NIS2 jest już prawem. Cyberbezpieczeństwo staje się odpowiedzialnością kierownictwa.

Podstawowe obowiązki zgodnie z § 30 BSIG

Muszą Państwo nie tylko wdrożyć te środki, ale też być w stanie wykazać zgodność z wymaganiami NIS2 w każdej chwili.

• Analiza ryzyka i koncepcja bezpieczeństwa – Nie jednorazowy dokument, lecz żywy proces z wersjonowaniem, przeglądami i akceptacją najwyższego kierownictwa.
• Reagowanie na incydenty bezpieczeństwa – Ze ścieżkami eskalacji, jasno określonymi rolami i wielopoziomowym łańcuchem zgłaszania do BSI.
• Planowanie ciągłości działania i zarządzanie kryzysowe – Strategia tworzenia kopii zapasowych, przetestowane czasy odtwarzania oraz zespół kryzysowy, który działa nawet bez poczty e-mail.
• Zarządzanie ryzykiem bezpieczeństwa w łańcuchu dostaw – Państwa odpowiedzialność nie kończy się przy bramie zakładu: usługodawców należy oceniać i nimi zarządzać.
• Bezpieczeństwo w zamówieniach, rozwoju i utrzymaniu – Security by design nie jest już opcjonalne, lecz podlega wymogom dokumentacji.
• Przegląd skuteczności – Muszą Państwo być w stanie mierzyć, czy środki rzeczywiście działają – a nie jedynie, że istnieją.
• Podstawowa higiena cybernetyczna i szkolenia – Dla wszystkich pracowników, regularnie i udokumentowane.
• Kryptografia i szyfrowanie – Z udokumentowanymi procesami zarządzania kluczami.
• Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami – W sposób wykazywalny uregulowane, a nie jedynie pozostawione „IT do załatwienia”.
• Uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja – Nie podlega negocjacjom w przypadku dostępu uprzywilejowanego.