פארוואס איז באָרדרום פֿאַראַנטוואָרטלעכקייט אונטער אַרטיקל 20 איצט אַ פּערזענלעכע, נישט אַ קאָלעקטיווע, ריזיקע?
פֿאַר אייראָפּעיִשע דירעקטאָרן, מאַרקירט אַרטיקל 20 פֿון דער NIS 2 דירעקטיווע אַ היסטאָרישע פֿאַרשייבונג: די עפּאָכע פֿון "דער דירעקטאָרן-ראַט" ווי אַ פּנים-לאָזער קאָלעקטיוו איז פֿאַרבײַ. הײַנט, דערגרייכט רעגולאַטאָרישע און לעגאַלע אויפֿדעקונג פֿאַר סייבער-זיכערהייט פֿאַרפֿעלער יעדן יחיד בײַם טיש. ניט מער זיך באַהאַלטן אין דער מאַסע. יעדן דירעקטאָרס נאָמען, אונטערשרריפֿט און אַקציע-לאָג פֿאָרמען איצט די מינימום פֿאַרטיידיקונג קעגן קנסות, סאַספּענשאַן אָדער עפֿנטלעכע סאַנקציע.
די מאָטיוון הינטער דעם טראַנספאָרמאַציע זענען שטאַרק: קאָלעקטיווע ריזיקע האָט נישט געקענט פירן צו באַדייַטפולע סייבער באַטייליקונג ווען אַקאַונטאַביליטי איז געווען פאַרשפּרייט. סייבער אינצידענטן האָבן כסדר אויפגעדעקט ווי גרינג עס איז געווען פֿאַר פּאַסיווע דירעקטאָרן צו ויסמיידן פֿאַראַנטוואָרטלעכקייט - אָפט צום שאָדן פֿון קאַסטאַמערז, שטאַב און די ברייטערע עקאָנאָמיע. דורך מאַכן פֿאַראַנטוואָרטלעכקייט פּערזענלעך, שטעלט דער געזעץ אין איינקלאַנג די אינסענטיוון: דירעקטאָרן מוזן איצט זיין אַזוי פֿלייסיק אין זיכערהייט ווי זיי זענען אין קאָרפּאָראַט פֿינאַנץ אָדער אָדיט.
דירעקטאָרן לערנען זיך: קאָנפאָרמאַנס איז מער נישט אַ שאָטן הינטער דער פירמע - עס איז אַ פאָקוס אויף דעם יחיד.
רעגולאַטאָרן זענען קריסטאַל קלאָר: יעדער מיטגליד שטאַט מוז זיכער מאַכן אַז דירעקטאָרן פּערזענלעך קאָנטראָלירן און "באַשטעטיקן, קאָנטראָלירן און רעגירן" אַלע סייבער-זיכערהייט אַקטיוויטעטן און סטראַטעגיעס. אומוויסנדיקייט איז גאָרנישט אַנטשולדיקן. פּראָטאָקאָלן פון דירעקטאָרן-ראַטן , דיגיטאַלע טרענירונג לאָגס, עסאַקאַלאַציעס פון אינצידענטן, אפילו פֿאַרשידענע מיינונגען - די מוזן רעקאָרדירט ווערן דורך יעדן דירעקטאָר. וואָס פלעגט זיין באַהאַלטן דורך קאָמיטעטן איז איצט ארויפגעוואָרפן פֿאַר רעגולאַטאָרישע קאָנטראָל.
פראפעסיאנעלע רעפוטאציע און D&O פארזיכערונג וועלן מער און מער אפהענגען פון דעם נייעם אחריות. מיט דירעקטארן-באארדס און פארזיכערונגס-געזעלשאפטן וואס פארשטארקן זייער פארטיידיגונג ארום קלארע, אומפארענדערלעכע באווייזן פון באטייליקונג, שטייען דירעקטארן פאר א שטרענגע פראגע: קענט איר באווייזן אייער קאנטינעווירלעכע באטייליקונג, אדער ווערט איר אויסגעשטעלט דורך אויסלאזונג?
וועלכע באָרד פליכטן אונטער אַרטיקל 20 קענען ניט מער דעלעגירט ווערן?
די NIS 2 דירעקטיווע אויסמעקט די "עמעצער אנדערש וועט עס האנדלען" זיכערהייט נעץ פאר דירעקטארן. דירעקטאָרן-ראט פֿאַראַנטוואָרטלעכקייטן ווי ריזיקאָ אַסעסמענט אונטערשרייבונג, סטראַטעגישע סייבער פּאָליטיק האַסקאָמע, און אינצידענט רעספּאָנס גרייטקייט קענען נישט זיכער אויסגעסאָורסט ווערן - צו קאמיטעטן, די זיכערהייט פונקציע, אדער עקסטערנע ראַטגעבער. די געזעץ'ס שפּראַך איז קלאָר: אַקטיווע, יחיד באַטייליקונג פון יעדן דירעקטאָר איז פארלאנגט איבער דעם גאַנצן קאַמפּליאַנס ציקל.
- יעדער מיטגליד פון דעם באָרד: מוז זיך באַטייליקן אין סייבער ריזיקאָ אַנאַליז דיסקוסיעס, פּאָליטיק איבערבליקן און האַסקאָמע ציקלען.
- טרענירונג לאָגס: מוז ווײַזן נישט נאָר אנוועזנהייט, נאָר וועלכער דירעקטאָר האָט פֿאַרענדיקט וועלכע סעסיע און ווען.
- דירעקטאָריום פּראָטאָקאָלן און אָפּאָזיציע: שטילשווייגן איז א רויטע פאן. מען ערווארט פון דירעקטארן צו ארויסרופן, דעבאטירן און דאקומענטירן פארשידענע מיינונגען - אפילו ווען זיי זענען נישט מסכים. פאסיווע הסכמה איז שוין נישט קיין אפציע.
- דיגיטאַלע חתימות און רעקאָרדס: מוזן נאכפאלגן יעדן וויכטיגן באשלוס, טרענירונג געשעעניש, און איבערבליק - פאפיר שפורן זענען פארעלטערט.
אינפאָרמעלע אויפזיכט פארשווינדט אין רעגולאַטאָרישער קאָנטראָל; וואָס איז וויכטיק ווערט צייטגעשטעמפּלט, רעקאָרדירט און דערקלערט.
נישט אליין באטייליקן זיך אין טרענירונגען אין א דירעקטאריום אדער אויסדריקליך באשטעטיגן (אדער נישט מסכים זיין) מיט ריזיקע-פארבינדענע באשלוסן באשטייט יעצט פון נאכלעסיגקייט אויף א דירעקטאריום-לעוועל. שטארקע דאקומענטאציע - באזירט אויף א ראלע, מיט א צייט-געשטעמפל - איז נישט קיין "גוט-צו-האבן" נאר אן אפעראציאנעלע אימפעראטיוו.
ISO 27001 בריק טאַבעלע: באָרד פליכטן אונטער אַרטיקל 20 קעגן ISO פּראַקטיק
| דערוואַרטונג | אָפּעראַציאָנעלע באָרד פּראַקטיק | ISO 27001 / אַנעקס A רעף. |
|---|---|---|
| פֿאָרמעלע פּאָליטיק באַשטעטיקונג | פּראָטאָקאָלן, באַגרינדונג, דיגיטאַלע אונטערשריפט פון דירעקטאָר | 5.1, 5.4, A.5.1 |
| דירעקטאָר סייבער טריינינג | טרענירונג לאָגס, קראָס-רעפערענסד לויט נאָמען/דאַטע | קסנומקס, קסנומקס |
| ריזיקע אויפזיכט און איבערבליק | אונטערשרייבונג רעקאָרדירט, טראַקט אַקציע לאָג | קסנומקס, קסנומקס |
| אינצידענט פּלאַן אונטערשרייבונג | דירעקטאָרן-פּראָטאָקאָלן דערהייַנטיקונגען, ווערסיע געשיכטע | A.5.24 |
| דאָקומענטירטע אָפּזאָגונגען/דיסענט | לאג באַגרינדונג, דיסענט, נעגאַטיווע באַשלוסן | 9.3, A.5.35 |
יעדע ערוואַרטונג איז מעסטבאַר, איבערבליקבאַר, און - וויכטיקער - נאָכפֿאָלגבאַר אין אוידיט טריילז.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
וואָסערע טיפּן אינצידענטן אָדער אויסלאָזונגען מאַכן באָרד מיטגלידער פאַראַנטוואָרטלעך אונטער אַרטיקל 20?
אַרטיקל 20'ס פּערזענלעכע פֿאַראַנטוואָרטלעכקייט איז נישט רעזערווירט פֿאַר הויך-פּראָפֿיל דאַטן בריטשעס - עס דעקט אויך פֿאַרפעלטע נאָוטאַפאַקיישאַנז, אומפֿולשטענדיקע לאָגס, און אפילו שטילע מאָמענטן אין באָרד זיצונגען. אויב איר נעמט נישט רעגולער און קענטיק אָנטייל, לאָזט איר אַ רעגולאַטאָרישע ליידיקייט וואָס אויספֿאָרשער זענען איצט טריינד צו באַמערקן.
- שפּעטע אָדער נישטאָ קיין אינצידענט מעלדונגען: NIS 2 פארלאנגט א 24-72 שעה פענצטער פארן מעלדן ערנסטע אינצידענטן. אויב דער דעדליין גייט אריבער, און דער דירעקטאריום קען נישט ווייזן קיין באשליסנדע, רעקארדירטע אקציע, זענען יחידישע דירעקטארן אין די רעגולאטורישע קרייצשערז.
- פארשטעלטע קריזיס פלענער: מען ערוואַרט פּראָטאָקאָלן פֿון די דירעקטאָרן-ראַטן און דורכגעאַרבעטע דערהייַנטיקונגען אין באַשטימטע צייטן. קיין רעקאָרד, קיין פֿאַרטיידיקונג.
- כּמעט-פאַרפעלנדיקע געשעענישן פעלנדיק פון לאָגס: נישט רעקאָרדירן "כמעט אינצידענטן" סיגנאַלירט פּאַסיווע ריזיקע-נעמען.
- אַלגעמיינע הסכמה אָדער נישט-באַפרייטע באַשלוסן: גומע-שטעמפּלען אָדער מאַנגל פון קריטישער באַטייליקונג דערציילט אַ געשיכטע פון אַוועזענדיקער פירערשאַפט.
מאל איז דער הויךסטער אינדיקאַטאָר פון ריזיקע וואָס פעלט פון דער רעקאָרד.
פֿאַראַנטוואָרטלעכקייט פֿאַרבינדט איצט אַקציע און באַווײַז: וואָס איר נישט אַרויסרופֿן אָדער רעקאָרדירן קען אײַך קאָסטן אַזוי פֿיל ווי אַ בריטש.
מיני טיש: טריגער צו עווידענס טרייל
| צינגל | באָרד'ס אַקציע לאָג | ISO/SoA לינק | בייַשפּיל פון אויספאָרשונג באַווײַזן |
|---|---|---|---|
| דאַטן בריטש | ענטפער + לעקציע לאָג, ריזיקע דערהייַנטיקט | א.5.25, 26 | מינוטן, קאָמוניקאַציעס audit trail |
| נאטיפיקאציע פארפעלט | נאָטיפיקאַציע אוידיט, עסקאַלאַציע לאָג | A.5.25 | צייטשטעמפלען, צייטליניע, רעגולאַטאָר ענטפער |
| כּמעט-אומגליק נישט געמאָלדן | באַגרינדונג פֿאַר "קיין עסקאַלאַציע" רעקאָרדירט | 8.2, 8.3, A.5.35 | רעקאָרד פון דיסקוסיע, מחלוקת |
| פּלאַן נישט איבערגעקוקט | איבערבליק איינגעשריבן, ווערסיע אונטערגעשריבן | א.5.24, 5.25 | ברעט לאָג, ווערסיע קאָנטראָל באַווייַזן |
| קיין מעלדונג פון דער אויטאָריטעט | עסקאַלאַציע, אויטאָריטעט קאָנטאַקטירט | A.5.26 | אונטערשריפט רעקאָרד, קאָמוניקאַציע לאָג |
וואָס פּערזענלעכע און פינאַנציעלע קאָנסעקווענצן וואַרטן אויף דירעקטאָריום־ראַטן וואָס פאַרלאָזן אונטער אַרטיקל 20?
אַרטיקל 20'ס רעזשים מאַכט קאָנסעקווענצן פּערזענלעך און באַלדיק. יחיד דירעקטאָרן קענען איצט זיך שטעלן אַנטקעגן לעגאַלע אַקציע - נישט קוקנדיק אויף קאָלעקטיווע באָרד אַראַנזשירונגען - ווען זיי פאַרפעלן צו צושטעלן אַקטיווע, אָדיטאַבלע סייבער-זיכערהייט גאַווערנאַנס.
- פינעס: עסענציעלע ענטיטעטן ריזיקירן €10 מיליאָן אדער 2% פון גלאבאלער איבערקערעניש; וויכטיגע ענטיטעטן €7 מיליאָן אדער 1.4% (NIS2, ארטיקל 34). די ציפערן שטימען מיט GDPR אבער איצט ספעציפיצירן דירעקטארישע, נישט נאר קארפאראטיווע, קאנסעקווענצן.
- נישט-געלטערישע סאנקציעס: דירעקטאָרן-ראטעס שטייען פאר עפנטלעכער צענזור, סוספענציע, אדער דיסקוואַליפיקאַציע, און נעמען קענען ווערן ארויסגעגעבן.
- קאנסעקווענצן פון אוידיט און פארזיכערונג: אפילו אויב קיין רעגולאַטאָר קומט נישט אָן, קענען באָרד מיטגלידער ווערן סוספּענדירט אָדער פאַרלירן פאַרזיכערונג רינואַל אויב זיי קענען נישט ווייזן קיין באַטייליקונג. D&O פּאָליטיקס דעקן זעלטן גראָבע אָדער מכוון פאַרלאָזיקייט - די זעלבע גאַפּ NIS 2 צילן.
- קאנטראקטועלע ריזיקע: צושטעל קייטן און געשעפט פּאַרטנערס פאָדערן איצט רעקאָרדירבארע קאַנפאָרמאַטי, מיט בריטשינג פון סייבער פליכטן ינקריסינגלי אַ סיבה פֿאַר טערמאַניישאַן אָדער קלאָגע.
די כוואַליע איז פינאַנציעל, פּראָפעסיאָנעל און רעפּוטאַציע: דיין באַווייַז שפּור איז דיין שילד - אָדער דער פעלנדיקער פּלויט אַרום פּערזענלעכע פֿאַראַנטוואָרטלעכקייט.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
ווי זאָלן באָרדס בויען וואַסער-דיכט באַווײַזן און רעקאָרד-האַלטונג פֿאַר אַרטיקל 20?
דער קעגנגיפט צו NIS 2'ס פֿאַראַנטוואָרטלעכקייט עקספּאָוזשער איז אַ לעבעדיק, טאַמפּער-זיכער רעקאָרד: אַ דיגיטאַל "שוואַרצע קעסטל" פֿאַר דירעקטאָריום אַקטיוויטעטן אויף סייבער-זיכערהייט. דירעקטאָריום באָרדס דאַרפֿן:
- דיגיטאַלע חתימות: יעדע הסכמה, אָפּזאָג, אָדער פּאָליטיק איבערבליק מוז זיין צוגעשריבן צו אַ ספּעציפֿישן מיטגליד, דאַטע, און באַגרינדונג.
- אומענדערלעכע טרענירונג און באַטייליקונג לאָגס: קראָס-רעפערענסד צו דירעקטאָר, צייט, און געשעעניש.
- אינצידענט און עסאַקאַלאַציע רעגיסטערס: וואָס איז געשען; ווער האָט וואָס געטאָן; ווען; און נאָכפֿאָלגנדיקע אַקציעס.
- נעגאַטיווע באַשלוס לאָגס: אפווארפן, נישט מסכים זיין, און דאקומענטירטע "קיין ענדערונגען" (א געביט וואס ווערט אפט איבערגעקוקט אבער קריטיש פאר אן אוידיט).
- אויפהאלטונג און ווערסיע-ארבעט: רעגולער דערהייַנטיקט, צענטראַל פאַרוואַלטעטע אַרטיפאַקציעס - בעסער אין אַן אויטאָמאַטיש, נישט-רעדאַקטירבאַר סיסטעם ווי ISMS.online.
ברעטער דאַרפֿן לאָגס וואָס באַשיצן זיי איידער דער רעגולאַטאָר קלאַפּט, נישט דערנאָך.
פּלאַטפאָרמעס וואָס זענען דיזיינד פֿאַר קאָנפאָרמאַנס אָטאַמייטירן דעם פּראָצעס: איר דאַרפֿט נישט נאָכיאָגן חתימות, דופּליקאַטן באַווײַזן, אָדער "אויספֿילן" באַשלוסן נאָכדעם וואָס זיי זענען געמאַכט געוואָרן. דאָס איז ווידערשטאַנד און פֿאַרטיידיקונג אין אַקציע.
וואָס זאָלן באָרדס טאָן אין די ערשטע 24-72 שעה נאָך אַן אינצידענט?
צייט איז נישט אונטערהאנדלען: אינערהאלב 24-72 שעה, ערווארטעט ארטיקל 20 פון דירעקטארן צו האנדלען מיט קלארקייט און רעקארד-האלטונג דיסציפלין. די מערסט פארטיידיגבארע באארדס האבן איבערגעחזרט די שריט פאר שנעלקייט און נאכפארסבארקייט:
- אַקטיווירן דעם קריזיס פּלאַן גלייך: , צוטיילן ראָלעס, און אָנהייבן צו רעקאָרדירן דעם אינצידענט.
- דאָקומענטירן אַלע דירעקטאָרן'ס באַטייליקונג: ווער איז אנוועזנד, וואָס איז דיסקוטירט געוואָרן, וואָס איז באַשלאָסן געוואָרן. יעדע דיסקוסיע און עסאַקאַלאַציע באַקומט אַ צייט-שטעמפּל.
- מעלדן די באַטייַטיקע אויטאריטעטן אין די פארלאנגטע צייט-ליניעס: , שפּאָרנדיק דיגיטאַלע באַשטעטיקונג פון דער אַקציע.
- לויף לויט די ENISA גיידליינז: פֿאַר באַריכט פֿאָרמאַט און דעטאַל קוואַליטעט.
- האַלטן די דערגרייכבאַרקייט און פֿאַראַנטוואָרטלעכקייט: דירעקטאָרן מוזן זיין אנוועזנד און באַוואוסטזיניק אָדער ריזיקירן גראָב נעגליגענס קלאַגעס.
- נוצן לאָגס פֿון די לעצטע דרילס: צו ווייזן אז איר האט געפּראַקטיצירט נישט נאָר פּלאַנירט (באַטייליקונג לאָגס און באַמערקונגען זענען איצט שליסל).
די בעסטע פארזיכערונג איז א איבערחזרנדיקע, רעגיסטרירטע קריזיס-דריל. באווייז איז אקציע אונטער דרוק.
פֿאַר דירעקטאָרן וואָס באַהאַנדלען אינצידענט רעאַקציע ווי אַ פּשוטע פּאָליטיק, איז די לערנען קורווע נאָך אַ קריזיס טייַער. די מיט אַ וועריפיצירבאַרן, לעבעדיקן לאָג ניט נאָר איבערלעבן קאָנטראָל, זיי אָפט פאַרמייַדן די ערגסטע קאַנסאַקווענסאַז אינגאַנצן.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
ווי אזוי באַאיינפלוסן נאַציאָנאַלע וואַריאַציעס יעדן באָרד'ס פאַקטישע עקספּאָוזשער אונטער NIS 2?
NIS 2 שטעלט א רעגולאטורישן מינימום; אסאך מיטגליד שטאטן לייגן צו פארגאלדענע רעקווייערמענטס. באארדס מוזן זיין היפער-אלכטזאם נישט נאר צו וואס די דירעקטיווע זאגט, נאר אויך צו וואס נאציאנאלע געזעץ פארלאנגט.
- עטלעכע שטאַטן פארלאנגען פארגרעסערטע דירעקטאָר טריינינג: , ווייטער פון די אי־יו מינימום.
- לאקאלע שפראך און לעגאלע דאקומענטאציע: (אונטערשריפטן, לאגס, פאליסיס) קען זיין פארלאנגט פאר קאמפלייענס.
- סעקטאָר-ספּעציפֿישע כּללים און גרופּע מוסטערן: העכסט רעגולירטע סעקטאָרן (פינאַנץ, געזונט, ענערגיע) קענען צולייגן זייערע אייגענע אָוווערלאַגס.
- גרייס און צייט-ליניע פון באַווייזן פון סאַפּלייער: קען זיין לאַנד-ספּעציפֿיש, ספּעציעל פֿאַר גרענעץ-איבערשרייטנדיקע אָדער קריטישע אינפֿראַסטרוקטור פּאַרטנערס.
סטראַטעגישע ברעטער:
- פּלאַנירן לעגאַלע באריכטן: פֿאַר נאַציאָנאַלע דורכפֿירונג כּללים.
- צענטראליזירן קאמפלייענס ארטיפאקטן מיט ווערסיעינג: - איין מקור פון אמת פאר אלע יוריסדיקציעס.
- דורכפירן מאָק אוידיטס און דרילס פּער לאַנד: , זיכער מאַכן אַז יעדער דירעקטאָר איז גרייט פֿאַר לאָקאַלע ריקוועסץ.
דאָס פאַרהיט לעצטע-מינוט כאַאָס, שטילע נישט-קאָנפאָרמאַטיז, און פאַרגרעסערט באָרדרום בטחון איבער דיין אייראָפּעיִשן פֿוסשטאַפּל.
