ČLANKI
NIS2: kaj mora biti res na dan uveljavitve
Ne kaj določa direktiva, ampak kaj lahko nadzornik zahteva, da pokažete, in česa večina organizacij ne bo imela.
Obveznost je dokazilo, ne namera
Večina priprav na NIS2 se ustavi pri dokumentu s politiko, ker je politiko najlažje napisati. Direktiva zahteva ukrepe obvladovanja tveganj, ki so ustrezni in sorazmerni, kar v praksi pomeni, da mora nekdo znati pokazati razmislek: kaj ste se odločili, na kakšni podlagi in kaj ste glede tega naredili.
Register, ki ga od nastanka ni nihče posodobil, tega vprašanja ne preživi. Prav tako ne seznam dobaviteljev brez pogodb za njim.
Štiriindvajset ur je krajše, kot se sliši
Ura za zgodnje opozorilo začne teči, ko za pomemben incident izveste, ne ko ga razumete. To pomeni, da mora odločitev »ali je to za prijavo« sprejeti tisti, ki je ob dveh zjutraj na dežurstvu, po zapisanem pragu in brez čakanja na sestanek vodstva.
Če ta prag danes ni zapisan, si ga bo nekdo izmislil pod pritiskom, v najslabši noči v letu.
Vodstvo je osebno zajeto
Del, ki spremeni vedenje, ni globa. Gre za to, da mora vodstvo ukrepe obvladovanja tveganj odobriti in lahko zanje osebno odgovarja. S tem se varnost premakne iz postavke v proračunu IT v nekaj, o čemer mora uprava znati razpravljati tudi brez vodje IT v sobi.