Zrelost NIS 2 · Obvezna evropska direktiva
Vaše obveznosti po NIS 2, izmerjene po posameznih tematskih področjih in prevedene v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost NIS 2 · Obvezna evropska direktiva
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Direktiva (EU) 2022/2555, imenovana NIS 2 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem, stopnja, višja stopnja in dejanje, ki ju povezuje, spremeni ugotovitev v trajektorijo.
Ali sistem obveščanja o incidentih omogoča spoštovanje 24-urnega roka za zgodnje opozorilo pristojnemu organu?
- N1
Noben postopek obveščanja ne obstaja. Kanal za prijavo organu in pričakovana vsebina nista opredeljena.
- N2
Postopek obstaja na papirju. Merila za sprožitev ostajajo nejasna in nihče ni določen za pošiljanje obvestila izven delovnega časa.
- N3
Merila za opredelitev so določena, vloga obveščanja je dodeljena z namestnikom, kanal do organa pa je bil preizkušen vsaj enkrat.
- N4
Obveščanje je vključeno v verigo dežurstva, roki 24 ur, 72 ur in en mesec se spremljajo kot kazalniki, vsako obvestilo je zabeleženo s časovnimi žigi.
- N5
Sistem je preizkušen z vajami, ki vključujejo nočne in vikend scenarije, in se dopolnjuje po vsaki vaji ali resničnem incidentu, z dokumentiranim sledenjem spremembam.
Dejanje za prehod iz stopnje 2 v stopnjo 3
Zapisati merila za opredelitev pomembnega incidenta, v razporedu dežurstva določiti pošiljatelja obvestila in njegovega namestnika, nato pa ob naslednji krizni vaji izvesti preizkus kanala za prijavo organu.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna NIS 2.
O čem govori ta referenčni okvir
Direktiva (EU) 2022/2555, imenovana NIS 2, nadomešča direktivo NIS iz leta 2016 in občutno razširja krog zajetih subjektov. Loči med bistvenimi in pomembnimi subjekti, razporejenimi v 18 sektorjev, od energetike do zdravstva, od prometa do digitalnih storitev, pa tudi ravnanja z odpadki in proizvodnje ključnih izdelkov. Njen 21. člen našteva 10 kategorij ukrepov za obvladovanje tveganj: analizo tveganj, obravnavo incidentov, neprekinjeno poslovanje, varnost dobavne verige, nabavo in vzdrževanje sistemov, ocenjevanje učinkovitosti, higieno in usposabljanje, kriptografijo, nadzor dostopa in upravljanje sredstev ter večfaktorsko avtentikacijo. Člen 20 uveljavlja odgovornost organov vodenja, ki morajo ukrepe odobriti in se udeležiti usposabljanja.
Težava ni v branju besedila, temveč v tem, da vemo, kje dejansko stojimo. Direktiva postavlja cilje, ne podrobnih tehničnih zahtev, podrobnosti pa prepušča nacionalnim prenosom. Konkretna vprašanja se pojavljajo povsod: ali je dobavna veriga res pokrita, ali le že pogodbeno vezani ponudniki informacijske tehnologije? Ali sistem obveščanja zdrži rok 24 ur za zgodnje opozorilo, tudi med vikendom? Ali je organ vodenja ukrepe formalno odobril, z uporabno sledjo? Teh odgovorov ni mogoče izpeljati iz popisa orodij.
Pogosto nesporazum je vreden pojasnila: NIS 2 se ne certificira. Noben organ ne izdaja certifikata NIS 2. Nadzor izvajajo pristojni nacionalni organi, v Franciji ANSSI, pri čemer je režim nadzora strožji za bistvene subjekte kot za pomembne. Druga pogosto napačno razumljena točka: obseg ni odvisen zgolj od velikosti, nekateri subjekti so določeni ne glede na število zaposlenih. Nazadnje, nacionalni prenosi niso bili sprejeti po enotnem časovnem razporedu, kar pa ne odpravlja obveznosti priprave za skupine, prisotne v več državah članicah.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja se konča s sklepom skladno ali neskladno, na dan izvedbe. Diagnostika umesti vsako prakso na postopno lestvico in pokaže, katero konkretno dejanje vodi na naslednjo stopnjo. Pri besedilu, ki organom pušča prostor za presojo, je takšen pogled po stopnjah bolj koristen kot dvojni izid: omogoča prikaz trajektorije, tehtanje vlaganj in primerjavo subjektov znotraj iste skupine.
V Datamensiu je referenčni okvir NIS 2 pripravljen za takojšnjo uporabo. Lahko ga tudi prilagodite svojemu kontekstu: umetna inteligenca prilagodi tematska področja, vprašanja in stopnje po metodi CMMI, ali pa iz vaših lastnih dokumentov, varnostne politike, načrta neprekinjenega poslovanja ali zahtev vašega nacionalnega prenosa zgradi sektorsko različico.
Referenčni standard: Direktiva (EU) 2022/2555, imenovana NIS 2
Ocenjevana tematska področja
Obseg in upravljanje
Opredelitev kot bistveni ali pomembni subjekt, registracija pri nacionalnem organu, vloge in odgovornosti, odobritev ukrepov s strani organa vodenja, usposabljanje vodstva.
Analiza tveganj in varnostna politika
Formalizirana in odobrena politika, metoda ocenjevanja tveganj, zajeti obseg, merila sprejemljivosti, pogostost ponovnih ocen.
Obravnava incidentov
Zaznavanje in opredelitev, postopki obravnave, beleženje, povratne izkušnje, povezava z operativnimi ekipami.
Obveščanje organov
Sistem zgodnjega opozarjanja v 24 urah, obveščanje v 72 urah, končno poročilo v enem mesecu, obveščanje prejemnikov storitev, dežurstvo in veriga odločanja.
Neprekinjeno poslovanje in obvladovanje kriz
Varnostno kopiranje in testirana obnovitev, načrti neprekinjenega poslovanja in okrevanja, obvladovanje kriz, vaje in scenariji izsiljevalske programske opreme.
Varnost dobavne verige
Popis ključnih dobaviteljev in izvajalcev, pogodbene varnostne klavzule, ocenjevanje tretjih strani, obvladovanje ranljivosti, ki prihajajo iz verige.
Nabava, razvoj in vzdrževanje
Varnost v življenjskem ciklu sistemov, upravljanje popravkov, razkrivanje in obravnava ranljivosti, testiranje in uvedba v produkcijo.
Nadzor dostopa in upravljanje sredstev
Popis sredstev, upravljanje privilegiranih računov, pregledi pooblastil, večfaktorska avtentikacija, varna komunikacija v izrednih razmerah.
Kriptografija in zaščita podatkov
Politika šifriranja, upravljanje ključev, šifriranje podatkov v mirovanju in prenosu, uporaba protokolov.
Informacijska higiena, usposabljanje in ocenjevanje učinkovitosti
Program ozaveščanja, osnovne higienske prakse, kazalniki, notranje presoje, merjenje učinkovitosti ukrepov za obvladovanje tveganj.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali je NIS 2 mogoče certificirati?
Ne. Noben organ ne izdaja certifikata NIS 2. Nadzor izvajajo pristojni nacionalni organi, z diferenciranim režimom nadzora glede na to, ali je subjekt bistven ali pomemben. Diagnostika zrelosti služi za prikaz dokumentirane trajektorije, ne za pridobitev oznake.
Kakšna je razlika med to diagnostiko in presojo skladnosti z NIS 2?
Presoja preveri obstoj zahtev na določen dan in se zaključi z vrzeljo. Diagnostika umesti vsako prakso na pet stopenj in pokaže dejanje, ki vodi na naslednjo stopnjo. Oba pristopa se dopolnjujeta: diagnostika pripravi in razvrsti prednostne naloge, presoja pa potrdi.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu z več sodelujočimi, običajno traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje podatkov od varnostnih, nabavnih in kontinuitetnih ekip.
Ker smo že certificirani po ISO 27001, ali moramo ponovno izvesti diagnostiko?
ISO 27001 pokriva velik del ukrepov iz 21. člena, vendar ne vseh. Obveščanje organov v predpisanih rokih, odgovornost organa vodenja in raven zahtev glede dobavne verige zahtevajo poseben pregled. Diagnostika opredeli to razliko, namesto da bi vse ponovno ocenjevala.
Ali je referenčni okvir mogoče prilagoditi našemu sektorju ali nacionalnemu prenosu?
Da. Vprašanja in stopnje lahko spremenite, dodate lastna tematska področja ali začnete iz prazne osnove. Umetna inteligenca lahko različico zgradi tudi na podlagi vaših dokumentov, na primer zahtev, ki jih natančneje določi vaš nacionalni organ. Nadzor nad referenčnim okvirom ostaja v vaših rokah.
Kako primerjati več subjektov znotraj iste skupine?
Vsaka poslovna enota izvede ocenjevanje na istem referenčnem okviru, kar omogoča primerljivost ocen po posameznih tematskih področjih. Skupni načrt poti združi akcijske načrte in poveže podvojene ukrepe, namesto da bi jih obravnaval ločeno za vsak subjekt.
Ali je akcijski načrt ovrednoten?
Vsaka vrzel med oceno in ciljem sproži dejanje. Katalog storitev za vsako dejanje ponudi rešitev, z njenim stroškom, rokom in pričakovanim vplivom na oceno. Umetna inteligenca nato ta dejanja združi v prednostno razvrščen načrt poti.
Kje so podatki gostovani?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov zunaj Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.