KSC/NIS2: od obowiązku do gotowości operacyjnej.
Pomagamy ustalić status organizacji, zaplanować wymagane działania i wdrożyć rozwiązania, które działają także poza dokumentacją.
Jeden proces, jasne rezultaty.
Zakres może obejmować cały program dostosowawczy albo wybrany etap, jeśli organizacja część prac już wykonała.
Samoidentyfikacja
Analizujemy sektor, rodzaj działalności, wielkość oraz pozostałe przesłanki z art. 5 i załączników do ustawy.
Wykaz KSC i odpowiedzialność
Przygotowujemy informacje do wpisu, role kontaktowe i zakres odpowiedzialności kierownictwa oraz osób operacyjnych.
Ocena stanu obecnego
Porównujemy wymagania z dokumentacją, procesami, zabezpieczeniami technicznymi i rzeczywistym sposobem pracy.
System i dokumentacja
Budujemy SZBI oparte na ryzyku: polityki, procedury, rejestry, mierniki i zasady nadzoru.
Środki bezpieczeństwa
Porządkujemy dostęp, sieć, backup, ciągłość działania, dostawców oraz wykrywanie i obsługę incydentów.
Gotowość do kontroli i audytu
Sprawdzamy wykonanie planu, kompletność dowodów i obszary wymagające dalszej pracy.
Rezultaty dla kierownictwa
- ustalony status i zakres obowiązków
- mapa luk oraz ryzyk
- priorytety z odpowiedzialnością i terminami
- komplet uzgodnionej dokumentacji SZBI
- rejestr dowodów wykonania działań
- czytelny obraz gotowości organizacji
Obszary operacyjne
- zarządzanie ryzykiem
- obsługa i zgłaszanie incydentów
- ciągłość działania i odtwarzanie
- bezpieczeństwo łańcucha dostaw
- kontrola dostępu i aktywów
- szkolenia i odpowiedzialność personelu
Audyt gotowości a audyt ustawowy.
Audyt gotowości wskazuje luki przed wdrożeniem lub kontrolą i może być częścią programu naprawczego prowadzonego przez AJCS.
Formalny audyt z art. 15 KSC wymaga zachowania niezależności oraz odpowiedniego, co najmniej dwuosobowego składu audytorskiego. Jego zakres i zespół potwierdzamy oddzielnie przed przyjęciem zlecenia.
Takie rozdzielenie pozwala uniknąć sytuacji, w której ta sama osoba wdraża rozwiązania, a następnie formalnie ocenia własną pracę.
Połączenie audytu, zarządzania i techniki.
Za AJCS odpowiada Artur Adamus — audytor wiodący ISO 27001, magister ze specjalnością cyberbezpieczeństwo oraz absolwent studiów podyplomowych z zarządzania cyberbezpieczeństwem w sektorze publicznym.
W zależności od zakresu AJCS współpracuje z zespołem klienta i specjalistami wymaganymi do zachowania kompetencji oraz niezależności.
Status organizacji ustalamy na podstawie faktów.
O objęciu KSC nie decyduje sama deklaracja ani wyłącznie liczba pracowników. Znaczenie mają m.in. sektor, rzeczywisty rodzaj działalności, wielkość organizacji oraz szczególne przesłanki ustawowe.
W sprawach wymagających wiążącej interpretacji kwalifikację należy potwierdzić z właściwym organem ds. cyberbezpieczeństwa lub doradcą prawnym.
Materiały urzędowe: kogo obejmuje KSC oraz obowiązki podmiotów.
Ustalmy, na jakim etapie jest organizacja.
W wiadomości podaj sektor, główny rodzaj działalności, lokalizacje i informację, czy organizacja jest już w Wykazie KSC.