Povinnosť, ktorú nikto
nespísal na jednom mieste
NIS 2 určuje rámec, národný zákon podrobnosti, odvetvové predpisy pridávajú vlastné požiadavky a vaše zmluvy časť z toho posúvajú ďalej v dodávateľskom reťazci. Povinnosť, ktorá sa na vás naozaj vzťahuje, existuje len v prieniku týchto textov.
„Incident postihol dodávateľa, nie vás. Ktoré oznamovacie povinnosti vám tým vznikajú, v akej lehote a voči komu?“
Článok 23 stanovuje fázy hlásenia. Národná transpozícia určuje príslušný orgán a podrobnosti môže sprísniť. Vaša dodávateľská zmluva určuje, kedy vám to dodávateľ musí oznámiť — a od toho závisí, či sa o incidente vôbec dozviete včas na to, aby ste lehotu dodržali.
Prečo bežné vyhľadávanie k odpovedi nedovedie
Štyri druhy textov, jedna odpoveď.
Smernica, národný zákon, odvetvový predpis a zmluva. Kto číta len jeden z týchto textov, dostane odpoveď, ktorá znie presvedčivo, no je nesprávna.
Vedenie zodpovedá osobne.
Článok 20 ukladá riadiacim orgánom schvaľovať opatrenia na riadenie rizík a dohliadať na ich vykonávanie. „Nástroj to tak povedal“ nie je obhajoba, na ktorú by sa niekto chcel spoliehať; zdôvodnenie musí byť preskúmateľné.
Lehoty sú krátke.
Včasné varovanie sa počíta na hodiny, nie na týždne. Keď už lehota plynie, je neskoro čítať štyri dokumenty a skladať z nich odpoveď.
Modelový príklad krok za krokom
Dodávateľ hlási bezpečnostný incident, ktorý sa týka jednej z našich služieb. Aké máme povinnosti?
- 01Smernica, článok 23
Stanovuje fázy hlásenia a požiadavky na ich obsah.
- 02Zákon o kybernetickej bezpečnosti
Určuje príslušný orgán a spôsob, akým sa hlásenie podáva.
- 03Dodávateľská zmluva, článok 11
Zaväzuje dodávateľa, aby nás informoval — má na to však až 48 hodín.
- 04Interná smernica o eskalácii
Určuje, kto je oprávnený hlásenie podať a kto ho zastupuje.
Povinnosť a jej fázy vyplývajú z článku 23 a zo zákona o kybernetickej bezpečnosti; praktickým obmedzením je 48-hodinová lehota dodávateľa zo zmluvy — a tá je uvedená ako zistenie, nie zastrčená niekde v texte.
Čo tu robí ARGUS
Právne predpisy a interné dokumenty v jednom indexe
V predpisoch EÚ, národnom zákone, interných pravidlách aj zmluvách sa dá hľadať naraz, takže odpoveď môže oprávnene prejsť z jedného textu do druhého.
Postup uvažovania, nie iba odpoveď
Výstup ukazuje, ktorú čiastkovú otázku vyriešil ktorý text — práve túto časť musí vedenie vedieť preskúmať.
Odhalenie konfliktov medzi textami
Ak zmluvná podmienka oslabuje zákonnú povinnosť, zobrazia sa obe spolu — systém nevyberá jednu z nich.
Jeden index pre celú skupinu
Ten istý index poskytuje odpovede pre viacero spoločností v skupine; dokumenty jednotlivých spoločností od seba oddeľujú filtre podľa metadát.
Čo systém nerobí
Hovoríme to vopred, aby ste to nezisťovali až v treťom týždni pilotu.
- ARGUS neposkytuje právne poradenstvo a nenahrádza právneho poradcu ani vášho manažéra kybernetickej bezpečnosti.
- Národné transpozície sa líšia a menia. Odpoveď je len taká aktuálna ako texty, ktoré ste zaindexovali — preto sa vždy uvádza verzia.
- Hlásenia nepodáva a na portály orgánov sa nepripája.
- Scenáre na tejto stránke sme zostavili a predviedli; nepochádzajú z produkčných nasadení.
Otázky, ktoré dostávame
Musíme texty NIS 2 a zákona o kybernetickej bezpečnosti indexovať sami?+
Nakoľko aktuálne sú odpovede k povinnostiam podľa NIS 2?+
Dá sa ARGUS pri príprave na NIS 2 prevádzkovať úplne offline?+
Vyskúšajte to na otázke, nad ktorou ste už strávili hodiny
Pošlite jednu otázku, na ktorú by mali vedieť odpovedať vaše vlastné dokumenty, a k nej dokumenty, v ktorých by odpoveď mala byť. Ak sa doklad nenájde, aj to je výsledok — a je lepšie vedieť o tom skôr, než na to príde audítor.
Naposledy aktualizované: