Dyrektywa wymaga od zarządu decyzji. Zespół IT potrzebuje procedur. My łączymy jedno z drugim.
Wdrożenie opieramy na ISO/IEC 27001, żeby system dało się później certyfikować.
Nie jest to warunek NIS2, ale najprostsza droga.
Co wdrażamy
Dziesięć obszarów z art. 21 ust. 2 zamieniamy w polityki, procedury i zadania z właścicielami. Wspólne elementy z RODO robimy raz.
| Element systemu | Przepis | Kto prowadzi w firmie |
|---|---|---|
| Zarząd i ryzyko | ||
| Polityka bezpieczeństwa i analiza ryzyka | art. 21 ust. 2 lit. a | zarząd i IT |
| Szkolenie zarządu | art. 20 ust. 2 | zarząd |
| Mierniki skuteczności i przegląd | art. 21 ust. 2 lit. f | zarząd i pełnomocnik |
| Zdarzenia | ||
| Procedura incydentów: 24 h, 72 h, 1 miesiąc | art. 23 | IT i zarząd |
| Plan ciągłości działania i kopii | art. 21 ust. 2 lit. c | IT i operacje |
| Technika i ludzie | ||
| Ocena dostawców i wymagania w umowach | art. 21 ust. 2 lit. d | zakupy i IT |
| Zarządzanie podatnościami i zmianami | art. 21 ust. 2 lit. e | IT |
| Polityka kryptografii | art. 21 ust. 2 lit. h | IT |
| Kontrola dostępu, MFA, inwentaryzacja | art. 21 ust. 2 lit. i i j | IT i HR |
| Program szkoleń z cyberhigieny | art. 21 ust. 2 lit. g | HR i IT |
Jak wdrażamy
Pracujemy w rytmie miesięcznym z Waszym IT. Dokumenty piszemy my, a techniczne zmiany planujemy razem, żeby nie stanęła produkcja.
Wynik: system, który działa także w piątek w nocy.
Wdrożenie NIS2
CORSSO sp. z o.o. · Poznań
Miesiąc 1 · Fundament
- Plan na podstawie audytu1 tydz.
- Analiza ryzyka z zarządem2 tyg.
Miesiąc 1–3 · Dokumenty
- Polityki i procedury6 tyg.
- Wymagania dla dostawców2 tyg.
Miesiąc 2–4 · Wdrożenie
- Środki techniczne z IT8 tyg.
- Szkolenie zarządu1 dzień
- Test procedury incydentu½ dnia
System gotowy do kontroli4–6 mies.
Co zostaje w firmie
- System zarządzania bezpieczeństwemPolityki i procedury w układzie ISO/IEC 27001.
- Gotowość na incydentProcedura z terminami 24 h, 72 h i raportem końcowym, przećwiczona.
- Kontrola nad dostawcamiOcena dostawców i wymagania wpisane do umów.
- Przeszkolony zarząd i zespółZarząd rozumie, co zatwierdza i za co odpowiada.
- Mierniki i przegląd rocznyDane, które pokażą kontroli, że środki działają.
- Postęp w Fort.OneModuł NIS2: każde zadanie z właścicielem, terminem i statusem, widoczne dla zarządu.
Kto wdraża
Wdrożenie prowadzi audytor ISO 27001, a techniczną część wspiera pentester. Zarząd ma jedną osobę kontaktową przez cały projekt.
Tomasz CzarneckiPrezes, dyrektor IT, audytor ISO 27001 MarcinAudytor ISO 27001, autor Fort.One
Część większego systemu
Ten moduł to jedna szósta Compliance Governance System: Audyt RODO, Wdrożenie RODO, Audyt NIS2, Wdrożenie NIS2, Audyt AI, Wdrożenie AI. Każdy działa osobno. Wszystkie prowadzimy w Fort.One, więc na jednym pulpicie widać, na czym Państwo stoją ze wszystkimi trzema regulacjami.
Pytania o wdrożenie
Czy musimy mieć certyfikat ISO 27001?
Nie. NIS2 go nie wymaga. Układ ISO 27001 ułatwia jednak wdrożenie i późniejszą certyfikację, jeśli zechcecie.
Kto zgłasza incydenty?
Firma, do właściwego zespołu CSIRT. Przygotowujemy procedurę i wzory zgłoszeń, a w razie zdarzenia pomagamy je złożyć w terminie.
Ile to kosztuje?
Zależy od wielkości firmy i stanu IT. Wycenę wysyłamy w 4 h robocze po audycie albo po 20 minutach rozmowy, jeśli audyt już był.
Czy to się łączy z RODO?
Tak. Analiza ryzyka, rejestr incydentów, ocena dostawców i szkolenia są wspólne. W Compliance Governance System robimy je raz.
Co już macie w IT?
Odpowiadamy w 4 h robocze, przy naruszeniu danych kontakt w 1 h. Po 20 minutach rozmowy wiedzą Państwo, na czym stoją.
Napisz wiadomość+48 601 211 238
Poznań, ul. Unii Lubelskiej 1
Przykładowy Fort.One Status (PDF)
Outsourcing IOD od 2 000 zł/mies.