זיכער מאַכן אייער באָרד'ס אַרטיקל 20 גרייטקייט מיט ISMS.online
NIS 2 צעברעכט דעם מיטאָס פֿון דעם זיכערן, אַנאָנימען דירעקטאָרן-ראַט. הײַנט קען יעדן דירעקטאָרס באַטייליקונג, טרענירונג און באַשטעטיקונג-פּראָצעס ווערן דער קריטישער באַווײַז אין אַ רעגולאַטאָרישן אָדער קאָנטראַקטואַלן קריגעריי. ISMS.online איז אינזשענירט פֿאַר ווידערשטאַנד אויף דער ראַט-לעוועל: יעדע פּאָליטיק באַשטעטיקונג, טרענירונג-געשעעניש, אינצידענט-לאָג און אונטערשרײַבונג איז פֿאַראַנקערט אין אַ זיכערן, אוידיט-גרייטן אַרכיוו - שטענדיק צוטריטלעך, קיינמאָל נישט פֿאַרלוירן, פֿולשטענדיק פֿאַרטיידיקבאַר.
דאָס איז נישט קיין צייט פֿאַר פּאַסיווער קאָנפאָרמאַנס אָדער געקראַצטע זיצונג נאָטיצן. לאַדט אײַן אײַערע מיטדירעקטאָרן צו אַ סייבער-זיכערהייט גרייטקייט סעסיע אויף דער דירעקטאָרן-ליניע: באַשיצט יעדן נאָמען אין צימער מיט אַ שילד וואָס פּאַסט צו דער נײַער אייראָפּעיִשער רעאַליטעט. פֿאַרוואַנדלט פּערזענלעכן ריזיקע אין אַ סימן פֿון ווידערשטאַנד - פֿאַרוואַנדלט אײַערע אַרטיקל 20 פֿאַרפֿליכטונגען אין מאַרק פֿירערשאַפֿט.
אָפֿט געשטעלטע פֿראגן
ווי שטעלט אַרטיקל 20 פֿון NIS 2 דירעקטאָרן אין דער פֿײַער־ליניע - און וואָס ענדערט זיך טאַקע פֿאַר באָרד־מיטגלידער?
אַרטיקל 20 פֿון NIS 2 באַפֿעלט אַז יעדער דירעקטאָר איז פּערזענלעך פֿאַראַנטוואָרטלעך פֿאַר די אָרגאַניזאַציעס סייבער-זיכערהייט אַקציעס, איבערדרייענדיק אַלטע באַגריפֿן פֿון קאָלעקטיווער אָדער דעלעגירטער אויפֿזיכט. רעגולאַטאָרן וועלן מער נישט אָננעמען "גרופּע פֿאַראַנטוואָרטלעכקייט" אָדער דעלעגירן שולד צו IT. אַנשטאָט, מוז יעדער דירעקטאָר קלאָר ווערן געהייסן אין דיגיטאַלע רעקאָרדס - באַשטעטיקן פּאָליטיק, באַטייליקן זיך אין אויפֿזיכט, פֿאַרענדיקן זייער אייגענע טריינינג, און אויפֿהייבן זאָרגן. אויב אַ פֿירמע באַהאַנדלט נישט ריכטיק אַ דורכבראָך אָדער באַריכט דעדליין, קוקן אויספֿאָרשער אויף די דירעקטאָרן-ראַט פּראָטאָקאָלן, טריינינג לאָגס, אונטערשריפֿטן, און אַרויסרופֿונג רעקאָרדס, נישט וואַגע באַשטעטיקונג פֿון "באָרד באַשטעטיקונג". די וועמענס נעמען אָדער אַקציעס פֿעלן - אָדער וועמענס באַטייליקונג איז פּאַסיוו - ווערן פֿאַררעכנט ווי אין ריזיקע. דאָס טרייבט אַן איבערגאַנג פֿון סימבאָלישער "פּרעזענץ" צו שפּורבאַרער, אַקטיווער באַשלוס-מאכן. די טעג פֿון שטילע דירעקטאָרן זענען איבער-פּערזענלעכע דיגיטאַלע פֿינגער-אָפּדרוקן זענען איצט דער איינציקער אמתער שילד.
פֿאַראַנטוואָרטלעכקייט באַוועגט זיך פֿון דעם אַבסטראַקטן צום אומלייקענבאַרן - פֿאַרשריבן אין יעדן לאָג, הסכמה און אָפּאָזיציע.
שליסל אונטערשיידן פון פריערדיקע רעזשים
- קיין קאָלעקטיווער שילד: דירעקטאָרן קענען מער נישט פאָדערן שוץ אין גרופּע קלאָגעס.
- באווייז איז אלעס: אויב איר האט עס נישט רעגיסטרירט, נעמט דער געזעץ אן אז איר האט עס נישט געטון.
- קאנטינעווערלעכע באַטייליקונג: פּאַסיווע אנוועזנהייט איז נישט גענוג - רעגולאַטאָרן ווילן זען פֿראַגעס געפֿרעגט, מחלוקת אויפֿגעהויבן, און ריזיקעס אַקטיוו אויסגעפֿאָרשט מיט קענטיקער מחבר־אַטריבוטאַציע.
וועלכע באָרד פליכטן זענען איצט שטרענג פּערזענלעך אונטער NIS 2 - און וואָס באַווייַז מוז מען פאָרשטעלן?
אַרטיקל 20 ציט אַ קלאָרע ליניע אַרום ספּעציפֿישע סייבער פֿאַרפֿליכטונגען פֿון באָרדס:
- באַשטעטיקונג פון פּאָליטיק און ריזיקאָ קאָנטראָלן: יעדער דירעקטאָר מוז צושטעלן אַ פּערזענלעכע אונטערשריפט (דיגיטאַל אָדער האַנטגעשריבן), נישט נאָר "די דירעקטאָרן-ראַט".
- אַקטיווע ריזיקאָ אויפזיכט: באַטייליקונג - פֿראַגעס, אונטערשרײַבן, נאָכפֿאָלגן - מוזן זײַן רעגיסטרירט מיטן נאָמען אין ריזיקירן רעגיסטרירןס אדער ברעט מינוטן.
- סייבער-זיכערהייט טרענירונג: יעדער דירעקטאָר מוז *פערזענלעך* אויספֿילן און זײַן רעגיסטרירט פֿאַר די פארלאנגטע טרענירונג, מיט דאַטע/צײַט רעקאָרדס וועריפֿיצירבאַר דורך אַ דריט-פּאַרטיי איבערבליק.
- אינצידענט ענטפער אונטערשרייבונג: יעדער דירעקטאָר איז ליסטעד אין קריזיס זיצונגען, מיט זייערע סטייטמענטס און באַשלוסן דאָקומענטירט פֿאַר יעדן הויפּט אינצידענט.
- רעקאָרדירן דיסענט אָדער אַרויסרופן: מחלוקת, קריטישע פֿראַגעס, אדער אַלטערנאַטיווע סטראַטעגיעס ווערן רעגיסטרירט פּער יחיד - נישט פֿאַרלוירן אין דער גרופּע קיצור.
עסענציעלע באווייז טיפן:
- דיגיטאַלע אונטערשריפט לאָגס פֿאַר פּאָליטיק און באַשלוסן.
- דירעקטאָר-פֿאַרבונדענע סייבער טראַינינג רעקאָרדס (קיין דעקע "באָרד טריינד" איינטראַגעס).
- מיטינג פּראָטאָקאָל מיט צוגעשריבענע דערקלערונגען, הסכמות און פֿראַגעס.
- אינצידענט עסקאַלירונג און רעאקציע לאגס וואס ווייזן ווער איז געווען אנוועזנד, ווער האט בייגעשטייערט, און וואספארא אקציע איז גענומען געווארן.
- זיכערע, ווערסיע-קאנטראלירטע ארכיוון (נישט ספּרעדשיטס אדער פּשוטע אימעיל פֿעדעם).
ISO 27001 אָפּעראַציאָנאַליזאַציע טאַבעלע
| דערוואַרטונג | פארלאנגטע באווייז | ISO 27001/אַנעקס א רעפערענץ |
|---|---|---|
| באַשטעטיקן פּאָליטיק/SoA דורך דירעקטאָר | דיגיטאַלע/פּאַפּיר אונטערשריפט מיט אַ נאָמען | 5.1, A.5.1 |
| פאַרענדיקן סייבער טריינינג ינדיווידואַללי | פערזענלעכע פּלאַטפאָרמע לאָגס | קסנומקס, קסנומקס |
| אויפפּאַסן, האַנדלען אויף ריזיקעס | צוגעשריבן ריזיקירן רעגיסטרירן איינסן | קסנומקס, קסנומקס |
| אינצידענט/קריזיס באָרד באַטייליקונג | מחלוקת/אַקציע אין מינוטן/לאָגס | A.5.24 |
וואָסערע דורכפעלער אדער "בלינדע פלעקן" וועלן רעגולאַטאָרן זוכן - און ווי ווערן דירעקטאָרן פּערזענלעך פֿאַראַנטוואָרטלעך?
דירעקטאָרן-אויסשטעל איז נישט נאָר וועגן דעם עפנטלעכן כעדליין-ברוך. רובֿ פּערזענלעכע פֿאַראַנטוואָרטלעכקייט הייבט זיך אָן מיט רעקאָרד-לעכער:
- פעלנדיקע אדער שפּעטע אינצידענט באריכטן: אויב די מעלדונג פאלט אינדרויסן פון דעם 24-72-שעה פענצטער און דער דירעקטאָרן-ראט קען נישט באַשטעטיקן ווער איז געווען באַשעפטיקט אדער וואָס האָט ארויסגעגעבן באַשלוסן, ווערט יעדן דירעקטאָר'ס באַשעפטיקונג אונטערזוכט.
- נישט-געלאָגטע ריזיקע איבערבליק: נישט דאקומענטירן אייער אקטיווע איבערבליק, דיסענט, אדער אונטערשרייבונג אין פראטאקאלן אדער ריזיקע רעגיסטערס.
- איבערגעלאָזטע אָדער נישט באַוויזן סייבער טריינינג: נישט פארענדיקן - אדער נישט האבן דידזשיטאלן באווייז פון - מאנדאטירטע זיכערהייט סעסיעס אויף ברעט-לעוועל.
- אפוועזנדע עקוויפּמענט אין מינוטן אדער באַשלוסן: שטילע אנוועזנהייט, נישט-רעקארדירטע דעצענט, אדער אנאנימע הסכמות ברענגען א דורכפאל פון נישט טון קיין ארבעט.
- דורכפאַל צו עסקאַלירן "כמעט מיסאַז": אויב אַן אינצידענט ווערט איגנאָרירט אָדער נישט אויסגעפאָרשט, איז זיך באַפרייען דורך טיטל אָדער נאמינאַלער בייַזייַן קיין פאַרטיידיקונג אונטער אַרטיקל 20.
לעכער אדער אומקלארע אנוועזנהייט אונטערמינעווען קאמפלייענס; א דירעקטאר'ס בעסטע פארטיידיגונג איז זייער נאמען אנגעהענגט צו באשלוסן, טרענירונג, און אויפזיכט, שורה ביי שורה.
