איז NIS 2 באָרדרום פֿאַראַנטוואָרטלעכקייט פֿאַר סייבער און קנסות אַן עכטער פּערזענלעכער ריזיקע?
די תקופה פון סימבאלישע סייבער אויפזיכט דורך דירעקטאָרן-ראטעס איז געענדיגט. NIS 2 שרייבט איבער דעם לייעביליטי פּלייבוק, דירעקט פאראַנקערנדיק סייבער אַקאַונטאַביליטי און קנסות צו באַשטימטע דירעקטאָרן. איר זענט איצט נישט נאָר אַ אונטערשרייבער, נאָר אַן אוידיטאַבלער באַטייליקטער אין דער פירמע'ס דיגיטאַלער אָפּעראַציאָנעלער ווידערשטאַנד . דאָס איז נישט טעאָרעטיש. רעגולאַטאָרן, אינוועסטאָרן און פארזיכערונגס-געזעלשאַפטן גייען פון "האָט איר פּאָליטיק?" צו "באַווייַזן אַז איר האָט געהאַנדלט, דעבאַטירט, באַשלאָסן און געווען פאָרשטעלן אין יעדער קריטישער סייבער באַשלוס."
יעדע אומדאקומענטירטע באשלוס ווערט א פראגע-צייכן אין די אויגן פון ביידע רעגולאטארן און אינוועסטארן.
וואָס פארלאנגט דאָס אָפּעראַציאָנעל? מען ערוואַרטעט פֿון דירעקטאָרן-ראַטן זיך צו באַוועגן ווײַט ווײַטער פֿון יערלעכע סייבער-זיכערהייט אונטערשרײַבונגען. אין פּראַקטיק, לענדער ווי בעלגיע און דײַטשלאַנד שטעלן דעם טעמפּאָ: דירעקטאָרן מוזן פּערזענלעך איבערקוקן, דיגיטאַל אונטערשרײַבן און באַשטעטיקן אַלע שליסל ISMS ( אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם) אַקציעס. נישט-עקזעקוטיוון שטייען איצט פֿאַר פּערזענלעכע עקספּאָוזשער פֿאַר גאַפּס אין השגחה, אָן קיין "איך האָב נישט געוואוסט" פֿאַרטיידיקונג פֿאַראַן.
איר שטייט אויך פאר נייע דעדליינס פאר באווייזן פון קאמפלייענס. ביז שפעט 2024 וועלן פעריאדישע דיגיטאלע רעקארדס זיין פארלאנגט, וואס ווייזן אז יעדע איבערבליק, דיסקוסיע, און באשטעטיגונג פארבונדן מיט סייבער ריזיקע אדער אינצידענט רעאקציע איז אונטערגעשריבן, געהאלטן, און עקספארטירבאר פאר אוידיט אדער ליטיגאציע. אפילו איין פארפעלטע זיצונג אדער אומגעחתמעטער ריזיקע רעגיסטער קען פארמען דעם זוימען פון א אחריות קלאגע.
פֿאַר פירער, מיינט דאָס זיך אַריבערציען פֿון אַ קאָנפאָרמאַנס-פּאַראַנאָיאַ מיינדסעט צו אַ סיסטעם פֿון שוץ: היינטיקע דאָקומענטירטע באַשלוס אָדער איבערבליק איז מאָרגנדיקער שילד - נישט נאָר קעגן רעגולאַטאָרן, נאָר אויך קעגן אַקציאָנערן און דעם עולם.
קענען אקציאנערן פערזענליך פארקלאָגן דירעקטאָרן נאך א 2 שקל קנס?
אקציאנערן קענען און טוען מער און מער קלאָגן דירעקטאָרן נאָך אַ רעגולאַטאָרישע קנס פֿאַרבונדן מיט 2 ש״ש. די קנס איז שוין נישט דער "פּונקט", נאָר דער אָנהייב פֿאַר ווייטערדיקע, טיפערע קאָנטראָל. אַזוי שנעל ווי אַ קנס ווערט אַרויסגעגעבן, זוכן אינסטיטוציאָנעלע אינוועסטאָרן און אַקטיוויסטישע פֿאָנדן נאָך לעכער אָדער פֿאַרלענגערונגען אין אַקציע אויף דירעקטאָרן-לעוועל. דאָס עפֿנט די טיר פֿאַר דעריוואַטיווע פֿאָדערונגען (ווי אין, קלאָגן אין נאָמען פֿון דער פֿירמע פֿאַר שאָדן געטאָן) אָדער פֿאַר דירעקטע אַקציע וווּ זיי קענען ווײַזן אויף אַן אימפּאַקט אויף די אַקציע-פּרייזן, פֿאַרלוירענע געשעפֿטן, אָדער רעגולאַטאָרישע קאָסטן.
טיפּישערװײַז, אַנטפּלעקט זיך די לעגאַלע סיקוואַנס אַזוי:
- רעגולאַטאָר באַשטראָפט די פירמע פֿאַר דורכפֿאַלן אין קאָנפאָרמאַנס (אַזאַ ווי פעלנדיקע אָדער אויבערפֿלעכלעכע ISMS באָרד באַטייליקונג).
- אקציאנערן - אָפט דורך זייערע לעגאַלע אַדוואָקאַטן אָדער פאַרזיכערונג קאָמפּאַניעס - פארלאנגען צוטריט צו ISMS דירעקטאָרן-ראט פּראָטאָקאָלן, באַשטעטיקונגען און אוידיט טריילז.
- יעדע פעלנדיקע, נישט-קאנסיסטענטע, אדער שלעכט-געצייכנטע ברעט-אקציעס ווערן באווייז.
- מען ענדיגט א קלאגע - אדער קעגן דער פירמע (דעריוואטיוו) אדער קעגן יחידים (דירעקט) - פארן פארלעצונג פון די פליכטן פון דירעקטארן.
