NIS2 v praksi: kaj mora podjetje res dokumentirati

1. Ni dovolj, da imate pravila – pokazati morate tudi njihovo izvajanje

Pri pripravah na NIS2 se pogovor pogosto začne pri tehnologiji: varnostnih rešitvah, pregledih in novih sistemih. Toda pomemben del skladnosti predstavljajo tudi dokumentirani postopki, odgovornosti in dokazila, da se dogovorjeni ukrepi v praksi res izvajajo.

Dobro izhodiščno vprašanje je zato: kaj bi lahko pokazali, če bi morali jutri pojasniti, kako obvladujete tveganja, incidente, dostope in dobavitelje?

Članek podaja praktičen procesni pregled in ni pravni nasvet. Obseg obveznosti je odvisen od dejavnosti, velikosti, položaja organizacije in veljavne nacionalne zakonodaje, zato ga je treba preveriti pri pristojnem strokovnjaku ali organu.

2. Popis storitev, sistemov in odgovornosti

Uporaben popis ni le seznam naprav ali aplikacij. Povezati mora poslovne storitve s sistemi, podatki, odvisnostmi in odgovornimi osebami.

Za vsako pomembno storitev naj bo razvidno:

• kateri sistemi in dobavitelji jo podpirajo,
• kdo je lastnik storitve, sistema in podatkov,
• kakšne bi bile posledice izpada,
• kje se podatki obdelujejo in kdo ima dostop,
• kateri nadomestni postopki so na voljo.

Popis brez imenovanih odgovornih oseb je predvsem seznam. Ob incidentu pa je ključno, da je takoj jasno, kdo odloča in kdo mora ukrepati.

3. Postopek obravnave incidentov

Postopek mora opisati celoten potek: zaznavo dogodka, začetno oceno, razvrstitev, omejitev posledic, obveščanje, odpravo težave in zaključni pregled.

Pri pomembnih incidentih NIS2 predvideva večstopenjsko poročanje: zgodnje opozorilo v 24 urah, prijavo incidenta v 72 urah in končno poročilo praviloma najpozneje v enem mesecu. Konkretna izvedba je odvisna tudi od nacionalne ureditve in navodil pristojnega organa.

Ker so roki kratki, mora biti vnaprej določeno:

• kdo presodi, ali je incident pomemben,
• kdo odobri in odda prijavo,
• kdo nadomešča odgovorno osebo,
• kje se zbirajo podatki in dokazila,
• kako se spremljajo roki in nadaljnje naloge.

Merila morajo biti uporabna tudi pod časovnim pritiskom

Ocena incidenta ne sme temeljiti le na občutku posameznika. Vnaprej določena merila lahko vključujejo trajanje in obseg motnje, število prizadetih uporabnikov, vpliv na ključne storitve, vrsto prizadetih podatkov in morebitne čezmejne posledice.

4. Dobavitelji in dobavna veriga

Organizacije imajo z dobavitelji pogodbe, pogosto pa nimajo enotnega pregleda nad tem, katere storitve podpirajo, do katerih sistemov dostopajo in kakšna tveganja predstavljajo.

Za pomembne dobavitelje je smiselno evidentirati:

• podprte storitve in sisteme,
• vrsto in obseg dostopa,
• lastnika odnosa z dobaviteljem,
• dogovorjene obveznosti ob incidentu,
• datum zadnjega pregleda ter veljavnost dostopov.

Posebno pozornost zahtevajo dostopi, ki ostanejo aktivni po zaključku projekta ali spremembi sodelovanja.

5. Razlika med pravilnikom in dokazilom

Pravilnik opisuje, kako naj organizacija ravna. Dokazilo pokaže, da je tako tudi ravnala. Za učinkovit sistem potrebujete oboje.

Tipični pari so:

• politika varnostnega kopiranja in zapis o uspešnem preizkusu obnovitve,
• načrt neprekinjenega poslovanja in zapisnik izvedene vaje,
• program ozaveščanja in evidenca izvedenih usposabljanj,
• postopek upravljanja dostopov in sled odobritev ter ukinitev,
• postopek obravnave incidentov in dnevnik dejanskih incidentov.

Dokazil ni mogoče kakovostno ustvariti za nazaj. Nastajati morajo kot del vsakodnevnega dela.

6. Kje se sistem najpogosteje zatakne

V praksi se pogosto pojavijo podobne težave:

• popisi so zastareli in odvisni od ene osebe,
• incidenti se obravnavajo po e-pošti in klepetu brez enotne evidence,
• roki niso povezani z opomniki in odgovornimi osebami,
• dostopi dobaviteljev nimajo določenega datuma pregleda ali ukinitve,
• dokazila so razpršena po različnih mapah in oddelkih.

To niso le tehnične pomanjkljivosti. Predvsem so znak, da proces, odgovornosti in način evidentiranja niso dovolj jasno določeni.

7. Kako zahteve vključiti v sledljiv proces

Najprej popišite dejanski način dela. Nato določite odgovorne osebe, merila, roke in potrebna dokazila. Šele zatem izberite orodje, ki bo proces podprlo.

V urejenem sistemu ima vsak incident svoj status, odgovorno osebo, roke, zgodovino odločitev in pripadajoča dokazila. Opomniki se ustvarjajo samodejno, poročilo pa se sestavi iz podatkov, ki so nastajali med obravnavo.

Dober pokazatelj zrelosti je preprost: če lahko zahtevana dokazila zberete brez posebnega projekta in dolgotrajnega iskanja, je proces verjetno dobro postavljen.

8. Iz prakse BizIT

Za podporo takšnemu procesu smo skupaj s partnerjem razvili rešitev ComplyIT. Omogoča evidentiranje in razvrščanje incidentov, spremljanje rokov ter pripravo podatkov za poročanje. Orodje ne nadomesti dogovorjenega postopka, temveč zagotovi, da se ta izvaja sledljivo in pravočasno.