וואָס פינאַנציעלע און רעפּוטאַציע שטראָף קען מען צולייגן - קען D&O פאַרזיכערונג ראַטעווען פּערזענלעך פֿאַראַנטוואָרטלעכע דירעקטאָרן?
דירעקטאָרן פון "עסענציעלע ענטיטיס" ריזיקירן קנסות ביז €10 מיליאָן אדער 2% פון גלאבאלן איינקונפט; "וויכטיגע ענטיטיס" שטייען פאר ביז €7 מיליאָן אדער 1.4%. אבער די טייערסטע ווירקונג איז אָפט דיסקוואַליפיקאַציע, נאַמינג/שעמינג, אדער בטל געמאכטע קאָנטראַקטן. קריטיש, D&O פאַרזיכערונג פּאָליטיקס דאַרפן מער און מער דירעקטאָר-לעוועל דיגיטאַלע רעקאָרדס - פעלנדיקע חתימות, אויסגעלאָזטע טריינינג, אדער נישט-לאָגד פּראָטאָקאָלן קענען בטל מאַכן קליימז. אויב אַ דירעקטאָר קען נישט עקספּאָרטירן באַווייַזן פון פלייַסיק השגחה - אַנדערש פון פירמע-ברייט לאָגס - קענען זיי בלייבן גאָר אויסגעשטעלט (נאָער, 2024). קאָנטראַקט פּאַרטנערס, אָדיטאָרס, און ינוועסטאָרס קאָנטראָלירן איצט די לאָגס פּראָאַקטיוו, און אַ מוסטער פון "אַוועקוועזנדיקע" דירעקטאָרן איז אַ ערנסטע רויטע פאָן.
שטראָף און פאַרזיכערונג טאַבעלע
| ענטיטי טיפּ | מאַקס פיין | פאַרזיכערונג בטל ריזיקע אויב גאַפּס פאָרשטעלן | ריזיקירן לעוועל |
|---|---|---|---|
| יקערדיק | €10 מיליאָן/2% איבערקערעניש | העכסט מסתּמא | הויך |
| וויכטיק | €7 מיליאָן/1.4% איבערקערעניש | מסתּמא | מעסיק - הויך |
| אַלע | דיסקוואַלאַפאַקיישאַנז | זיכער | הויך |
וואָס איז דער "גאָלד סטאַנדאַרט" דיגיטאַלער באַווייַז פֿאַר אַרטיקל 20 באָרד קאַנפאָרמאַטי?
דער בעסטער שוץ איז אַן אומענדערלעכער דיגיטאַלער לאָג וואָס פֿאַרבינדט יעדן דירעקטאָר'ס אַקציע, אונטערשרריפֿט, אָפּאָזיציע און אנוועזנהייט צו אַ צייטשטעמפּל-מינימאַלן צימער פֿאַר צווייפל אָדער טעות.
- דיגיטאַלע באַשטעטיקונג לאָגס: יעדע פּאָליטיק, ריזיקאָ איבערבליק, אדער אינצידענט רעאַקציע אויף דער דירעקטאָרן־באָרד ווײַזט די עקספּליציטע אַקציע און אונטערשרריפט.
- טרענירונג סעסיע רעקאָרדס: יעדן דירעקטאָר'ס אנוועזנהייט און פֿאַרענדיקונג ווערט רעגיסטרירט און קען נישט ווערן איבערגעשריבן רעטראָאַקטיוו.
- ווערסיע-קאנטראלירטע מינוטן: אַקציעס, פֿראַגעס און מחלוקת ווערן צוגעשריבן צו יחידישע דירעקטאָרן.
- אינצידענט אוידיט טריילז: עסאַקאַלאַציעס, באַשלוסן און דעבאַטעס בעת דער רעאַקציע ווערן רעקאָרדירט, מיט יעדן דירעקטאָר אידענטיפיצירט לויט ראָלע און בייַשטייַער.
- אָטאַמאַטיק אַלערץ: פארפעלטע חתימות, שפּעטיקע טרענירונג, אדער נישט רעגיסטרירטע דיסענט פּראָמפּט דערמאָנונגען - פֿאַרקלענערט די ריזיקע פֿון פּאַסיווער נישט-הערשטער צוגרייטונג.
- אוידיט/עקספארט מעגלעכקייטן: אינסטאַנט דאַונלאָודינג פון באַווייזן פון דירעקטאָרן-ראט פֿאַר רעגולאַטאָרן אָדער אָדאַטאָרן.
פאפיר סיסטעמען, אלגעמיינע ספּרעדשיטס, אדער דעפארטמענט-בלויז לאגס פאלן געווענליך דורך דעם טעסט. א פלאטפארמע ווי ISMS.online, ספעציעל געבויט פאר ארטיקל 20, אויטאמאטיזירט צושרייבונג, אויפהאלטונג, און אוידיט רעזולטאטן - אראפנעמענדיג מענטשליכע טעותים פון דער קאמפלייענס גלייכונג.
טרעיסאַביליטי טאַבעלע
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל/SoA לינק | עווידענס לאָגד בייַשפּיל |
|---|---|---|---|
| פּאָליטיק אַדאָפּטיאָן | פּאָליטיק איבערגעקוקט | 5.1/A.5.1 | דירעקטאָר אונטערשרריפט, צייטשטעמפּל, אַרכיוו |
| קריזיס האט זיך פארגרעסערט | אינצידענט איבערבליק/באווייזן | A.5.24 | א גערופענע אקציע אין אינצידענט לאג, מינוטן |
| ריזיקע אויפגעהויבן | וואָרענונג פֿאַר באָרד זיצונג | 8.2 | אַרויסרוף/פֿראַגע אַרײַנגעגעבן אונטער דירעקטאָר |
וואָס מוזן דירעקטאָרן טאָן בעת אַן אינצידענט צו ענשור קאָנפאָרמאַטי און פּערזענלעכן שוץ?
