ביסטו עסענציעל אדער וויכטיג? שנעלע זעלבסט-קאָנטראָל מיט אויטאָריטעט שטיצע
איר דאַרפט אַבסאָלוטע זיכערקייט - נישט נאָר אַ געפֿיל - וועגן ווי אייער אָרגאַניזאַציע איז קלאַסיפֿיצירט אונטער NIS 2. עסענציעלע אָדער וויכטיקע ענטיטי סטאַטוס איז מער ווי אַ לייבל; עס באַשטימט אייער אָדיט אָפטקייט, רעגיסטראַציע פליכטן, שטראָף סילינגז, און אייער זעבארקייט צו די רעגולאַטאָרן וואָס זענען וויכטיק. דאָס איז נישט קיין טעאָרעטישע געניטונג: אייער פּאָזיציע פֿאָרעמט רעסורסן, בראַנד רעפּוטאַציע, און ווי פּראָקורמענט טירן עפֿענען זיך אָדער שליסן זיך פֿאַר אייך.
עס איז נישטאָ קיין פאַרטרעטער פֿאַר קלאַרקייט. NIS 2 סטאַטוס דעפינירט ריזיקע, טריגערס, און רעפּוטאַציע-געפֿרעגן לאַדט אײַן צרות.
אייער שנעלסטער וועג צו קלארקייט איז נאכפאלגן דעם באווייז-שפור: סעקטאר, גרייס, צוגעשטעלטע סערוויסעס, און דער טעקסט פון דער דירעקטיווע אליין. פארשטיין פונקטליך אין וועלכע "קעסטל" איר פאסט - אנשטאט עס איבערצולאזן פאר רעגולאטארן אדער קאסטומערס צו באשליסן - גיט אייך פארהאנדלונגס-מאכט און אוידיט-בטחון.
וואָס זאָגן די כּללים טאַקע? רעגולאַטאָרישע דעפֿיניציעס, סעקטאָרן און עק־פֿאַלן
ס'איז פארלעקעריש צו לייענען רעגולאציעס אויף די ערשטע מינוט אדער זיך פארלאזן אויף לעצטן יאר'ס סטאטוס, אבער NIS 2 איז א לעבעדיגע, עוואלוציאנעלע סעריע פון פארפליכטונגען. "עסענציעל" און "וויכטיג" זענען אויסגעשריבן אין אי.יו. געזעץ, אבער די וועג ווי אייער נאציאנאלע אויטאריטעט אינטערפרעטירט די רעגולאציעס קען זיך ענדערן ווען נייע אנווייזונגען קומען ארויף אדער ווען עק-פעלער פראוואצירן טעסט-פעלער.
ווען דער אונטערשייד איז נישט קלאר, וועלן נאר די באווייזן און אייער דאקומענטירטע באגרינדונג אייך אפהאלטן פון דער אומרעכטער זייט פון אן אויספירונגס בריוו.
צעברעכן אי.יו. דעפֿיניציעס
- סעקטאָר-ערשטע הערשן: ענערגיע, געזונט, דיגיטאַלע אינפראַסטרוקטור, באַנקינג (אַנעקס I) מיינט *עסענציעל* סטאַטוס סיידן איר זענט אויסגעשניטן דורך געזעץ - גרייס איז נישט וויכטיק (אי.יו. סעקטאָר רשימה).
- דיגיטאַל באַקבאָון אָווועררייד: אַפּערייטינג ווי DNS סערוויס, IXP, וואָלקן, TLD רעגיסטרי, אדער אנדערע דיגיטאלע רוקן-ביין? איר בלייבט וויכטיג, אפילו אויב איר האט נאר א האנטפול ארבייטער (נאער).
- פובליק אדמיניסטראציע: נאציאנאלע געזעץ קלעראַפיצירט מאַפּינג. אויב איר זענט אַ לאָקאַלע אָדער רעגיאָנאַלע ענטיטי מיט אַ גרייס אונטער דער גרענעץ, קענט איר זיין באַפרייט - אָבער קאָנטראָלירט די נאציאנאלע ענדערונגען (נאָרטאָן ראָוז פולברייט).
