Shrnutí základních povinností a opatření k NIS2
Nařízení NIS2, prostřednictvím Zákona o kybernetické bezpečnosti definuje řadu povinností a opatření, které musí povinné organizace splnit. Cílem NIS2 je zvýšit odolnost organizací proti kybernetickým útokům a hrozbám napříč EU a ti, kterých se to týká musí zavést preventivní opatření stejně jako musí umět na kybernetické útoky správně reagovat a reportovat je národním autoritám. V zásadě musí:
- Mít směrnice v oblasti kyberbezpečnosti a bezpečnosti informací
- Umět reagovat na kyber-útoky a další incidenty a umět je správně nahlásit
- Umět obnovit svůj provoz po incidentu
- Zajistit bezpečnost svého IT, informačního systému a dodavatelů IT služeb
- Zajistit vzdělávání lidí a jejich základní návyky v oblasti kybernetické hygieny
- Mít kontrolu nad svými daty, systémy i fyzickými prostory a přístupu k nim
Povinnosti a opatření by měla být přiměřená finančním možnostem firmy a hodnotě jejích dat.
Co musí firma udělat, aby byla v souladu s kybernetickým zákonem?
Opatření a povinnosti, které budou muset organizace a firmy kvůli NIS2 zavést lze stručně shrnout do těchto 10-ti základních kroků a oblastí, které musí organizace zvládnout. Co musíte mít zavedeno nebo co musíte prokázat:
- musíte vědět, co potřebujete chránit, jaká máte data a další důležitá aktiva
- vědět, jaké jsou vaše slabiny a rizika, to znamená zavést identifikaci, hodnocení a řízení rizik
- zajistit bezpečnost a ochranu dat a informací, technologií i fyzických prostor a řídit přístup k nim
- vzdělávat zaměstnance, zejména zajistit vzdělávání pracovníků v oblasti kyberbezpečnosti
- zajistit bezpečnost vašeho IT, informačního systému i fyzických prostor
- zvládat nakupované služby a jejich dodavatele, zejména cloudové a IT služby
- chránit se proti útokům a umět reagovat útoky a incidenty
- zajistit obnovu provozu a vašich procesů v případě útoku nebo havárie
- zavést směrnice informační bezpečnosti
- zajistit zlepšování výše uvedeného
Každá organizace je jiná a tak jednotlivá konkrétní opatření. Jednotlivá konkrétní opatření budou v každé organizaci jiná, protože i každá organizace je jiná.
Podrobnější seznam opatření pro NIS2 si můžete projít v navazujících článcích.
