Käytännön ohjeita CSF:ltä. Arvioi rajaus ja ajantasaiset vaatimukset pätevien asiantuntijoiden kanssa. Resurssit eivät osoita vaatimustenmukaisuutta.
Varmista soveltuvuus ensin
NIS2 on EU-direktiivi, joka pannaan täytäntöön kansallisella lainsäädännöllä. Varmista lainkäyttöalue, soveltamisala ja ajantasainen viranomaisohjeistus pätevien asiantuntijoiden kanssa. Tämä CSF:n laatima tarkistuslista tukee keskustelua eikä ole kattava kuvaus oikeudellisista vaatimuksista. ENISAn tiettyjä digitaalisia toimialoja koskevalla teknisellä ohjeella on oma rajauksensa; sitä ei tule olettaa sellaisenaan kaikkiin organisaatioihin soveltuvaksi.
Hallinto ja vastuut
- Mitkä palvelut ja yhteisöt kuuluvat soveltamisalaan, ja kuka hyväksyi arvion?
- Kuka vastaa kyberriskipäätöksistä ja johdon raportoinnista?
- Mitkä politiikat toimivat käytännössä, ja milloin ne tarkastettiin?
- Onko toimintasuunnitelmalla resurssit, vastuuhenkilöt ja tarkastuspäivät?
Kirjaa jokaiselle vastaukselle näyttö, sen päivämäärä ja vastuuhenkilö. Erota todentamaton lausuma testatusta hallintakeinosta.
Toiminta ja toimittajat
- Voidaanko osoittaa käyttöoikeuksien arviointi, haavoittuvuuksien käsittely ja turvalliset muutokset?
- Mitkä toimittajat tukevat kriittisiä palveluita, ja kuka arvioi niiden näytön?
- Ovatko varmuuskopiot suojattu ja palautustestit dokumentoitu?
- Mitkä riippuvuudet voivat estää palautumisen omien järjestelmien toimiessakin?
Aloita liiketoimintakriittisistä palveluista. Testaa menettelyt edustavalla otoksella ja laajenna arviointia, jos toteutus on epäyhtenäistä.
Häiriö- ja jatkuvuusvalmius
- Ovatko häiriöroolit, eskalointipolut ja ulkoiset yhteystiedot ajan tasalla?
- Onko tiimi harjoitellut realistisen häiriötilanteen?
- Kuka ratkaisee, syntyykö ilmoitusvelvollisuus?
- Ovatko kansalliset ilmoitusvaatimukset tarkistettu?
Älä luota yleiseen ilmoitusaikatauluun tarkastamatta tapahtumaa, lainkäyttöaluetta ja velvoitetta.
Muuta havainnot toimiksi
Luokittele havainnot todennetuiksi, osittain todennetuiksi, puuttuviksi tai perustellusti soveltumattomiksi. Anna puutteelle riskiperuste, omistaja, määräaika ja valmistumiskriteeri. Käsittele jäännösriski valtuutetun päätöksentekijän kanssa. Toista arviointi merkittävien muutosten jälkeen; kerran täytetty tarkistuslista ei korvaa jatkuvaa seurantaa.
