איז דא אן עכטע חן-פעריאד נאך אקטאבער 2024 פאר NIS 2? אפשיידן האפענונג פון ריזיקע
ווייניק דעדליינז אין אייראפעאישער סייבער-זיכערהייט לאַנד מיט אַזוי פיל וואָג ווי NIS 2'ס אקטאבער קסנומקס, קסנומקס אפשניט. דאס איז א ליניע איינגעקריצט אין אי.יו. געזעץ, פראמאָטירט דורך פאליסי-מאכער, און פארשפרייט דורך אינדוסטריע פרעסע. אבער ווי דער דעדליין נענטערט זיך, צו פיל קאמפלייענס טימס - ספעציעל אין סערוויסעס, SaaS, און סופליי טשיין ראלעס - האלטן זיך אן צו דער געדאנק פון א נאך-אקטאבער "גראד פעריאד". די אומבאקוועמליכקייט איז פארשטענדליך: מיט פילע נאציאנאלע טראנספאזיציעס נאך אלץ אומפארענדיגט און סעקטאר קאמוניקאציעס אומקלאר, איז עס פארלעקענדיג צו אננעמען אז די דורכפירונג וועט זיין ווייך, פארשפעטיקט, אדער מוחל.
גנאדע איז נישט פאליסי - עס איז די אילוזיע צווישן אומטאקציע און אוידיט.
דער אומבאַקוועמער פאַקט? עס איז נישטאָ קיין אפיציעלע, אי־יו־לעוועל גראַציע־פּעריאָד נאָך דעם 17טן אָקטאָבער 2024 פֿאַר NIS 2 קאָנפאָרמאַטי. טראָץ אונטערשיידן אין נאַציאָנאַלע געזעצגעבונג אָדער סעלעקטיווע סעקטאָר פּראָקלאַמאַציעס, ליגט די פֿאַראַנטוואָרטלעכקייט גלייך אויף די באַהאַנדלט אָרגאַניזאַציעס: ווײַזט אַז איר זענט גרייט דעם טאָג, אָדער ריזיקירט אויסשטעלונג פֿון אַן אוידיט פֿון אָנהייב - עס עקזיסטירט נישט קיין אינסטיטוציאָנעלע פֿאַרלייכטערונג צו כאַפּן שפּעטקומער (digital-strategy.ec.europa.eu/en/faqs/faqs-nis2, enisa.europa.eu/news/enisa-news/nis2-frequently-asked-questions-faqs).
פארוואס די צעמישעניש בלייבט: נאציאנאלע פארשפעטיגונגען און אנווייזונגען
די צעמישעניש איז נישט נאר א ביי-פראדוקט פון וואונטשפולע געדאנקען. יעדער מיטגליד שטאט מוז איבערפירן NIS 2 אין געזעץ ביז אקטאבער 2024, אבער פילע שטייען פאר לעגיסלאַטיווע פארשפעטיגונגען. דאס האט געפירט צו קעגנזאגליכע אנווייזונגען - עטלעכע סעקטאר אויטאריטעטן רמזן אויף בייגיקייט, אנדערע ווארענען פון אוממיטלבארע אויספארשונגען, און אין גרויסע מארקפלעצער, צעטיילט די דורכפירונג לויט סעקטאר אדער קריטישקייט. אבער וואו אימער איר אפערירט, איז די אי.יו.'ס עפנטלעכע שטעלונג קלאר: רעגולאטארן ערווארטן אז איר זאלט זיך אויפפירן ווי כאילו דער געזעץ איז לעבעדיג דעם 17טן אקטאבער, נישט קוקנדיק אויף די אינלענדישע פאפירן.
פֿאַר יעדן קאָמפּליאַנס פירער, CISO, פּריוואַטקייט אָפיציר, און פּראַקטיצירער, איז די איינציקע פּראַקטישע פֿראַגע: וועט אייער באָרד, אוידיט טעקע, און פראָנטליין שטאַב קענען באַווייַזן פּראָגרעס, אָדער וועט מען אייך משפּטן ווי נאָר וואַרטן אויף פּאָליטיק צו כאַפּן זיך אײַן?
ספר אַ דעמאָוועלכע אייראפעאישע לענדער האבן א NIS 2 גרייס פעריאד - און איז עס וויכטיג פאר אייער ביזנעס?
יעדער מולטינאציאנאלער, גרופע, און רעגולירטער סאַפּלייער וויל אַ ספּרעדשיט פאַרריכטן: "וועלעכע לענדער געבן מער צייט, און ווער באַקומט עס?" די ערלעכע ענטפער: עס איז דאָ קיין אוניווערסאַלע חן־פּעריאָד-נאָר אַ פֿאַרווירנדיקע לאַפּאַרבעט פֿון פֿאַזיקער דורכפֿירונג, וואָס פֿאַרשפּרייט זיך זעלטן צו די קריטישסטע סעקטאָרן.
א גראַציע־פּעריאָד אין איין מאַרק אָפערט נישט קיין גרויסן טרייסט אויב אַן אַנדערע יוריסדיקציע אָדער צושטעל־קייט פאָדערט פולע באַווייז־עקספּאָרט אויף טאָג איינס. קריטישע אינפראַסטרוקטור, דיגיטאַלע סערוויס־פּראַוויידערז, געזונטהייט־אָפּעראַטאָרן און פינאַנציעלע סערוויסעס זאָלן ספּעציעל אננעמען אז דער שטרענגסטער רעזשים גילט אומעטום וואו זיי אפערירן.
אויסקלייבן גרייס סצענאַרן: וואו פרייהייט ווערט ווייניקער
- פֿראַנקרייַך (ANSSI): פארלענגערט צייטווייליג עטלעכע שטראָפן פאר וויכטיגע אינפראַסטרוקטור ביז 2027, אָבער דיגיטאַלע סערוויסעס, געזונטהייט און צושטעל מוזן זיך רעגיסטרירן און ווייַזן לאָגס גלייך. דאָקומענטאַציע איז יעדעס מאָל בעסער ווי מילדקייט.
- Belgium: פאַזירט איינפֿירן פֿאַר נײַע "וויכטיקע ענטיטעטן", אָבער דאָקומענטאַציע און רעגיסטראַציע מוז זײַן פֿאַרענדיקט ביזן דעדליין. אויספֿאָרשונגען פֿאָלגן באַלד דערנאָך.
- דייטשלאנד: רובֿ פינאַנציעלע און דיגיטאַלע סעקטאָרן זענען אונטערטעניק צו אָדיטס און שטראָפֿן בײַם טערמין. נאָר באַריכט-פֿאַרפֿליכטונגען פֿאַר געוויסע סעקטאָרן ווערן אָפּגעשטעלט, און נאָר פֿאַר אַ באַגרענעצטער צײַט.
- אונגארן, האלאנד, שפאניע: טראַנספּאָזיציע איז נאָך אין גאַנג, אָבער רעגולאַטאָרן פאָדערן לאָגס און גרייטקייט באַווייַז. צופֿעליקע אָדיטס פּאַסירן, אָפט מיט קליינע וואָרענונג.
א פלעשל פון חן מיינט גארנישט פאר אקטיארן פון פארשידענע לענדער. די שטרענגסטע כלל וואס איר שטייט פאר איז די איינציגע זיכערע כלל.
ווער קען (צייטווייליג) באַקומען מער פירן צייט?
- *וויכטיגע ענטיטעטן קעגן עסענציעלע*: א האַנדפול מיטגליד שטאַטן פאָרשלאָגן פאַזירטע אויספאָרשונגען אָדער פאַרלענגערטע שטראָף פֿאַר יענע וואָס צושטעלן נישט קריטישע אינפראַסטרוקטור. אָבער, די אָרגאַניזאַציעס מוזן נאָך ווייַזן פּראָאַקטיוו רעגיסטראַציע, ריזיקירן מאַפּינג און שטעקן טריינינג.
- *מיטלגרויסע און קליינע אונטערנעמונגען*: עטלעכע קליינע און מיטלשטענדיקע געשעפטן, ספּעציעל אין דיגיטאַלע סעקטאָרן מיט נידעריקן השפּעה, האָבן סעקטאָר-ספּעציפֿישע אויסנעמען, אָבער די זענען נישט קאָנסיסטענט און ווערן שנעל קלענער.
- *פארשפעטיגונג מיינט נישט ריזיקע-פריי*: אפילו ווען עס פאזירט זיך דורכפירונג, קענען פארלאנגען פאר באווייזן אנקומען ווען איר ווילט. רעגיסטראציע, גרייטקייט לאגס, און דאקומענטן פון באארד אויפזיכט מוזן זיין גרייט פאר אויספארשונג פון אקטאבער, אדער איר קענט באקומען שטראפן אין דעם מאמענט וואס די דורכפירונג ווערט פינאליזירט.
לעקציע פֿאַר מולטי-סעקטאָר, מולטי-יוריסדיקציע אָפּעראַציעס
די אָפּעראַציאָנעלע עצה איז גרונטלעך: מאַפּירן אייער געשעפט צו דער שטרענגסטער אין-פאַרנעם יוריסדיקציע און סעקטאָר-אַננעמען נול-גראַציע סיידן אייער הויפּט רעגולאַטאָר זאָגט אייך, אין שריפט, אַנדערש. דורכפירונג פאר צושטעל קייט און מולטינאציאנאלע אינצידענטן איז קאארדינירט; זיין קאמפלייענט אין בעלגיע מיינט גארנישט אויב א דייטשע אויטאריטעט, קונה, אדער שותף טריגערט א שטעמפל קאנטראל.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
לאַנד-ביי-לאַנד NIS 2 דעדליין טאַבעלע: איז דאָ אַן עכטע חן פֿענצטער?
א שנעל-רעפערענץ טאבעלע מאכט קענטיק ווי ווייניג פלאץ איז נאך פאראן פאר זעלבסטצופרידנקייט. עס רעפרעזענטירט די מינימום פארפליכטונגען - רעגיסטראציע, אוידיט, שטראפן - לויט לאנד און סעקטאר, און סיגנאלירט וואס ארגאניזאציעס מוזן קענען ווייזן.
NIS 2 דעדליין און גראַציע סטאַטוס טאַבעלע
| לאַנד | סעקטאָר | רעג | קאָנטראָלירן | פעדער | גראַציע נאָט |
|---|---|---|---|---|---|
| france | אינפראַסטרוקטור/דיגיטאַל | Y | Y | N | שטראָף פֿאַרלענגערונגען פֿאַר קאָר אינפֿראַסטרוקטור; לאָגס נייטיק |
| בעלגיע | Supply Chain | Y | N | N | פאַזירט אָנבאָרדינג, רעגיסטראַציע וויכטיק |
| דייטשלאנד | פינאַנץ/אַלע | Y | Y | Y | באַלדיקע אוידיט/שטראָף פֿאַר קערן סעקטאָרן |
| אונגארן | דיגיטאַל/געזונט | Y | N | Y | ראָולינג אַדאַץ, באַווייַז טשעקס אָנגאָינג |
| ספּאַין | אַלע | Y | N | Y | געזעץ וואַרטנדיק; באַווײַזן קענען ווערן איבערגעקוקט |
| האלאנד | אַלע/ספּעציעל | Y | Y | N | פאַזירטע אויספאָרשונגען פֿאַר מינערווערטיקע "וויכטיק" ענטיטעטן |
| פוילן | דיגיטאַל/אַלע | Y | Y | Y | אויספֿאָרשונגען וועגן אויספֿאָרשונגען און באַווײַזן זענען דורכגעפֿירט געוואָרן |
| איטאליע | אַלע | Y | N | Y | געזעץ וואַרטנדיק, לאָגס נאָך נויטיק |
שלעסל: רעג = רעגיסטראציע, אוידיט = אוידיט מאכט, פען = שטראָפן. קוועלער: ENISA, נאציאנאלע אויטאריטעטן.
מולטי-יוריסדיקציע וואָרענונג
פֿאַר יעדן געשעפט וואָס אַרבעט אין מער ווי איין סעקטאָר אָדער לאַנד: אויב יעדע יוריסדיקציע האט פריערע אדער שטרענגערע רעקווייערמענטס, איז אייער ריזיקע געבונדן צום העכסטן שטאפל. דאס איז דער דאטום פאר וואס אוידיט טעקעס מוזן זיין גרייט איבער דער גאנצער גרופע.
וואָס ציילט זיך ווי גוט-גלויביקע "דיו דילידזשענס" אויף NIS 2? וואָס ווילן אוידיטאָרן און רעגולאַטאָרן זען?
דער געפערלעכסטער מיטאָס וועגן קאָנפאָרמאַנס איז אַז כוונה אָדער "אָנהייבן באַלד" ציילט זיך ווי אַקציע. רעגולאַטאָרן זענען קלאָר: זיי קאָנטראָלירן באַווייזן און קאָנטראָלירן פאָדערונג לאָגס, נישט פּלענער. דער לאַקמוס פּראָבע איבער אַלע סעקטאָרן איז צי איר קענט פּראָדוצירן, אויף פאָדערונג:
- רעגיסטראַציע אַפּליקאַציעס אָדער לאָגס, אפילו אויב האַסקאָמע איז נאָך אין קראַפט.
- דירעקטאָריום/מענעדזשמענט איבערקוקן פּראָטאָקאָלן פון דיסקוסירנדיק NIS 2.
- ערשטע אדער דראַפט ריזיקאָ אַסעסמאַנט טעקעס - פּאַלישט אָדער נישט.
- אַרויף-צו-דאַטע פּאָליטיקס, אפילו אויב זיי זענען באַצייכנט "דראַפט" אָדער "וואַנטינג אויף האַסקאָמע".
- שטאב טרענירונג ליסטעס און אונטערגעשריבענע דערקענטענישן.
- אינצידענט לאָגס, דרילס, און ענדערונג געשיכטעס - צענטראליזירט, צייט-געשטעמפּלט, און עקספּאָרט-גרייט.
אייער שטאַרקסטע קאָמפּליאַנס פאַרטיידיקונג איז באַווייזן. די שוואַכסטע פֿאַרבינדונג לאָגיק רעגירט מולטינאַציאָנאַלע און קראָס-סעקטאָר אָפּעראַציעס.
טאַבעלע: אוידיט טריגער → באַווייז טשעקליסט
| אוידיט טריגער / געשעעניש | פארלאנגט זאָגן | ISO 27001 / אַנעקס A | מוסטער שטיצנדיקע טעקע |
|---|---|---|---|
| רעגיסטראַציע/אויפֿזיכט בריוו | רעגיסטראַציע עקספּאָרט | A.5.1 / A.6.3 | בריוו, דאַשבאָרד עקספּאָרט |
| ינצידענט | אינצידענט ענטפער קלאָץ | A.5.24 / A.5.26 | לאָג, שורש גרונט הערות |
| פלאץ אויספארשונג | פּראָטאָקאָלן פֿון דירעקטאָרן-ראַט, לאָגס | קסנומקס / קסנומקס | אַגענדאַ, טעקע נאָטיץ |
| טרענירונג טשעק | שטאב לאגס/טריינינג ליסטע | A.6.3 / A.8.7 | אנוועזנהייט, באשטעטיגונג קוויטונגען |
| איבערבליק פון פאליסי ענדערונגען | ענדערונג לאָג, דאָק ווערסיע | A.5.4 / A.8.31 | פּלאַטפאָרמע עקספּאָרט, ווערסיע |
עצה: פילע ISMS פּלאַטפאָרמעס אויטאָמאַטיזירן און צענטראַליזירן די לאָגס. סיידן אייער סיסטעם שטיצט שנעלע עקספּאָרט און באַווייז ווערסיעס, איז "גוט גלויבן" פלייסיקייט שווער צו דעמאָנסטרירן בעת אַן אוידיט.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
די קאָמפלייאַנס גאַמבל: צי וואַרטן אויף גיידאַנס איז בעסער ווי פריע אַקציע?
יעדע פּערזאָנאַ - קיקסטאַרטער, CISO, פּריוואַטקייט אַדוואָקאַט, פּראַקטיצירער - הערט די זעלבע סירענע: "רירט זיך נישט ביז מיר באַקומען קלעריטי." אָבער די קאָנפאָרמאַנס טראַפּ טיר איז געבויט אויף וואַרטן: רעגולאַטאָרן סיגנאַלירן איצט אַז צוקונפֿטיקע "מחילה" פֿאַר אָרגאַניזאַציעס וואָס האָבן נישט גענומען קיין אַקציע איז נישט מעגלעך. "צוגרייטונג שפּורן" און פּראָגרעס לאָגס זענען אייערע איינציקע אמתע פאַרטיידיקונגען.
אומטאטיקייט איז א סימן: עס קאסט אייך ווען דער ערשטער אוידיט קומט - נישט קיין חילוק וואס דער געזעץ זאגט.
דריי ריזיקעס אין וואַרטן
- רעגולאַטאָרי פּענאַלטיז: לענדער ווי דייטשלאנד און פוילן האבן קלאר געמאכט אז "באווייזן פון אומטätigkeit" נאך אקטאבער 2024 פירט צו אומגייענדיקע שטראפן אזוי שנעל ווי געזעץ ווערט איבערגעפירט.
- איינקונפט און שותף בלאקאדעס: גרויסע קויפער און צושטעל קייטן פארלאנגען NIS 2 באווייזן אלס טיש איינגעשלאסן פאר קאנטראקטן - ספעציעל אין דידזשיטאל, געזונט, און אינפראסטרוקטור.
- אוידיט "טראַפּטירן": פלעק-טשעקס אין דידזשיטאַל און געזונטהייט אין 2023-2024 האָבן זיך אָפט נישט פאָקוסירט אויף טעכנישע חסרונות, נאָר אויף פֿעלנדיקע לאָגס און ענדערונג רעקאָרדס.
טאַבעלע: פּראָאַקטיווע אַקציע קעגן וואַרטן
| קאַמף | שטראָף ריזיקירן | רעוועך פּראַל | אוידיט פארטיידיקונג |
|---|---|---|---|
| וואַרטן (טאָן גאָרנישט) | הויך | בלאָקירטע אָפּמאַכן | שוואַך |
| ווייַזן באַווייַז | נידעריק | געשעפטן וואָס פליסן | שטאַרק |
| צייט-שטעמפּל אַלץ | לאָוועסט | געשעפט ווי געוויינטלעך | סטראָנגעסט |
פערסאָנאַ-ספּעציפֿישע לעקציעס
- *קיקסטאַרטערס*: שנעלע, קלאָרע טעטיקייט = אָפּמאַך געווינט; וואַרטן אונטערמינירט פאַרוואַלטונג צוטרוי.
- *CISOs/ריזיקע אייגנטימער*: פריע באווייזן זענען "פארזיכערונג" פארן דירעקטאריום און רעגולאטאר; פאסיוויטעט איז רעפּוטאַציע ריזיקע.
- *פּריוואַטקייט אָפיצירן*: רעגולאַטאָרן שטעלן פּריאָריטעט צו צוגרייטונג לאָגס איבער פּאָלירונג פון דאָקומענטן.
- *פּראַקטיצירער*: יעדער עקספּאָרטירבאַרער לאָג = אַגענטור פֿאַר אַן אוידיטאָר.
ווי אזוי צו בויען אוידיט-גראד NIS 2 באווייזן: פלאטפארמע פראקטיקעס פאר 2024
פארוואנדלען דילייגענס אין אוידיט-דעפענסיווע עקספארטן איז גרינגער מיט דיסציפלין און סיסטעמיזאציע. דער שליסל איז צו לייגן לאגס, פאליסיס, ארבעטספלוסן און באריכטן אויף א וועג וואס קען געשאפן ווערן אין סעקונדעס פער טריגער, נישט וואכן.
אוידיט-גרייט באווייז טיפן:
- רעגיסטראַציע לאָגס: צייטגעשטעמפלט, באזיצט, איבערגעקוקט מאנאטליך אדער ווי ענדערונגען פאסירן.
- פּאָליטיק אַסיינמאַנט און דערקענטעניש: קלאָרע שפּור פֿון אויפֿגאַבע ביז פֿאַרענדיקונג, פּלוס באַנייַונג.
- ריזיקע רעגיסטערס: איבערגעקוקט מינדעסטנס יעדן קווארטאל, דערהייַנטיקט נאָך יעדן וויכטיקן אינצידענט.
- אינצידענט און דריל לאָגס: זאָגן פון אינצידענט ענטפער, טעסטינג, און באַהערשונג פון לעקציע כאַפּן.
- פּראָטאָקאָלן פון זיכערהייט איבערבליקן פון דעם דירעקטאָרן-ראַט און פאַרוואַלטונג: זיצונגען, רעזולטאַטן און אַקציעס - עקספּאָרטירבאר.
- פּאָליטיק ווערסיע טראַקינג און ענדערונג לאָגס: דערהייַנטיקונגען, רעצענזענט שפּור, "באַווייַז פּאַק" פֿאַר יעדער הויפּט ענדערונג.
- סאַפּלייער און קאָנטראַקט פאַרוואַלטונג: זיכערע טראַקינג פֿאַר אַלע NIS 2-רעלאַוואַנט פּאַרטנערס.
פּלאַטפאָרמעס ווי ISMS.online ערמעגלעכן:
- צענטראַליזירטע לאָגס און וואָרקפלאָוז אַריבער אַלע טייפּס פון באַווייַז.
- אויטאָמאַטישע אַסיינמאַנץ, דערמאָנונגען, און רעקאָרד קאַפּטשער.
- אינסטאַנט עקספּאָרט פון קאָמפּליאַנט באַנדאַלז (פּער רעגולאַטאָר, סעקטאָר, אָדער צושטעל קייט פּאַרטנער).
- דאַטן זיכערהייט, דערלויבעניש קאָנטראָל, און ווערסיעינג - קיין ריזיקירן פון פאַרלוירענע באַווייַזן.
טאַבעלע: שליסל באַווײַזן / עקספּאָרט דעטאַל
| באַווײַז קאַטעגאָריע | עקספּאָרטאַבלע | פראַמעוואָרקס | דערהייַנטיקן ציקל |
|---|---|---|---|
| רעגיסטראַציע לאָגס | יאָ | 2 שקלים, יסאָ קסנומקס | מאָנטלעך אָדער אויף ענדערונגען |
| פּאָליטיק טראַקס | יאָ | אַלע | דערהייַנטיקונג/אַסיינמאַנט-געטריבן |
| ריזיקירן רעגיסטרירן | יאָ | ISO 27001, NIS 2 | קוואַרטאַל/אינצידענט-באַזירט |
| שטאב דאנקבארקייטן | יאָ | אַלע | פּער אויפגאַבע/פאַרענדיקונג |
| אינצידענט לאָגs | יאָ | NIS 2, ISO 27001 | אָנגייענדיק (אין פאַקטישער צייט) |
| פּראָטאָקאָלן פֿון דירעקטאָרן-ראַט | יאָ | NIS 2, ISO 27001 | יערליך מינימום |
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
קאָמפלייאַנס טריגערס: וואָס צווינגט אַן אוידיט, און ווי באַווייַזט איר גרייטקייט?
פלעק אויספארשונגען און אויספארשונגען פאסירן נישט ביי פעסטע פענצטער - זיי ווערן אויסגערופן דורך קלארע, באאבאכטבארע געשעענישן. אייער "באווייז פעקל" מוז זיין גלייך עקספארטירבאר. אַריבער אַלע אַקטיווע קאָמפּליאַנס טריגערס:
- פארפעלטע רעגיסטראציע דעדליינס: אויטאריטעטן וועלן פארלאנגען טעקע עקספארטן - שנעל.
- סייבער-זיכערהייט אינצידענטן: ביידע אינצידענטן און קלאָוזשער נאטיצן, פּלוס באָרד איבערבליק און באַווייַזן פון לעקציעס געלערנט.
- ספּאָט קאָנפאָרמאַנס טשעקס: צופֿעליקע בקשות פֿאַר שליסל־באַווײַזן (ריזיקע, טרענירונג, רעגיסטראַציע, פּאָליטיקס).
- איינקויף/פּאַרטנער אָדאַץ: א באַווייַז פון העסקעם איז פארלאנגט ווי אַ פאָרבעדינגונג פֿאַר קאָנטראַקטן, ספּעציעל אין דער צושטעל קייט.
- רעגולאַטאָרישע איבערבליק נאָך סעקטאָר אינצידענט: סעקטאָר אויטאָריטעטן עסאַקאַלירן לאָגס און ענטפֿער דעטאַילס.
| צינגל | עקספּאָרט פארלאנגט | ISO 27001 רעפערענץ | באַווייַז בייַשפּיל |
|---|---|---|---|
| פארפעלטע רעגיסטראציע | רעגיסטראַציע/עקספּאָרט | א.5.1/8.21 | רעגיסטראַציע טעקע עקספּאָרט |
| זיכערהייט אינצידענט | IR לאָג, קלאָוזשער | א.5.24/5.26 | אינצידענט לאָג, וואָרקפלאָו, ברעט נאָטיץ |
| ברעט איבערבליק | מינוטן, אַקציע לאָג | קסנומקס / קסנומקס | אַגענדאַ + רעזולטאַט טעקעס |
| ייַנשאַפונג קאָנטראָלירן | פּאָליטיק/ריזיקע עקספּאָרט | א.5.4/8.7 | עקספּאָרטירטע פּאַק פֿון ISMS.online |
שטענדיק-אויף פּראַקטיקעס:
- האַלטן באַווײַז פּאַקעטן פֿאַר יעדן שליסל געשעעניש און טריגער, לויט לאַנד, סעקטאָר און קאָנטראַקט.
- אויטאמאטיזירן סקעדזשולינג/דערמאָנונגען פֿאַר עקספּאָרטן; לאָזט נישט די צוגרייטונגען אין זכּרון.
- צופּאַסן דעם פאַרנעם צום שטרענגסטן אין-פאַרנעם רעזשים; בויען פאַרטיידיקונג פֿאַרן "שוואַכסטן לינק" (מולטי-סעקטאָר, מולטי-לאַנד).
זעט אוידיט-גרייטקייט און קאמפלייענס אין אקציע: צענטראליזירטע באווייזן אלס אייער פארטיידיגונגס-פייל
ווען שטראָפֿן, צושטעל־קייט בלאַקאַדזשעס, און רעגולאַטאָר־"גאָטטשאַס" קומען אָן אָן ווארענונג, שפּאָרן דיסציפּלין און אוידיט־אָטאָמאַטיזירטע וואָרקפֿלאָוז מער ווי נאָר צייט — זיי באַשיצן רעפּוטאַציע און רעגולאַטאָרישן קאַפּיטאַל.
ISMS.online אלס אוידיט פארטיידיגונג סיסטעם:
- ראָלעס-באַזירטע צייטליניעס און דאַשבאָרדז: וויזואַליזירן יעדן אוידיט-פּריאָריטעט דעדליין - פּער רעגולאַציע, פּער סעקטאָר, פּער לאַנד.
- אויטאָמאַטישע טעמפּלאַט אַסיינמאַנט: פּאָליטיק, ריזיקע, און רעגיסטראַציע טעמפּלאַטן צוגעפּאַסט צו ראָלעס און דעדליינז.
- צענטראלער עקספּאָרט מאָטאָר: גענעראַטע קאָנטראָלירן-גרייט זאָגן פּאַקס פֿאַר יעדן לאַנד, רעגולאַטאָר, אָדער קליענט אין סעקונדעס.
- רעזולטאַטן פון פאָרשטעלונג: קאָמפּליאַנס פירער ניצן ISMS.online באַריכט 60% ווייניקער אוידיט צוגרייטונג, כּמעט 100% ערשטמאָליקע אוידיט באַשטעטיקונג, און פאַרפּשוטעטע סאַפּליי טשיין אָנבאָרדינג.
אוידיט פארטיידיגונג איז וועגן לעבעדיגע באווייזן. אומזיכערקייט איז אומפארמיידלעך - נישט-קאמפליענס איז נישט.
באַדינען יעדן קאָמפּליאַנס פּערזאָנאַל (קיקסטאַרטער, CISO, פּריוואַטקייט, פּראַקטישנער)
- קיקסטאַרטערס: גיידעד באווייזן, קלארע ווייטערדיגע טריט, שנעלע אוידיט טראַקס פֿאַר ערשטמאָליקע דורכגאַנג.
- CISO/זיכערהייט פירער: ברעט-גרייט דאַשבאָרדז, קראָס-סטאַנדאַרט מאַפּינג, ריזיליאַנט קאַמפּליאַנס האַלטונג.
- פּריוואַטקייט און לעגאַל: אינטעגרירטע פּריוואַטקייט מאַפּינג, דיפענסיווע SAR לאָגס, ISO 27701 אַליינד ריפּאָרטינג.
- איי-טי/זיכערהייט פראקטיציאנער: אויטאָמאַטישע אויפגאַבן, צענטראַליזירטע לאָגס, שנעלע עקספּאָרטן, אוידיט העלד סטאַטוס.
אידענטיטעט CTA: רעפּוטאַציע זיכערהייט און רעגולאַטאָרישע פארזיכערונג
באַוואָפֿנט אייער מאַנשאַפֿט פֿאַר אָקטאָבער און יעדן טאָג דערנאָך - צענטראַליזירט אייערע באַווײַזן, אויטאָמאַטיזירט אייערע עקספּאָרטן, און גייט זיכער אַריבער דעם NIS 2 מײַלשטײַן. נישט-פֿאַרענדיקטע טעקעס זענען דער איינציקער עכטער ריזיקע. אָדיט-גרייטקייט איז וואָס מאַכט אייער אָרגאַניזאַציע אַנדערש.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווער באַשטימט NIS 2 גראַציע פּעריאָדן, און פאַרוואָס איז אייער רעגולאַטאָר - נישט אייער האַנדל-אָרגאַניזאַציע - די איינציקע שטימע וואָס איז וויכטיק?
נאציאנאלע סייבער-זיכערהייט רעגולאטארן אליין באשטימען ווי, ווען, און אפילו אויב גראַציע פּעריאָדן עקזיסטירן פֿאַר NIS 2 קאָנפאָרמאַטי - קיינמאָל אינדוסטריע אַסאָציאַציעס אָדער די אייראפעישע קאָמיסיע. די באַזע אימפּלעמענטאַציע טערמין, 17 אקטאבער 2024 (NIS 2 אַרט. 41), איז וניווערסאַל פיקסירט, אָבער יעדער מיטגליד שטאַט ס רעגולאַטאָר - אַזאַ ווי ANSSI אין פֿראַנקרייַך אדער BSI אין דייטשלאנד - קענען צולייגן באגרענעצטע פארלענגערונגען אדער איינפאסונגען. למשל, פראנקרייך גיט געוויסע קריטישע נוצבאַר-פירמעס א פארלענגערונג ביז 2027; אין קאנטראסט, דייטשע און פוילישע אויטאריטעטן ערווארטן רעגיסטראציע, עקספארטירבארע אוידיט לאגס, און מענעדזשמענט אקטיוויטעט פון טאג איינס, אן קיין ברייטע פארלענגערונגען. אין רוב יוריסדיקציעס, סיידן אייער ארגאניזאציע באקומט א געשריבענע באפרייאונג פון די רעגולאטאר, מוזט איר אננעמען אז אוידיט און דורכפירונג קענען אנהייבן דעם 18טן אקטאבער 2024. זיך פארלאזן נאר אויף אינדוסטרי גרופע אדווייזאריעס אדער מוסטער בריוו קען אייך לאזן אומבאשיצט אין דעם מאמענט וואס רעגולאטארן הייבן אן קאנטראלן.
א קלאַנג וועגן אַ פאַרהאַלטן פֿון אַן אינדוסטריע־נויזלעטער וועט אײַך נישט קויפן 24 שעה אויב דער רעגולאַטאָר בעט פֿאַר אַ באַווײַז דעם קוואַרטאַל.
טאַבעלע: NIS 2 גראַציע פּעריאָדן (אויסגעקליבענע אי.יו. שטאַטן)
| לאַנד | רעגולאַטאָר | עסענטשאַל סעקטאָר גרייס | וויכטיקער סעקטאָר גרייס | רעגיסטראַציע/באַווייַז פארלאנגט |
|---|---|---|---|---|
| france | ANSI | יא (נוץ-געשעפטן ביז 2027) | קיין דעקע נישט | לאָגס/רעגיסטראַציע נויטיק ביזן דעדליין |
| דייטשלאנד | BSI | קיין דעקע נישט | קיין דעקע נישט | אוידיט לאָגס און רעגיסטראַציע גרייט ביזן טערמין |
| בעלגיע | NCSC | פאַזירטע אָנבאָרדינג | פאַזירטע אָנבאָרדינג | מוז זיך רעגיסטרירן ביזן באשטימטן דאטום |
| פוילן | NASK | קיין איינס נישט געזאגט | קיין איינס נישט געזאגט | לאָגס און רעגיסטראַציע ביזן טערמין |
| אירלאנד | NCSC | קיין איינס נישט געזאגט | קיין איינס נישט געזאגט | רעגיסטראַציע רעכט ביזן לעצטן טערמין |
באשטעטיגען: שטענדיק טשעק דיין נאציאנאלע רעגולאטאר'ס אפיציעלע וועבזייטל אדער נאטיפיקאציעס.
וואָסערע באַווײַזן ווײַזן "גוטן גלויבן" אויב איר זענט נישט גאָר אין אײַנקלאַנג מיטן NIS 2 טערמין?
רעגולאַטאָרן און אוידיטאָרן זוכן באַרירבאַרע, צייט-געשטעמפּלטע באַווייַזן - נישט פּלענער, אימעילס, אדער "כוונה" סטייטמענטס - וואָס ווײַזן אַז אײַער אָרגאַניזאַציע אַרבעט אַקטיוו צו דערגרייכן NIS 2 אויסריכטונג. אנגענומענע "גוט גלויבן" באַווייַזן אַרייַננעמען רעגיסטראַציע באַשטעטיקונגען אדער עקספּאָרט קוויטונגען, אונטערגעשריבענע באָרד אדער פאַרוואַלטונג פּראָטאָקאָלן וואָס דערמאָנען NIS 2, ריזיקאָ אַסעסמאַנץ אין פּראָגרעס, אינצידענט און געשעעניש לאָגס, שטעקן טריינינג רעקאָרדס, און צענטראַל געהיט, עקספּאָרטירבארע ווערסיעס פון דערהייַנטיקט פּאָליטיקס אדער קאָנטראָלס. איינטראַגעס זאָלן רעגולער דערהייַנטיקט ווערן, קלאָר באַצייכנט ווי "אין פּראָגרעס" וווּ אַקציעס זענען נישט 100% פֿאַרמאַכט, און ווײַזן באָרד אדער פאַראַנטוואָרטלעכן אייגנטימער באַטייליקונג. אין לעצטע אוידיטן, האָבן אָרגאַניזאַציעס רידוסט אדער אַוווידאַד שטראָף דורך דעמאָנסטרירן דעם לעבעדיקן, ווערסיע-קאָנטראָלירטן לאָג - אפילו אויב עטלעכע קאָנטראָלס בלייבן אָפֿן.
א לעבעדיקע, צענטראלע טעקע - עקספּאָרטירבאר אויף פארלאנג און דערהייַנטיקט מאָנטלעך - באַשיצט אײַך מער ווי יעדער 'ארבעטסשטראָם אין לימבאָ' קען ווען.
טאַבעלע: געשעעניש/באַווייַז מאַטריץ פֿאַר "גוט גלויבן" העסקעם
| קריטישע געשעעניש | יידעס - זאָגן | ISO 27001 רעפערענץ | NIS 2 ארטיקל |
|---|---|---|---|
| פאַרשרייַבונג | עקספּאָרט/קװיטונג, בריוו | א.5.1, 5.2 | אַרטיקל 27 |
| ברעט איבערבליק | פּראָטאָקאָלן, אײַנשרייַבן, אַגענדאַ | קסנומקס, קסנומקס | אַרטיקל 20 |
| טראַינינג | שטאב לאגס, אונטערשרייבונגען | א.6.3, 8.7 | אַרטיקל 21(2e) |
| ינצידענט | געשעעניש/אַקציע לאָג | א.5.24, 5.26 | אַרטיקל 23 |
| פּאָליטיק דערהייַנטיקן | ווערסיע לאָג/ענדערונג עקספּאָרט | א.5.4, 8.31 | אַרטיקל 21(2ד) |
ווי אַנדערש זענען די השגחה לעוועלס און שטראָף ריזיקעס טאַקע פֿאַר "עסענציעלע" קעגן "וויכטיקע" NIS 2 ענטיטעטן?
עסענציעלע ענטיטעטן-מאַכט, וואַסער, געזונט, און דיגיטאַל ינפראַסטראַקטשער פירמעס שטייען פאר רעאל-צייט, פראאקטיוון אויפזיכט: יערליכע אויספארשונגען, העכערע דירעקטארן-פירערשאפט, פאראויס רעגיסטראציע, און שטרענגע שטראָפן ביז €10 מיליאן אדער 2% גלאבאלער וועקסלער. אפילו אויב א גראַציע-פּעריאָד איז אָנווענדלעך, מוזט איר אויפהאלטן אויספארשונג-גרייטע לאָגס און דירעקטארן-פירערשאפט פון דער ערשטער קאָנפאָרמאַנס דאַטע, ווייל ספּאָט אויספארשונגען גייען אָפט פאר "מאַקסימום קנס" פעלער. וויכטיקע ענטיטעטן (מאַנופאַקטורינג, עסן, לאָגיסטיק, און שטיצן דיגיטאַלע פּראַוויידערז) ווערן מערסטנס מאָניטאָרירט נאָך אינצידענטן, מיט רובֿ דורכפירונג "אויסגערופן" דורך געשעענישן אָדער בעטן - וואָס מיינט אַז גרייטקייט איז נאָך פארלאנגט פון טאָג איינס צו ויסמיידן נאָך-געשעעניש קנסות (באגרענעצט צו €7 מיליאָן / 1.4% וועקסל). אַריבער ביידע גרופּעס, פעלנדיקע, אומפארענדיקטע, אָדער פארעלטערטע לאָגס זענען די שפּיץ טריגערס פֿאַר דורכפירונג - אפילו אָן אַ הויפּט זיכערהייט געשעעניש.
אויפזיכט און שטראָף טיש
| ענטיטי טיפּ | השגחה מאָדעל | אוידיט טריגער | מאַקסימום שטראָף |
|---|---|---|---|
| יקערדיק | פּראָאַקטיוו, רעגולער | יערלעכע/פלעקיקע אויספארשונג | €10 מיליאָן אדער 2% איבערקערעניש |
| וויכטיק | געשעעניש-געטריבן | אינצידענט/בעטן | €7 מיליאָן אדער 1.4% איבערקערעניש |
וואָס טריגערט אַ NIS 2 אוידיט - אָדער דורכפירונג, און ווי שנעל קענען שטראָפֿן נאָכפֿאָלגן דעם טערמין?
נאך דעם טערמין, דורכפירונג איז געשעעניש-אויסגערופןפארפעלטע אדער אומפארענדיקטע רעגיסטראציע, געמאלדן אינצידענטן דורך אייער פירמע אדער קליענטן, צופעליגע רעגולאטאר פלאטש-טשעקס, סעקטאר-ספעציפישע ווארענונגען, אדער פארלאנגען פון סופלייערס/שותפים צו פראדוצירן קאמפלייענס באווייזן (לאגס, דירעקטארן פון דעם באארד) קענען אלע פירן צו אן אוידיט. נאציאנאלע אויטאריטעטן - ספעציעל אין דער ענערגיע, דיגיטאַל ינפראַסטראַקטשער, אדער געזונטהייט סעקטארן - האבן אנגעהויבן אוידיטס און ארויסגעגעבן שטראף נאטיצן אינערהאלב וואכן פון קאמפלייענס דעדליינס, ספעציעל אויב אינדוסטריע קערפערשאפטן אדער פרעסע פארשפרייטן קלאַנגען פון לאַקס דורכפירונג. גרייט זיך צו א סצענאַר וואו באווייזן דאַרפן זיין עקספּאָרט-גרייט אינערהאלב 48-72 שעה פון א פארלאנג, נישט קיין חילוק וואָס אייער לאקאלע האַנדל אַסאָציאַציע זאָגט.
אוידיט קאַלענדאַרן קענען זיך פֿאַררוקן, אָבער אַן אינצידענט אָדער פּאַרטנער בקשה קען באַוועגן אייער באַווײַז איבערבליק פֿון 'קומענדיקן קוואַרטאַל' צו 'הײַנט'.
קען געראטן, ווערסיעד ISO 27001 "אין פּראָגרעס" דאָקומענטאַציע אויספֿילן לעכער ווען NIS 2 קאָנטראָלן זענען נישט פֿינאַליזירט?
אַבסאָלוט. רעגולאַטאָרן און סעקטאָר אָדיטאָרס דערקענען אַז אַרויף-צו-דאַטע, ווערסיעס פון ISO 27001 (אַנעקס A) קאָנטראָלן - וואָס ווערן געהאַלטן אין לעבעדיקע ISMS סיסטעמען און זענען געמאַפּט צו NIS 2 רעקווייערמענץ-אָנבאָטן אַ גלויבווערדיקע ליניע פון פאַרטיידיקונג. טעקעס זאָלן זיין צענטראַל געהיט, געמאַרקט "אין פּראָגרעס", דערהייַנטיקט פּער פאַרוואַלטונג זיצונג, און קלאָר נאָכפֿאָלגלעך מיט דאַטע, באַזיצער און ווערסיע. אָרגאַניזאַציעס וואָס נוצן פּלאַטפאָרמעס ווי ISMS.online באַריכטן רוטינמעסיק >90% דורכפֿאַל ראַטעס פון אוידיטן, אפילו אויב נישט אַלץ איז פֿינאַליזירט, אַזוי לאַנג ווי דער באַווייַז רעגיסטער איז לעבעדיק, קאַרטירט און עקספּאָרטירבאר אויף פאָדערונג.
טרעיסאַביליטי טאַבעלע: געשעעניש → באַווייַז → ISO/NIS 2 רעף
| געשעעניש | יידעס - זאָגן | יסאָ קסנומקס | 2 שקל |
|---|---|---|---|
| פאַרשרייַבונג | עקספּאָרטירן טעקע, באַשטעטיקונג | א.5.1, 5.2 | אַרטיקל 27 |
| ינצידענט | דאַטעד לאָג, פֿאַרריכטונגען/וואָרצל־אורזאַך | א.5.24, 5.26 | אַרטיקל 23 |
| טראַינינג | אונטערשרייבונגען, לאָגס | א.6.3, 8.7 | אַרטיקל 21(2e) |
| ברעט איבערבליק | פּראָטאָקאָלן, אַרײַנלאָגירן, אַגענדאַ | קסנומקס, קסנומקס | אַרטיקל 20 |
פארוואס איז "ווארטן אויף נאציאנאלע אנווייזונגען" אדער אינדוסטריע טעמפלעיטס א הויך-ריזיקירנדע קאמפלייענס סטראטעגיע?
וואַרטן אויף אייער רעגירונג, אדער אויף סעקטאָר פֿאַרבאַנדן צו פאַרעפֿנטלעכן מער טשעקליסטן, איז אַן אַקטיווער ריזיקע - נישט קיין שילד. נאַציאָנאַלע רעגולאַטאָרן אָננעמען בלויז צייטיקע, ווערסיע-געשטעמפּלטע אוידיט באווייזן; רוב שטראָפן וואָס זענען ביז איצט ציטירט געוואָרן האָבן זיך באַהאַנדלט אויף פעלנדיקע, אַלטמאָדישע אָדער צעבראָכענע דאָקומענטאַציע - נישט כוונות אָדער נוצן פון מוסטערן. מולטינאַציאָנאַלע צושטעל קייטן מוזן נאָכקומען די שטרענגסטע פאָדערונגען וואָס זענען אָנווענדלעך, אַזוי באַווייַזן מוזן שטימען מיט די שטרענגסטע יוריסדיקציע וואָס איז פֿאַרבונדן מיט אייערע קאָנטראַקטן. מוסטערן קענען העלפֿן אָרגאַניזירן אייער פּראָגרעס, אָבער מוזן ווערן קאָנווערטירט אין לעבעדיקע רעגיסטערס, אונטערגעשריבענע פּראָטאָקאָלן פון דעם באָרד, און שפּורבארע לאָגס וואָס ווערן דערהייַנטיקט מאָנטלעך. די אָרגאַניזאַציעס וואָס זענען מינדסטער אין ריזיקע זענען די וואָס האַלטן אַקטיוו געראטן, צענטראַליזירטע דאָקומענטאַציע אפילו ווען גיידליינז אַנטוויקלן זיך.
וואָסערע "גראַציע פּעריאָד" דורכפאַלן פאַרגיכערן שטראָף אָדער דורכגעפאַלענע אַדאַץ?
- נאָר דאָקומענטירן פּלענער אָדער כוונות: אויב לאָגס זענען נישט צייטגעשטעמפּלט, צענטראַליזירט, און גלייך בנימצא, ציילט "אין פּראָגרעס" ווייניג.
- צעטיילטע קאמפלייענס רעקארדס: צעוואָרפענע טעקעס, אפגעטיילטע טולקײטן, און פּריוואַטע אימעיל סטאָרידזש ברענגען רעגולער נעגאַטיווע געפינסן.
- פארלענגערן פארמאלע באארד איבערבליק אדער רעגיסטראציע: לאָזן די ביז נאָך ספּאָט טשעקס אָדער אינצידענט באַריכטס רעזולטירט טיפּיש אין קנסות.
- לאָזן די באַווײַזן פֿאַרשווינדן: לאָגס מוזן שפּיגלען רעגולערע (בילכער מאָנטלעך) דערהייַנטיקונגען מיט דער דערלויבעניש פונעם אייגענטימער.
ווי אזוי באַשיצט אייך צענטראליזירן און אויטאמאטיזירן באווייזן (מיט ISMS.online) אין דעם "גראד פענצטער" און ווייטער?
א געראטן, אויטאמאטישן ISMS טוישט אייער ריזיקע פראפיל פון אומבאקאנט צו שטענדיג אוידיט-גרייט. מיט ISMS.online, ווערן קאמפלייענס דעדליינס און אקציעס וויזואליזירט פער יוריסדיקציע און געקארט צו פאראנטווארטלעכע אייגענטימער. רעגיסטראציע, אסעט, און אינצידענט ווארקפלוס ווערן אויטאמאטיש צוגעטיילט; באווייזן זענען גלייך עקספארטירבאר - און שטענדיג ווערסיע-געשטעמפלט. גלייכע ארגאניזאציעס באריכטן אז אוידיט צוגרייטונג צייט פאלט מיט ביז 60%, און דורכגאנג ראטעס העכער 90% אין ערשטן יאר. וויכטיגסטנס, צענטראליזירטע לאגס און רעקארדס געבן אייער באארד און רעגולאטארן שטענדיג צוטרוי, אפילו ווען געזעצן אדער סעקטאר אנווייזונגען טוישן זיך.
אין אַן עפאכע פון פונקטלעכע אויספארשונגען און שנעלע ענדערונגען, לעבעדיגע לאָגס שלאָגן פּערפעקטע פּלענער יעדעס מאָל.
איז אייער אָרגאַניזאַציע גרייט דורכצוגיין דעם עכטן קאָנפאָרמאַנס טעסט?
הייבט אן דורך צופּאַסן אייער גראַציע־פּעריאָד צום רעגולאַטאָר'ס פּלאַן, נישט צום אינדוסטריע־קלאַנגען־מיל. צענטראַליזירט און אויטאָמאַטיזירט אייערע NIS 2 באַווייזן מיט ISMS.online - אַזוי ווערן אייערע "אין־פּראָגרעס" טעקעס אייער אָרגאַניזאַציע'ס שטאַרקסטע לעגאַלע שילד ווען עס איז וויכטיקסט.
ווייטערדיקע לייענען און וואַלידאַציע קוועלער:
- אי.יו. דיגיטאַלע סטראַטעגיע - NIS 2 אפיציעלע בלאַט
- PWC מאַלטאַ-NIS 2 גייד
- CENTR-פּאָליטיק דערהייַנטיקונג 2024
- isms.online-פּלאַטפאָרמע רעסורסן
- רעגטעק גלאבאלע-קאמפליאַנס אנאליז