- כייבריד/גרופע אָרגאַניזאַציעס: דער שטרענגסטער סטאַטוס גילט שטענדיק. אויב אייער גרופּע כולל ביידע עסענציעלע און וויכטיקע טריגערס, ווערט איר קלאַסיפיצירט לויטן העכסטן ריזיקע (טראַווערס סמיט).
- צייטווייליגע/באשטימטע אויסנעמען: פריערדיגע אויסנעמען שטייען זעלטן אונטער רעגולאַטאָרישער אָדער קונה אויפזיכט אָן אַקטועל, באָרד-באַשטעטיקטע באַווייַזן (פילדפישער).
לייגט צו א צוריקקערנדיקן טשעק צו אייער יערלעכן פלאן. NIS 2 איז אונטערטעניק צו רעגולערע אי.יו. קאמיסיע אינטערפרעטאציעס, אזוי וואס איז געווען אמת 12 חדשים צוריק קען זיין היינט אלטמאדיש.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
ווי באַווייַזט מען עס? דריי-סטעפּיקע עווידענס מאַפּינג וואָס איבערלעבט די אויטאָריזאַציע
אויסזאָגן אייער סטאַטוס אָן שטיצנדיקע דאָקומענטאַציע איז שוין נישט גענוג; דאָס איז אַן אָפֿענע איינלאַדונג פֿאַר רעגולאַטאָרישע פּראָבלעמען אָדער פּראָקורמענט בלאַקאַדזשעס. צי איר זענט וויכטיק אָדער נויטיק, זאָלט איר קענען פּראָדוצירן אַ טראַנספּאַרענטן, לעבעדיקן רעקאָרד וואָס רעכטפֿערטיקט דעם סטאַטוס, באַווייַזט ווער עס האָט אונטערגעשריבן, און באַווייַזט אַז עס איז לעצטנס איבערגעקוקט געוואָרן.
אויב איר ווילט אז אוידיטארן אדער קאסטומערס זאלן צוטרויען אייער סטאטוס, שטעלט ערשט צוזאם אייער באווייז קייט.
בנין אוידיט-גרייט באווייז
- צונויפשטעלן אייער באווייז פּעקל: דאָס מיינט סטאַטוטן, אָרגאַן טשאַרטס, FTE רעקאָרדס, פּייַראָל, סעקטאָר דיאַגראַמען, לייסאַנסעס, און קאָפּיעס פון יעדע באָרד רעזאָלוציעס אָדער פאַרוואַלטונג סאַגדזשעסטשאַנז (בראָדיעס).
- גלייַכגילטיקע איבערבליק און אונטערשרייבונג: לאָזט נישט סטאַטוס מאַפּינג בלייבן ביי איין קאָמפלייאַנס מאַנאַדזשער. לאָזט דעם באַשלוס דורכגיין דורך אַ באָרד אָדער ריזיקאָ קאָמיטעט אָפּשאַצונג און רעקאָרדירט דעם וועג דורך זיצונג פּראָטאָקאָלן און מאַפּינג לאָגס (האָלאַנד האַרט).
- מיש אויטאמאציע מיט מענטשלעכער באשטעטיגונג: טרעקינג סיסטעמען זענען נוצלעך, אבער שטענדיק טשעקט נאכאמאל (און לאגט) סטאטוס ענדערונגען, ספעציעל נאך יעדער צוזאמענפיר, דיוועסטמענט, אדער גרויסן קאנטראקט געווינס. גארנישט קען ערזעצן א מאנועלע איבערקוק ביי וויכטיגע געשעענישן (קלארק מעירס).
- אַרכיוויר אַלע באַווײַזן צוזאַמען: אויפֿהיטן מאַפּינג טעקעס און באַשטעטיקן באַווײַזן צוטריטלעך. רעספּאָנסיוו דאָקומענטאַציע אין ענטפער צו אַ רעגולאַטאָרישער אָדער קונה אָנפֿרעג מינימיזירט ריזיקע (סקווייער פּעטאָן באָגס).