קאָנפאָרמאַטי ווערט געמאָסטן ניט נאָר אין פּלענער, נאָר אין באַלדיקע, צייט-געשטעמפּלטע, דירעקטאָר-אַטריביאַטאַד אַקציעס:
- פּראָבען אינצידענט אַקטיוואַציע (יעדן דירעקטאָר'ס ראָלע איז דעפינירט און אנערקענט געוואָרן איידער דער קריזיס).
- לאָגירן אנוועזנהייט און פרעזענץ פֿאַר אַלע דירעקטאָרן בײַם אָנהייב - פיזיש אָדער ווײַטן.
- דאקומענטירט יעדע אקציע, ארויסרוף, מחלוקת, און אנווייזונג אין רעאל-צייט, צושרייבנדיק מיטן נאמען.
- מעלדן די אויטאריטעטן אינערהאלב אפיציעלע פענצטער (24-72 שעה), צוטשעפענדיג עקספארטירבארע באווייזן פון ווער האט באשטעטיקט יעדן שריט.
- פאָרזעצן צו לאָגירן און עקספּאָרטירן יעדע דירעקטאָר'ס אַקציע און קאָמוניקאַציע ביז אַ לייזונג.
- ניצן אפיציעלע ENISA באריכטן טעמפּלאַטן/פלוסן צו סטאַנדאַרדיזירן דאָקומענטאַציע (ENISA, 2023).
- אַרכיווירן אַלע באַטייליקונג און לעקציעס געלערנט פֿאַר צוקונפֿטיקע לעגאַלע און אוידיט איבערבליק.
ברעטער וואָס פאָראויסטיילן ראָלעס, פירן דיגיטאַלע רעפּעטיציעס, און אויטאָמאַטיזירן לאָגינג פֿאַרמאַכן די לאָכער וואָס אָפט אויסשטעלן דירעקטאָרן מערסטנס.
ווי טוען לאַנד-ספּעציפֿישע כּללים ענדערן דירעקטאָרן'ס אויפֿגאַבן - און וואָס איז די גרענעץ-איבערשרייטנדיקע לייזונג?
כאָטש אַרטיקל 20 שטעלט דעם מינימום פֿון דער אי.יו., לייגן די מיטגליד שטאַטן שוין צו שווערערע רעקווייערמענץ :
- האלאנד: פאָרמעלע סערטיפיקאַטן פֿאַר דירעקטאָר סייבער טריינינג זענען איצט אַ מוז.
- דייטשלאנד: פארבינדט NIS 2 פארפליכטונגען אין נאציאנאלע פירמע געזעץ, פארגרעסערנדיק די אויסשטעל.
- געזונט, פינאַנץ, און אינפראַסטרוקטור: צולייגן סעקטאָר-ספּעציפֿישע פֿאָדערונגען - דירעקטאָר טריינינג, אינצידענט צייט-ליניעס, אוידיט אַרטעפאַקטן - אין פּאַראַלעל צו NIS 2.
- מולטינאציאָנאַלע באָרדס: מוזן האַנדלען און באַווייַזן קאָנפאָרמאַטי פֿאַר יעדן לאַנד, נישט נאָר אי.יו.-ברייט.
יערלעכע פּראָבע אויספֿאָרשונגען, לעגאַלע איבערבליק פֿון דירעקטאָרן-דאָקטואַציע, און שטאַרקע דיגיטאַלע רעקאָרד-האַלטונג – סטאַנדאַרדיזירט פֿאַר גרענעץ-איבערשרייטנדיקע באַדערפֿנישן – זענען איצט וויכטיקע זאַכן אויף דער טיש.
ווי אזוי ISMS.online ערמעגליכט דירעקטארן צו באהערשן ארטיקל 20 פארפליכטונגען און באווייזן?
ISMS.online גיט א פאראייניגטע, דירעקטאר-אטריביוטע קאמפלייענס רוקן-ביין פאר ארטיקל 20:
- יעדע פּאָליטיק, ריזיקאָ איבערבליק, האַסקאָמע, דיסענט, אָדער סייבער טריינינג ווערט רעקאָרדירט לויט יחיד, ווערסיע, און צייטשטעמפּל.
- דיגיטאַלע אָדיט טריילז און ראָלע-באַזירטע עקספּאָרט פאַנגקציעס: זיכער מאַכן אַז באַווייזן ווערן קיינמאָל נישט פאַרלוירן, איבערגעשריבן, אָדער איבערגעלאָזט אין זכּרון.
- אויטאָמאַטישע דערמאָנונגען, וואָרקפלאָו אַסיינמאַנט, און מאָק אָדיט מאָדעס רעדוצירן די לאַסט און ריזיקירן פון פאַרפעלטע טריט.
- סעקטאָר אָוווערלייז און יוריסדיקשאַנאַל אַדאַפּטיישאַן שטיצן אַלע באָרד מיטגלידער - אַריבער ינדאַסטריז און אי.יו. לענדער - זיכערן גרייטקייט פֿאַר רעגולאַטאָרן, פּאַרטנערס און ינוועסטערז אין איין אָרט.
אייער שטאַרקסטע באָרדרום פאַרטיידיקונג איז אייער דיגיטאַלער פינגערפּרינט אויף יעדער וויכטיקער סייבער באַשלוס, אַרויסרופן, האַסקאָמע און טריינינג - גרייט אויף פאָדערונג, שטענדיק אין אייער נאָמען.