א קנס איז נישט די ענדיקונג; עס איז דער אָנהייב־פײַף פֿאַר עקסטערנער קאָנטראָל.
דאָס איז נישט קיין היפּאָטעטישע זאַך. לעגאַלע פּרעצעדענטן פֿון GDPR , D&O פֿאַרזיכערונגס־קליימס, און ESG דורכפֿירונג האָבן שוין אָפּגעשניטן דעם אַזוי גערופֿענעם "קאָרפּאָראַטיוון פֿאָרהאַנג". וואו עס איז נישטאָ קיין קלאָרער, אוידיט־גרייטער פּראָצעס, ווערן דירעקטאָרן, יחידים און געמיינזאַמע, צילן.
אקציאנערן דארפן נאר באשטעטיגן אז: א) דער באָרד האט געהאט א פליכט, ב) די אַקציע/נישט-אַקציע האט געפֿירט אדער בייגעטראָגן צו פארלוסט, און ג) דער באָרד האט נישט גענומען "גלייַכבארע שריט", ווי באַוויזן אין ISMS לאָגס און אוידיט רעקאָרדס. דאָקומענטאַציע גאַפּס ווערן שנעל דירעקטע פֿאַראַנטוואָרטלעכקייט.
אויב אייער דירעקטאָרן-ראט קען נישט צושטעלן לעבעדיגע, אונטערגעשריבענע באווייזן פון באטייליגונג, ווערן 2 שקל קנסות אָפט דער טראָיאַנישער פערד פֿאַר מער שעדלעכע, פּערזענלעכע ליטיגאַציעס.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
וואו זענען די לעגאַלע גאַפּס וואָס לאָזן אַקציאָנער קליימז דורכשטעכן דעם שלייער?
די מערסטע געוויינטלעכע שוואכע פונקטן זענען אוידיט, דאקומענטאציע, און אויפזיכט גאפעס - קליינע אויסלאזונגען אדער "אפצוטשעקן די קעסטל" אויפפירונגען וואס קלעגער אדוואקאטן קענען אריינבויען אין אחריות קלאגעס. דא הייבן זיך אן די פראבלעמען:
- קיין באשטעטיגבארע באווייזן: (אַזאַ ווי אונטערגעשריבענע דיגיטאַלע מינוטן, עקספּאָרטירבאַר קאָנטראָלירן טריילז) ווײַזנדיק אַז דער באָרד האָט איבערגעקוקט שליסל ריזיקעס, דעבאַטירט אינצידענטן, אָדער דערהייַנטיקט פּאָליטיקס.
- אויבערפלעכלעכע אדער מאסן-באשטעטיקונג אונטערשריפטן: וואָס פעלן באַגרינדונג, קאָנטעקסט, אָדער עכטע באַטייליקונג.
- איבערגעלאָזטע, געיאָגטע, אָדער פֿאַרשפּעטיקטע רעצענזיעס: -ספּעציעל אין די וואָכן איידער אָדער נאָך סייבער אינצידענטן.
- נישט פולשטענדיגע ISMS רעקארדס: -ספּעציעל איבער גרופע, גרענעץ-איבערשרייטנדע, אדער מולטי-סובסידיאַרי אָפּעראַציעס.
- אַלטע פּראָטאָקאָלן: -אַזאַ ווי ISMS פּאָליטיקס אָדער ריזיקירן רעגיסטרירןס וואָס זענען קיינמאָל נישט דערהייַנטיקט געוואָרן נאָך דער צוזאַמענפֿלוס, נאָך אַ גרויסער IT ענדערונג, אָדער נאָך אַ רעגולאַטאָרישער דערהייַנטיקונג.
איין איינציקע ריס אין אייער אוידיט טרעיל היינט קען עפענען די טיר צו געריכטליכע קריגעריי מארגן.
בריטישע געזעץ אָפפערט אַ זייער דירעקטן וועג: אונטער קאָמפּאַניעס אקט 2006 ס.172 און ס.174, איז פֿאַראַנטוואָרטלעכקייט פֿאַרבונדן מיטן דורכפֿאַל צו "פֿאַרשטאַרקן דעם הצלחה" פֿון דער פֿירמע און צו האַנדלען מיט "גלייַכגעוויכטיקער זאָרג, בקיאות און פֿלייסיקייט." דאָס ווערט מער און מער אינטערפּרעטירט אין דעם קאָנטעקסט פֿון סייבער אויפֿזיכט. אויב אַ NIS 2 קנס פּאַסירט און באַווײַזן פֿעלן, בלייבן דירעקטאָרן אויסגעשטעלט.
אין עיקר, אויב אייערע רעקאָרדס קענען נישט שפּורן יעדע ריזיקאָ-פֿאַרבונדענע באַשלוס צו אַ צייט-געשטעמפּלטע האַסקאָמע (און מאל באַגרינדונג), האָט איר צוגעשטעלט אַמוניציע פֿאַר אַקציאָנער אַקציעס.
ווי אזוי פֿאָרעמען נאַציאָנאַלע געזעצן די ריזיקע פֿון באָרדרום – און ווי האַרמאָניזירט מען דאָס?
