Обязанность, которую никто
не записал в одном месте
NIS 2 задаёт рамку, национальный закон — детали, отраслевые правила добавляют своё, а ваши договоры передают часть обязанностей дальше по цепочке. Обязанность, которая действительно касается вас, существует только на пересечении этих текстов.
«Инцидент затронул поставщика, а не вас. Какие обязанности по уведомлению возникают, в какой срок и перед кем?»
Статья 23 устанавливает этапы уведомления. Национальный закон называет надзорный орган и может ужесточить детали. Договор поставки определяет, когда поставщик должен сообщить вам, — а от этого зависит, можно ли вообще уложиться в срок.
Почему обычного поиска здесь недостаточно
Четыре разных текста — один ответ.
Директива, национальный закон, отраслевой акт и договор. Если читать любой из них в отдельности, получится уверенный, но неверный ответ.
Руководство отвечает лично.
Статья 20 возлагает на органы управления существенных и важных субъектов утверждение мер по управлению рисками и надзор за их выполнением. «Так сказал инструмент» — не та защита, на которую кто-то захочет полагаться: ход рассуждения должен быть открыт для проверки.
Сроки короткие.
Раннее предупреждение отсчитывается часами, а не неделями. Когда отсчёт уже идёт, поздно читать четыре документа, чтобы понять, что делать.
Разбор на примере
Поставщик сообщил об инциденте безопасности, который затрагивает услугу, оказываемую нами. Какие у нас обязанности?
- 01Директива, статья 23
Устанавливает этапы уведомления и требования к их содержанию.
- 02Национальный закон
Называет компетентный орган и канал подачи уведомления.
- 03Договор поставки, пункт 11
Обязывает поставщика уведомить нас, но даёт ему на это до 48 часов.
- 04Внутренний порядок эскалации
Определяет, кто вправе подавать уведомление и кто его замещает.
Обязанность и её этапы следуют из статьи 23 и национального закона; на практике всё упирается в 48 часов, которые договор даёт поставщику, и это названо в выводе прямо, а не спрятано.
Что делает ARGUS в этой задаче
Правовые тексты и внутренние документы в одном индексе
Нормативные акты, национальные законы, политики и договоры доступны для поиска вместе, поэтому ответ может обоснованно переходить от одного к другому.
След рассуждения, а не только ответ
Результат показывает, какой частный вопрос каким текстом решён, — именно это руководство должно иметь возможность проверить.
Выявление конфликтов
Если условие договора мешает выполнить обязанность, установленную законом, система показывает и то и другое вместе, а не выбирает одно.
Один индекс для всей группы
Один и тот же индекс отвечает по нескольким компаниям группы, а документы каждой из них разделены фильтрами по метаданным.
Чего система не делает
Говорим об этом сразу, чтобы это не всплыло на третьей неделе пилота.
- ARGUS не даёт юридических консультаций и не заменяет юриста или вашего руководителя по информационной безопасности (CISO).
- Национальные законы о переносе директивы различаются и меняются. Ответ актуален ровно настолько, насколько актуальны проиндексированные тексты, — поэтому версия всегда указана.
- Он не подаёт уведомления и не подключается к порталам надзорных органов.
- Сценарии здесь построены и показаны на демонстрациях, а не взяты из рабочих внедрений.
Вопросы, которые нам задают
Нужно ли нам самим индексировать текст NIS 2 и национального закона?+
Насколько актуальны ответы ARGUS по NIS 2?+
Может ли ARGUS работать с документами по NIS 2 полностью без интернета?+
Проверьте ARGUS на вопросе, на который уже ушло немало времени
Пришлите один вопрос, на который должны отвечать ваши документы, и те документы, в которых должен быть ответ. Если подтверждения в них нет, это и есть результат — и лучше узнать его до того, как это обнаружит аудитор.
Обновлено: