Audyt NIS2 i ustawy KSC: analiza luk i ocena zgodności

Audyt NIS2 to analiza luk: sprawdzamy, których wymagań dyrektywy NIS2 i znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa Twoja organizacja jeszcze nie spełnia, i pokazujemy, w jakiej kolejności to nadrobić. To nie jest certyfikacja ani kontrola organu nadzoru, tylko przegląd przygotowawczy, który robisz u siebie, zanim zrobi to ktoś inny.

Co sprawdzamy

Punktem odniesienia są środki zarządzania ryzykiem z art. 21 dyrektywy NIS2: analiza ryzyka i polityka bezpieczeństwa, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo w nabywaniu i utrzymaniu systemów, ocena skuteczności środków, higiena cyberbezpieczeństwa i szkolenia, kryptografia, kontrola dostępu i zarządzanie aktywami oraz uwierzytelnianie wieloskładnikowe. Każdy obszar dostaje ocenę dojrzałości i listę konkretnych braków.

Co dostajesz

Raport z audytu zawiera listę luk z odniesieniem do konkretnego wymagania, ocenę ryzyka dla każdej z nich oraz plan naprawczy uszeregowany według ryzyka i kosztu wdrożenia. Ustalenia mapujemy na ISO 27001, więc jeśli planujecie certyfikację, ta sama praca liczy się w obie strony. Raport kończy się omówieniem z zarządem lub zespołem IT, bo dokument, którego nikt nie przeczytał, niczego nie zmienia.

Audyt czy od razu wdrożenie

Jeśli nie wiecie jeszcze, czy firma w ogóle podlega pod przepisy, zacznijcie od kwalifikatora NIS2. Jeśli podlegacie i chcecie wiedzieć, ile pracy przed wami, właściwy jest audyt. Jeśli zakres jest już znany, przejdźcie od razu do wdrożenia NIS2 i DORA. Audyt zgodności można też połączyć z szerszym audytem cyberbezpieczeństwa, jeśli chcecie sprawdzić nie tylko zgodność z przepisem, ale i realną odporność środowiska.

Audyt NIS2 a audyt KSC: to ta sama usługa

W Polsce dyrektywa NIS2 obowiązuje przez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa (ustawa o KSC), dlatego „audyt NIS2", „audyt KSC" i „audyt zgodności z ustawą o KSC" oznaczają w praktyce ten sam przegląd. Odnosimy się do wymagań ustawy i do art. 21 dyrektywy jednocześnie, a w raporcie wskazujemy konkretny przepis dla każdej luki. Dla podmiotów kluczowych ustawa przewiduje dodatkowo obowiązkowy audyt bezpieczeństwa systemu informacyjnego, wykonywany na własny koszt co najmniej raz na trzy lata przez audytorów spełniających wymagania ustawy; nasz audyt zerowy jest przygotowaniem do niego, nie jego zamiennikiem. Podmioty ważne nie mają obowiązku cyklicznego audytu zewnętrznego, ale muszą wykazać, że oceniają skuteczność stosowanych środków, a audyt zerowy jest najprostszym dowodem takiej oceny.

Dla kogo: podmiot kluczowy, podmiot ważny, dostawcy

Audyt zamawiają najczęściej firmy produkcyjne (żywność, chemia, elektronika, maszyny), transport i logistyka, ochrona zdrowia, wodociągi i ciepłownictwo, dostawcy usług ICT i data center oraz jednostki samorządu i instytucje publiczne. Coraz częściej także dostawcy tych podmiotów, od których klienci wymagają dowodu bezpieczeństwa w łańcuchu dostaw. Jeśli nie wiesz, czy Twoja firma podlega pod ustawę, sprawdź to w minutę w kwalifikatorze NIS2 / KSC.

Audyt dokumentacji czy audyt techniczny

Audyt zerowy sprawdza przede wszystkim organizację i dokumentację: czy istnieją analiza ryzyka, polityki, procedury obsługi incydentów i plany ciągłości działania oraz czy są stosowane. Na życzenie rozszerzamy go o część techniczną: test penetracyjny systemów kluczowych dla świadczonej usługi albo przegląd konfiguracji i kopii zapasowych. Wtedy raport pokazuje nie tylko zgodność z przepisem, ale i realną odporność środowiska. Jeśli po audycie brakuje Wam dokumentów, opracujemy je w ramach usługi dokumentacja NIS2 i SZBI.