NIS 2 שטעלט א רעגולאטורישן מינימום, אבער נאציאנאלע געזעץ באשטימט די מאס און נאטור פון פערזענליכע אחריות . דאס מיינט אז באארדס מיט אינטערנאציאנאלע שטאפלען ריזיקירן צו ווערן באטראפן דורך אביסל אנדערע סטאנדארטן.
| לאַנד | דירעקטאָר ריזיקאָ לעוועל | אַקציאָנער קאָסטיום גרינגקייט | ברעט סטרוקטור וועריאַבאַלן |
|---|---|---|---|
| בעלגיע | זייער הויך | מעסיק | געמיינזאם/דירעקט פאר אלעמען |
| דייטשלאנד | הויך | הויך | געמיינזאמע/דירעקטע, גרופע/עלטערן ריזיקע |
| UK | מעסיק | הויך | דעריוואַטיווע אַקציעס געוויינטלעך |
| france | מעסיק | נידעריק-מעסיק | סטרוקטור-סענסיטיוו |
געוויסע לעגאלע סטרוקטורן (למשל, בעלגיע, דייטשלאנד) שטעלן צו געמיינזאמע און עטלעכע אחריות: אזוי לאנג ווי דאקומענטאציע פעלט, איז יעדער דירעקטאר - אריינגערעכנט נישט-עקזעקוטיוון און גרופע דירעקטארן - אין ריזיקע. די פאראייניגטע קעניגרייך מאכט עס גרינגער פאר אקציאנערן צו אנפאנגען דעריוואטיוו קלאגעס, ספעציעל אויב ס.172/ס.174 פליכטן ווערן פארלעצט אויף א וועג וואס ווירקט אויף די ווערט פון די אקציע.
ווי אזוי צו האַרמאָניזירן פּראַקטיש?
- צענטראַליזירן אייערע ISMS און GRC רעקאָרדס. ניצט איין, שטענדיק-אקטועל דיגיטאַל סיסטעם פֿאַר אַלע פּאָליטיקס, ריזיקאָ אַסעסמאַנץ, דירעקטאָרן-ראַט אַקציעס און אונטערשרייבונגען.
- עקספּאָרט לויט יוריסדיקציע.: זיכער מאַכן אַז דיגיטאַלע אוידיט פּאַקעטן קענען גענערירט ווערן מיט דער ספּעציפֿישקייט און שפּראַך וואָס די לאָקאַלע רעגולאַטאָרן ערוואַרטן.
- רוטינע גאַפּ אַנאַליזעס.: ניצט דאַשבאָרדז צו געפֿינען פֿעלנדיקע אָדער אַלטע באַווײַזן; פּלאַנירט און לאָגירט יעדע אַקציע אויף דער ברעט דידזשאַטאַלי.
- בענטשמאַרק טשעקליסטן: צופּאַסט פּאָליטיק, באַווײַז און באַטייליקונג צום העכסטן סטאַנדאַרט אין אייערע אָפּערירן יוריסדיקציעס.
ווען איר זענט נישט זיכער, זאָלט איר צופּאַסן אייערע קאָנטראָלן און רעקאָרד-האַלטונג צו דער מערסט פאָרדערנדיקער לעגאַלער סביבה אין וועלכער איר אַרבעט.
אויב אייער גרופע ארבעט אינטערנאציאנאל, ווארט נישט ביז יעדן לאנד'ס געזעץ-געזעץ וועט זיך נאככאפן; הייבט די שטאפל אומעטום צו דער העכסטער באקאנטער פארלאנג.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
ווען באַשיצט אָדער שטעלט D&O פאַרזיכערונג דירעקטאָרן אין פּנים פון קנסות אָדער פּראָצעסן?
די-און-אויס פארזיכערונג איז נישט דער ברייטער שוץ וואס אסאך דירעקטארן נעמען אן. פאליסיס האבן זיך אנטוויקלט: רוב איצט ספעציפיש אויסשליסן קאווערידזש פאר רעגולאטורישע שטראפן פארבונדן מיט דעמאנסטרירטע "מוטוויליקע" אדער איבערגעחזרטע נעגליגענץ אין סייבער אדער קאמפלייענס אויפזיכט. פארזיכערונגס-געזעלשאפטן פארגלייכן NIS 2 ריזיקע אין קוועסטיאנערן, צולייגנדיק נייע אויסשליסונגען פאר לעכער אין באארדרום דיגיטאלע טריילס, אוידיט לאגס, און פראצעס באווייזן.
| Scenario | באדעקט? | טיפּישע אויסשליסונג |
|---|---|---|
| נאכלעסיגע אויפזיכט | יא - אבער נישט "גראָב" | גראָבע נעגליגענץ, איבערחזרנדיקער דורכפאַל |
| נאָר פּאָליטיק אונטערשרייבונג | מאל | פריער וויסן |
| איבערחזרן פארלויף | זעלטן | באַוואוסטזיניקע בריטש |
| קנסות (רעגולאַטאָריש) | פאַל-ספּעציפיש | מכוון'דיגע אקט, אויף א דירעקטאריום |
| פעלנדיקע אוידיט/רעקארדס | קיינ מאָל ניט | נישטאָ קיין דיגיטאַלע באַווײַזן |
אייער נעקסטע פאליסי באנייאונג זאל ארייננעמען א שורה-ביי-שורה איבערבליק פון קאווערידזש פאר: רעגולאטורישע שטראָפן, מיטגליד-לעוועל נעגליגענס, און "אויפֿהערן פון באארד אקציעס." בעטן פאר קלארקייט וועגן דיגיטאלע באווייז רעקווייערמענטס - און סקעדזשולירן דעם יערלעכן איבערבליק אלס אן ISMS אקטיוויטעט.
קוקט איבער אייער D&O פאליסי ליניע ביי ליניע - סייבער שפראך און באווייז-פארלאנגען קענען זיך האבן געענדערט אין די לעצטע 18 חדשים.
נישט קיין חילוק וויפיל קאַווערידזש איר מיינט איר האָט, אַ נישט-געלאָגטע אָדער שפּעטע באָרד באַשלוס קען בטל מאַכן דעם שוץ וואָס איר דאַרפט אַממייסטנס.
ווי אזוי העלפט א פארטיידיגבאַרע ISMS באשיצן דעם באָרד – אין און אַרויס פון געריכט?
א שטאַרקע דיגיטאַלע ISMS איז די מאָדערנע דירעקטאָרן-ראַט'ס ערשטע און לעצטע ליניע פון פאַרטיידיקונג. עס טוט וואָס קיין נאָך-אינצידענט "רעקאָנסטרוקציע" קען נישט: שאַפט צייט-באַשטימטע, עקספּאָרטירבארע באַווייזן פון יעדער סייבער-פֿאַרבונדענער באַשלוס, ריזיקאָ דיסקוסיע און דירעקטאָרן-אַקציע. רעגולאַטאָרן, פֿאַרזיכערונגס-געזעלשאַפֿטן, אָדיטאָרס און געריכטן נעמען מער און מער אַ "ווייזן, נישט זאָגן" צוגאַנג.
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס A רעף |
|---|---|---|
| אונטערגעשריבענע באווייזן פון הסכמה | דיגיטאַלע מינוטן און צייט-געשטעמפּלטע אונטערשריפט | פּונקט 6.1, אַנעקס A5, A9, A24 |
| אויפזיכט פון ריזיקע אפשאצונגען | ברעט איבערבליק, נאטיצן, ISMS ווערסיע קאנטראל | פּונקט 8.2, אַנעקס A5.7, A8.8 |
| טרענירונג רעקארדס פאר דירעקטארן | אויטאָמאַטישע פּלאַנירונג, טראַקעד קאַמפּלישאַן | אַנעקס A6.3, A7.7 |
| קאָנטראָלירן שטעג פון אינצידענטן, רעאַקציעס | צענטראלער אינצידענט רעגיסטער, אַקציע לאָגס | אַנעקס A5.24–A5.28 |
| קאָנטראָלירטע דערהייַנטיקונגען און באריכטן | פּלאַנירטע דיגיטאַלע באריכטן און אָדיט לאָגס | קלאָזן 9.2, 9.3, A5.35 |
[Board Meeting] -> [Agenda Prepped | Risk Items Flagged]
↓
[Live Digital Approval Logging]
↓
[Decision/Policy Action Timestamped]
↓
[Task/Assignment Created]
↓
[Export/Review Pack Generated]
פּלאַטפאָרמעס ווי ISMS.online שטיצן רוטינמעסיק: ווערסיע-געמאַפּטע פּראָטאָקאָלן, ראָלע-געמאַפּטע באַשטעטיקונגען, אינצידענט רעגיסטערס, און אָדיט-גרייט עקספּאָרטן (isms.online). די רעדוצירן יחידישע און קאָלעקטיווע עקספּאָוזשער דורך מאַכן "מוטוויליקע אומוויסנדיקייט" כּמעט אוממעגלעך צו פּלעגן.
אין געריכטליכע קריגערייען וועט די פראגע נישט זיין צי איר 'האבט בדעה געהאט' צו פארוואלטן ריזיקע - נאר צי אייער ISMS קען באווייזן אז דער באָרד האט דאס געטאן ביי יעדן קריטישן מאָמענט.
אַ דירעקטאָרן-ראט'ס בעסטע פארטיידיקונג איז נישט רעטראָספּעקטיווע קאָמוניקאַציעס, נאָר אַ לעבעדיקע דיגיטאַלע שפּור.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
קענען אוידיט לאגס און אקציאנעלע באווייזן טאקע אפשטעלן קלאגעס קעגן אקציאנערן אדער רעגולאטארן?
ווען אוידיט לאגס זענען אקציע-באר, פולשטענדיג, און צוגעפאסט צו אנערקענטע סטאנדארטן, פארמען זיי דעם ענטשיידנדיקן שילד וואס בלאקירט ביידע רעגולאטאר און אקציאנערן טענות. וואס שטעלט אפ א געריכטס-פראצעס איז נישט קלוגע ארגומענטאציע, נאר דער עקספארטירבארער רעקארד : ווער האט באשלאסן וואס, ווען, מיט וועלכער באגרינדונג אדער פראגע.
מיני-טיש: טרעיסאַביליטי אין אַקציע
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל / SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| הויפּט אינצידענט | באַלדיקע ריזיקע איבערבליק | אַקסנומקס, אַקסנומקס | באָרד מינוט, אינצידענט לאָג |
| שטאב האט פארפעלט טרענירונג | אויפגאַבע אויטאָמאַטיש צוטיילן | אַקסנומקס | צייט-געשטעמפּלטע רעגיסטער |
| פּאָליטיק איבערבליק פאַרהאַלטונג | נייע רעצענזיע באשאפן | אַקסנומקס, אַקסנומקס | באַשטעטיקונג לאָג, SoA דערהייַנטיקונג |
[Event Detected]
↓
[Risk Owner Notifies Board]
↓
[ISMS Logs Action + Assigns Tasks]
↓
[Board Review & Decision]
↓
[Evidence Captured/Linked]
↓
[Export to Audit/Legal/Regulation]
איבער און איבער האבן געריכטן און פארזיכערונגס-געזעלשאפטן ארויסגעווארפן קלאגעס וואו א לעבעדיגע דיגיטאלע שפּור האט קלאר געמאכט אויפזיכט און אחריות. דאס שאפט אויך א קולטורעלע ענדערונג - שטאב, עקזעקוטיוון און דירעקטאריום ווייסן אז זייערע ראלעס זענען קענטיק און קאנטראלירבאר, וואס איז אפט גענוג צו פארשפרייטן באטייליגונג און זארג לאנג איידער פראבלעמען ווערן קלאגעס.
האַנדלט איצט: ווי אַזוי צו בויען באָרדרום ווידערשטאַנד איידער דער ווייַטער קנס
קאָנפאָרמאַטי איז ווידערשטאַנד וואָס ווערט קענטיק.
ווידערשטאנדסקראפט איז נישט נאר איבערלעבן דעם נעקסטן קנס אדער אוידיט. עס איז א קענטיגער, נאכפאלגבארער, און פארטיידיגבאַרער פראצעס. פאר יעדן באארד אדער דירעקטאר וואס האנדלט אונטער NIS 2, איז דער עכטער שריט צו מאכן דאס קענטיג יעצט.
דיין ווייַטער סטעפּס:
- פּלאַנירן אַ גרייטקייט איבערבליק: געפינט די שוואַכע פונקטן אין אייער דיגיטאַלער שפּור, פֿון פֿעלנדיקע באַשטעטיקונגען ביז אומגעפּלאַנטע אָפּשאַצונגען.
- פּלאַנירן ריקערינג באָרדרום רעצענזיעס: לאָגירט יעדע סעסיע, באַשטימט אַקציעס, און פינאַליזירט פּראָטאָקאָל מיט דיגיטאַלער אונטערשרײַבונג.
- דורכפירן ראָלע-געמאַפּטע, פּלאַנירטע דירעקטאָר טריינינג: לינק קאַמפּלישאַן צו קאָנטראָלירן דערהייַנטיקונגען און ריזיקירן ענדערונגען.
- מאָביליזירן יעדע פונקציע פון דעם באָרד: לעגאַל, אינפֿאָרמאַציע טעכנאָלאָגיע, ריזיקע, און אָפּעראַציעס. יעדער זאָל זען און אונטערשרײַבן וואָס איז וויכטיק.
- עקספּאָרטירן און "באַטאַל-טעסטן" אייער אָדיט טרייל: שאַפֿט אַן ISMS פּאַק וואָס איר וואָלט זיין באַקוועם צו זען אין געריכט אָדער פֿאַר אַ רעגולאַטאָר.
א פּלאַטפאָרמע דעמאַנסטראַציע קען איבערבריקן דעם ריס - ווײַזנדיק ווי ריכטיק געראטן ISMS לאָגס, באַשטעטיקונגען, טאַסקס און עקספּאָרטן פֿאָרמען אַ שילד אַנשטאָט אַ שוואַכן פּונקט. הייבט דאָס אָן איידער איר דאַרפֿט עס. באָרדרום ווידערשטאַנד איז נישט אַ נאָך-שטראָף פאַרזיכערונג פּאָליטיק; עס איז אַ קענטיקע, לעבעדיקע קולטור פון השגחה און באַוויזן אַקציע.
אידענטיטעט CTA:
יעדע באַשטעטיקונג, יעדע איבערבליק, יעדער ריזיקע - קענטיק, באַשיצט, און ווידערשטאַנדספעיִק. צוגרייטן אייער דירעקטאָרן-ראַט צו פירן פֿון באַווײַזן, נישט פֿון האָפֿענונג. בויען אייער NIS 2 פֿאַרטיידיקונג איצט, מיט אַ לעבעדיקן, פֿאַרטיידיקבאַרן אוידיט-וועג וואָס גייט מיט אייך פֿונעם דירעקטאָרן-ראַט ביזן געריכט - און פֿאַרשפּרייט ריזיקע איידער זי לאַנדט.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווער איז פערזענליך פאראנטווארטלעך נאך א 2 שקל רעגולאטורישע קנס, און ווי ווייט קען דער ריזיקע דערגרייכן?
דירעקטאָרן - עקזעקוטיוו און נישט-עקזעקוטיוו - שטייען פאר א דירעקטן, פערזענלעכן לעגאלן ריזיקע נאך א NIS 2 רעגולאטורישן קנס, און די אויסשטעל קען זיך אויסשטרעקן ווייט ווייטער ווי זיצנדיקע באארד מיטגלידער, אריינגערעכנט קאמיטעט פירער און אפילו דירעקטארן וואס האבן לעצטנס רעזיגנירט. אונטער NIS 2, לאזט די נאציאנאלע געזעצן אין בעלגיע, דייטשלאנד, איטאליע, און אנדערע אי.יו. שטאטן יעצט ביידע רעגולאטארן און אקציאנערן נאכפאלגן נישט נאר די פירמע, נאר אויך די מענטשן וואס זענען פאראנטווארטלעך וואו אויפזיכט אדער סייבער גאווערנענס פעלט, ספעציעל אויב אוידיט טרעילס זענען אומפארענדיגט אדער דידזשיטאל נישט אונטערגעשריבן (DLA Piper, 2024). דער לעגאלער ספאטלייט גייט יעצט נאך די אקטועלע באשלוס-מאכן - אויב ISMS לאגס, דידזשיטאלע באארד אונטערשרייבונגען , אדער צייט-געשטעמפלטע ריזיקע באריכטן זענען נישטא פאר דער צייט אונטער אויפזיכט, קענען פערזענלעכע טענות צוריקגיין צו דירעקטארן אדער שליסל אפיצירן וואס האבן בייגעטראגן צום קאמפלייענס גאפ, אפילו נאך זייער טענוער.
ווען אַ רעגולאַטאָרישע קנס לאַנדט, ענדיקט זיך נישט דער לעגאַלער ריזיקע מיט דער פירמע - עס גייט נאָך דעם שפּור פֿון באַווײַזן צו אַלעמען וואָס האָט געפירט דאָס שיף.
באָרד פּראַקטיקעס און ליטאַגיישאַן ריזיקירן
| באָרד אויפזיכט פּראַקטיק | פערזענלעכע געריכטליכע ריזיקע |
|---|---|
| קוואַרטאַלע סייבער איבערבליקן, פולע דיגיטאַלע לאָגינג | נידעריק |
| יערלעכע אונטערשרייבונג, פלעקיקע דאקומענטאציע | מעסיק |
| קליין/קיין אוידיט טרייל, נישטא קיין אונטערשריפטן | ערנסט ("צוריקקוק" ריזיקע) |
ווי אזוי יאגן אקציאנערן און רעגולאטארן טאקע נאך באארד מיטגלידער נאך 2 שקל קנסות, און צי וואַקסט די טענדענץ?
אקציאנערן קענען ברענגען "דעריוואַטיווע קלאגעס" קעגן מיטגלידער פון דעם דירעקטאָרן-ראט פארן נישט אויספירן זייערע פליכטן צו באשיצן די ווערט פון דער פירמע, בשעת רעגולאַטאָרן פיילן מער און מער דירעקטע קלאגעס ווען ISMS אדער סייבער אוידיט באווייזן פעלט נאך א NIS 2 קנס. לעצטע לעגאלע רעפארמען (באזונדערס אין בעלגיע זינט 2023) האבן פארגרינגערט די וועגן, און עס איז דא א וואקסנדיקע באנוץ פון פערזענלעכע קלאגעס און רעגולאַטאָרישע אקציע אין דייטשלאנד, איטאליע, די פאראייניגטע קעניגרייך, און ווייטער (EU info, 2024). אזעלכע קלאגעס קאנצענטרירן זיך אפט אויף אפוועזנדע דיגיטאלע לאגס, אומפארענדיגטע אדער רעטראאקטיווע דירעקטאָרן-ראט פראטאקאלן , און פעלנדיקע באווייזן פון דירעקטארן-באטייליקונג בעת אינצידענטן אדער איבערבליק ציקלען. אמאל זעלטן, וואקסן די קלאגעס, מיט געריכטן וואס פארלאנגען שטארקע ISMS רעקארדס - אבער מצליח'דיגע קלאגעס פארלאנגען נאך אלץ קלאר צו פארבינדן א דירעקטאר'ס אויפזיכט-פארלוסט צו פינאנציעלע אדער שאָדן צו די אינטערעסירטע. רעגולאַטאָרן זענען ספעציעל אנהאלטנדיק ווען דיגיטאלע רעקארדס פעלט אדער ווייזן איבערחזרנדיקע דורכפעלער.
איין איינציקע רעגולאַטאָרישע שטראָף איז געוויינטלעך דער טריגער פֿאַר אַ טיפֿערע באַווײַז־יאַגד - פֿאַרלוירענע לאָגס אָדער דיגיטאַלע שפּורן ברענגען אָפֿט דירעקטאָרן אין געריכט.
טאַבעלע פֿון אַקציאָנער־ליטאַגאַציע/רעגולאַטאָרישע קלאַגעס
| געשעעניש | פּראָצעס וועג | הויפּט שטערונג | טיפּישער באַווייַז פעלנדיק |
|---|---|---|---|
| 2 שקל קנס | דעריוואַטיוו/דירעקט אַקציע | קאַוזאַציע, ווערט פֿאַרבינדונג | אוידיט לאָגס, אונטערשרייבונגען |
| אַראָפּגאַנג אין אַקציע פּרייַז | דירעקטע פארלוסט קלאגע | קוואַנטיפיצירן השפּעה | באָרד רעקאָרדס, טריינינגז |
| איבערגעחזרטע נישט-נאכקומען | קייפל טענות | לעגאַל קאָס | מוסטער פון אויפזיכט |
וואָסערע סטאַנדאַרדן מוזן דירעקטאָרן טרעפן אונטער NIS 2 צו ויסמיידן "פאַרלעצונג פון פליכט" און פּערזענלעכע פֿאַראַנטוואָרטלעכקייט?
כדי צו מקיים זיין די לעגאלע פליכט אונטער NIS 2, מוזן דירעקטארן אקטיוו זיך באטייליקן אין סייבער ריזיקע מענעדזשמענט , לאגינג באשלוסן מיט צייט-געשטעמפלטע, דיגיטאלע ISMS באווייזן - עס איז נישט גענוג צו דעלעגירן אדער נאר אונטערשרייבן יערליך. סיי די דירעקטיווע און סיי אירע נאציאנאלע אימפלעמענטאציעס ערלויבן "ווייל-דורכדרינגען" (פערזענליכע אחריות) ווען דירעקטארן האנדלען מיט גראבער נעגליגענץ אדער "מוטווילענדיקע בלינדקייט," באוויזן נישט דורך וואס דירעקטארן זאגן נאר וואס די ISMS קען טאקע ווייזן - א קייט פון צייטיקע באשטעטיגונגען, ריזיקע איבערבליקן, אינצידענט לאגס , און באטייליגונג אין דעם באארד (ראופס און גריי, 2024). פעלנדיקע באארד באשטעטיגונגען, נישט-אונטערגעשריבענע ISMS עקספארטן, איבערגעלאזטע טרענירונג לאגס, אדער פארעלטערטע פראטאקאלן, אלע הייבן אן אויסשטעל פון א פארלעצונג פון פליכט. דער לעגאלער פאקוס האט זיך געטוישט: כוונה איז ווייניגער וויכטיג ווי מעסטבארע אקציע.
איר זענט פאַראַנטוואָרטלעך פֿאַר וואָס די ISMS קען באַווייַזן אַז איר האָט באַשלאָסן און געטאָן - נישט נאָר גוטע כוונות אָדער דעלעגירטע פֿאַראַנטוואָרטלעכקייט.
שליסל לעגאַל טריגערז פֿאַר פֿאַראַנטוואָרטלעכקייט
| קאָנפאָרמאַנס לאַפּס | לעגאַל קאָנסעקווענץ | איבערגעקוקטע באווייזן |
|---|---|---|
| קיין אונטערשריפט אויף ריזיקע | פידוסיאַרי בריטש | עקספּאָרט פון אויডিץ לאָג |
| נישט פולשטענדיגע טרענירונג | גראבע נעגליגנס | דירעקטאָר טראַינינג לאָגס |
| פארעלטערטע אדער נישט-פארהאן מינוטן | "שלייער-דורכדרינגענדיק" | ווערסיעד רעקאָרדס |
קען דירעקטאָרן און אָפיצירן (D&O) פאַרזיכערונג נאָך באַשיצן קעגן NIS 2-פֿאַרבונדענע קליימז און קנסות?
D&O פארזיכערונג פאסט זיך אן צום NIS 2 ריזיקע לאנדשאפט: כאטש אסאך פאליסיס העלפן נאך דעקן פארטיידיגונג קאסטן, ווערן אויסצאלונגען פאר רעגולאטורישע שטראפן אדער "גראבער נעגליגענס" יעצט רוטינמעסיג אויסגעשלאסן ווען דירעקטארן קענען נישט באווייזן זייער באטייליקונג מיט ISMS לאגס אדער סייבער אויפזיכט. רוב פארזיכערונג געזעלשאפטן פארלאנגען יעצט אפ-טו-דייט, דידזשיטאלי אונטערגעשריבענע לאגס, באארד ריזיקע איבערבליקן , און דירעקטאר טרענירונגען פארן אקטיוויזירן קאווערידזש, און קלאגעס קענען זיין באגרענעצט אדער אפגעווארפן אויב רעקארדס זענען נישט קלאר אדער פעלנדיק (KennedysLaw, 2025). הויך-קוואליטעט, אויטאמאטישע אוידיט עקספארטן און פולע ISMS דאקומענטאציע פארשטארקן סיי קאווערידזש און לעגאלע פארטיידיגונגען, בשעת זיך פארלאזן אויף פאפירענע טעקעס אדער ספאראדישע דאקומענטאציע לאזט דירעקטארן פינאנציעל אויסגעשטעלט.
פֿאַר פֿאַרזיכערונגס־געזעלשאַפֿטן און געריכטן גלײַך, איז דער אוידיט־שפּור איצט די ערשטע ליניע פֿון פֿאַרטיידיקונג - פּאָליטישע ווערטער אַליין איז נישט גענוג.
D&O פאַרזיכערונג קאַווערידזש סצענאַריאָס
| ISMS אוידיט באווייזן | פאַרזיכערונג שטיצע לעוועל |
|---|---|
| קאָמפּרעהענסיוו, דיגיטאַל לאָגס | פולע/שטאַרקע פֿאַרטיידיקונג |
| נישט-פארענדיקטע, נישט-פארענדיקטע לאגס | טיילווייזע/קאנטעסירטע טענות |
| קיין אוידיט באווייזן | אפגעווארפן/באגרענעצט; פערזענלעכע ריזיקע |
וואָס פּראַקטישע טריט מאַכן דירעקטאָרן און CISOs זיכערער פֿון NIS 2 פּערזענלעכער פֿאַראַנטוואָרטלעכקייט?
דירעקטאָרן, סעאָס, און CISOs קענען רעדוצירן פֿאַראַנטוואָרטלעכקייט מערסטנס דורך אַדאַפּטירן אַ "דיגיטאַל-ערשט" ISMS-לאָגינג יעדן ריזיקאָ אָפּשאַצונג, באָרד האַסקאָמע, אינצידענט באַריכט , און טריינינג סעסיע מיט צייט שטעמפּלס און ווערסיע קאָנטראָלס וואָס קענען זיין עקספּאָרטירט טייקעף. שליסל פּראַטעקשאַנז אַרייַננעמען:
- פּלאַנירטע, דיגיטאַל רעקאָרדירטע סייבער ריזיקאָ איבערבליקן אויף באָרד-לעוועל (קוואַרטאַל/אינצידענט-געטריבן)
- דירעקטאָר/אָפיציר טרענירונג נאכגעפאלגט מיט צייטשטעמפלען און וועריפיצירבארע לאָגס
- באָרד/קאמיטע אונטערשרייבונגען מיט ווערסיעד רעקאָרדס
- שנעלע רעאַקציע ISMS עקספּאָרטן נאָך אינצידענטן אָדער פּאָליטיק רעוויזיעס
- רעגולערע איבערבליק פון D&O אויסשליסונגען און נאציאנאלע פארפליכטונגען (ספעציעל נאך לעגאלע דערהייַנטיקונגען)
- לאַנד-ביי-לאַנד קאַרטינג פון פליכטן, יערלעך דערהייַנטיקט
- ראָלע-באַזירטע דאַשבאָרדז וואָס שפּורן קערעקטיווע אַקציעס צו באָרד אָדער אָפיציר פֿאַראַנטוואָרטלעכקייט
א קולטור פון קאנטינעווער, עקספארטירבארער קאמפלייענס - אנשטאט פעריאדישע "קעסטל-טיקינג" - בויט שטארקע פארטיידיגונגען קעגן ביידע רעגולאטאר און אקציאנער טענות.
יעדער עקספּאָרט וואָס איז גרייט פֿאַר אַן אוידיט איז אַ לעגאַלע פאנצער - אַ שילד פֿאַר יעדן דירעקטאָר און פֿאַראַנטוואָרטלעכן עקסעקוטיוו.
ברעט שוץ טשעקליסט
- רעאַל-צייט ISMS אוידיט טרייל (פארשפארט נאך איבערבליק)
- צייט-געשטעמפּלטע דירעקטאָר טראַינינג און אנוועזנהייט לאָגס
- ווערסיע-אויסגעשריבענע באשטעטיגונגען אויף פאליסיס, אינצידענטן און אקציעס
- פולע באווייז פּאַקעטן עקספּאָרטירבאר אויף פארלאנג
- אויסשליסונגען און לעגאלע רעקווייערמענץ פון D&O ווערן איבערגעקוקט יעדעס יאר
וואָסערע אוידיט מעטריקס און ISMS באַווײַזן פֿאָדערן רעגולאַטאָרן און אַקציאָנערן נאָך דער קנס?
פינף אוידיט באווייז סעטס זענען שליסל: (1) צייט-געשטעמפלטע באָרד-לעוועל סייבער באשטעטיגונגען; (2) פולע אינצידענט רעאקציע לאגס מיט ווערסיע קאנטראל; (3) דידזשיטאַל דירעקטאָר טריינינג אוידיט טריילס ; (4) געלאָגטע קלאָוזינג פון גאַפּ באריכטן/אַקשאַנז; (5) KPI דאַשבאָרדז וואָס ווייַזן דיסיזשאַנז פארבונדן מיט פיקס אָדער פֿאַרבעסערונג. הויך-ענד ISMS פּלאַטפאָרמעס מאַכן אַלע די עקספּאָרטאַבאַל אין נייטראַל אָדער לאַנד-ספּעציפיש פֿאָרמאַטן - און ניט-רעדאַקטירבארע דידזשיטאַל לאגס (נישט PDFs אָדער אימעילס) טראָגן די שטאַרקסטע פאַרטיידיקונג אין געריכט. אייראָפּעיִשע קאַסעס ווייַזן אַז פעלן קיין פון די קען גלייך פירן צו מצליח קליימז, בשעת באָרדז וואָס צושטעלן גאַנץ דידזשיטאַל עקספּאָרץ אָפט ויסמיידן געריכט אינגאנצן.
אוידיט מעטריק און באווייז רעפערענץ
| געשעעניש צינגל | פארלאנגט ענטפער | געזוכטע באַווײַזן | לעגאַלער פֿאַרטיידיקונג ווערט |
|---|---|---|---|
| הויפּט אינצידענט | באָרד באַשטימט אַקציעס, רעקאָרדס | אינצידענט לאָג, מינוטן | ווייזט דירעקטע אַקציעס |
| שטאב פארפעלט טרענירונג | איבערטריינירן, לאָג קאַמפּלישאַן | טראַינינג אוידיט לאָג | ווייזט פלייסיקייט |
| פּאָליטיק/גאַפּ געפֿונען | ברעט איבערבליק, לאגס דערהייַנטיקונגען | ווערסיעד רעצענזיע לאָגס | אָנגייענדיקע רעגירונג |
ווי טוען מולטינאציאָנאַלע פֿירמעס זיך באַקעמפֿן מיט NIS 2 באַווײַז־פּראָבלעמען איבער פֿאַרשידענע לעגאַלע רעזשים?
מולטינאציאָנאַלע פֿירמעס באַשיצן דירעקטאָרן בעסטן דורך פירן אַ צענטראַלע ISMS פּלאַטפאָרמע וואָס פֿאָלגט די שטרענגסטע נאַציאָנאַלע געזעצן גרופּע-ברייט, לאָגירט אַלע באַשטעטיקונג אַקציעס אויף ביידע פאָטער און לאָקאַל מדרגה, און עקספּאָרטירט באַווייַז פּאַקעטן אין יעדער פארלאנגטער שפּראַך אָדער פֿאָרמאַט. לאָקאַלע באָרד פליכטן און אָפּשאַצונג ציקלען ווערן געטראַקט לויט לאַנד, אָבער "די שווערסטע הערשן געווינט," מיט קאַמפּליאַנס טימז וואָס נוצן פּלאַנירטע קראָס-יוריסדיקשאַנאַל גאַפּ אָפּשאַצונגען און דאַשבאָרדז צו בלייבן פאָרויס פון יוואַלווינג רעקווירעמענץ.
פירן א צענטראלע ISMS - איינגעשטעלט צום העכסטן סטאַנדאַרט - מיינט אז איר בלייבט קיינמאָל נישט געכאפט צווישן קאָנקורענטישע נאציאנאלע געזעצן.
לאַנד רעקווייערמענץ גריד
| לאַנד | לאקאלע הערשאפט | ספּעציעלע פליכט | ISMS רעזולטאַט |
|---|---|---|---|
| דייטשלאנד | באַפין, 2 שקל | קוואַרטאַל איבערבליק | דײַטשער דיגיטאַלער עקספּאָרט |
| איטאליע | AGID, פּריוואַטקייט | קאמיטעט באשטעטיגונגען | איטאַליענישער לאָג עקספּאָרט |
| בעלגיע | FSMA, NIS 2 | ברעט טרענירונג לאגס | פראנצויזישע/האלענדישע עקספארטן |
| רעגיאָנאַלער הויפּטקוואַרטיר | שטרענגסטע אנגעווענדט | אויפזיכט קאנסאלידאציע | קאַרטירט, פֿילשפּראַכיק |
פארוואס זאָלן דירעקטאָרן-ראַטן איצט אינוועסטירן אין אַ דיגיטאַלער ISMS פּלאַטפאָרמע פֿאַר NIS 2 דירעקטאָרן שוץ?
א דיגיטאַלע ISMS פּלאַטפאָרמע טראַנספאָרמירט קאָנפאָרמאַנס פון אַ סכום יערלעכע אויפגאַבן צו אַ לעבעדיקן, פארטיידיקבאַרן אַרסענאַל פון באַווייַזן - די ערשטע זאַך וואָס רעגולאַטאָרן, פאַרזיכערונג קאָמפּאַניעס, ינוועסטאָרן און געריכטן פאָדערן צו זען ווען זאכן גייען שלעכט (ISMS.online, 2024). מיט ענפאָרסמאַנט און קליימז וואָס וואַקסן און D&O פאַרזיכערונג וואָס ווערט שנעל ענג, באָרדז וואָס קענען גלייך עקספּאָרטירן אונטערגעשריבענע פּאָליטיק באריכטן, אַקציע לאָגס און טריינינג רעקאָרדס זענען פּראָטעקטעד לאַנג איידער ליטאַגיישאַן שלאָגט. יעדער אָדיט-גרייט עקספּאָרט איז רעפּוטאַציע באַווייַז - דעמאָנסטרירט ניט נאָר קאָנפאָרמאַנס נאָר טראַסטווערדינעסס און פירערשאַפט אין פראָנט פון יעדן סטייקהאָולדער.
יעדע דיגיטאַלע אונטערשריפט, עקספּאָרט און ברעט לאָג פֿאַרשיבט קאָנפאָרמאַנס פֿון ריזיקע צו רעפּוטאַציע - מאַכנדיג דעם ברעט פֿאַרטרויענסווערט, נישט נאָר קאָנפאָרמאַנט.
