Tak. Mogą Państwo zmieniać pytania, poziomy, dodawać własne obszary tematyczne lub zacząć od pustej wersji. Sztuczna inteligencja tworzy także wersję na podstawie Państwa dokumentów, na przykład wymogów doprecyzowanych przez Państwa organ krajowy. Pełna kontrola nad modelem referencyjnym należy do Państwa.
Jak porównać kilka podmiotów w ramach tej samej grupy
Każda jednostka biznesowa przeprowadza ocenę na podstawie tego samego modelu referencyjnego, co pozwala porównywać wyniki obszar po obszarze. Przekrojowa mapa drogowa konsoliduje plany działania i grupuje powtarzające się działania, zamiast rozpatrywać je osobno dla każdego podmiotu.
Czy plan działania jest wyliczony finansowo
Każda luka między wynikiem a celem generuje działanie. Katalog usług przypisuje rozwiązanie do każdego działania, wraz z kosztem, terminem i oczekiwanym wpływem na wynik. Sztuczna inteligencja grupuje następnie te działania w uporządkowaną według priorytetów mapę drogową.
Gdzie przechowywane są dane
We Francji, u dostawcy OVH, z kopią zapasową u Scaleway. Brak jakiegokolwiek transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.