- דערפרישן נאָך יעדן טריגער: יעדע געשעעניש - M&A, גרויסער נייער קאנטראקט, שטאב וואוקס - טריגערט א סטאטוס איבער-רעגירונג, מיט א באגרינדונג און שטיצנדיקע באווייזן (אַשורסט).
אוידיט איבערלעבונג טאבעלע
די מערסט פאַרלעסלעכע פאַרטיידיקונג איז פּשוט: דאָ איז אונדזער באַגרינדונג, אונטערגעשריבן און אַרכיווירט.
| טרעטן | איבערשפּרינגען דאָס אויף אייער אייגענעם ריזיקע | וואָס רעגולאַטאָר וויל | באַווייַז בייַשפּיל |
|---|---|---|---|
| פּעקל בויען | באַהאַלטענע/אומקלאָרע סטאַטוס לאָגיק | אַלע באַווײַזן קענטיק | פּייַראָל טעקע, אָרגאַניזאַציע מאַפּע |
| איבערבליק לאָג | קאָמפּליאַנס באַשולדיקט איינציק | באָרד/מאַנשאַפֿט אונטערשרײַבונג | אונטערגעשריבענע פּראָטאָקאָלן, מאַפּינג לאָג |
| אַוטאָמאַטיאָן | מיסט רעגולאַטאָרי טוישןs | לעבעדיקע דאָקומענטאַציע | עקספּאָרטירן פֿון סיסטעם + מאַנועלע קאָנטראָל |
וואָס פּאַסירט אויב איר מאַכט עס פאַלש? ריזיקעס, שטראָפֿן און עפֿנטלעכע עקספּאָוזשער
א טעות אין אייער קלאסיפיקאציע איז נישט נאר א פריוואטע זאך: אונטער NIS 2, קענען טעותים שלאָגן עפנטלעכע רעגיסטערס, אויסרופן קאנטראקט איבערקוקן, אדער עסקאלירן צו גרויסע קנסות און... פֿאַראַנטוואָרטלעכקייט אויף באָרד-לעוועלאיין איינציקע טעות אין סטאַטוס מאַפּינג קען ווערן קענטיק פֿאַר קאַסטאַמערז, סאַפּלייערז און רעגולאַטאָרן איבער נאַכט.
קאָמפלייאַנס טעותים בלייבן זעלטן הינטער פארמאכטע טירן - זיי עכאָען איבער פּראָקורעמענט קייטן און ריזיקאָ רעגיסטערס.
צייט-ליניע צו צרות: ווי טעותים פארמערן זיך
לאָמיר זאָגן אַז אייער SaaS פירמע רופט זיך "וויכטיק" ווײַל זי גלויבט (פאַלש) אַז איר וואָלקן אָפּעראַציע פאַלט נישט אונטער "דיגיטאַל ינפראַסטראַקטשערא דורכברוך ברענגט ארויס אן אויספארשונג. אין קורצן:
- טאָג קסנומקס: רעגולאַטאָר בעט סעקטאָר, גרייס, און פונקציע מאַפּינג, מיט פּראָטאָקאָלן פֿון באָרד און געהאלט פאר דריי יאר.
- טאָג 2-4: די פירמע מוז צושטעלן באַגרינדונג און באַווייַזן, און קאָריגירן יעדע לעכער אונטער אַ טערמין.
- טאָג 5-10: קאָנטראָלירן טריילז זענען נישט פולשטענדיג; די סיבה איז נישט דאקומענטירט; די פירמע איז ליסטעד אויף אן עפנטלעכן "נישט-קאנפארמאנס" רעגיסטער (דאטן פראטעקשאַן אירלאנד).
- שטראָף ארויסגעגעבן: שטראָפן פֿאַר פאַלש קלאַסיפיצירן ווי וויכטיק אַנשטאָט עסענציעל זענען באַדייטנדיק; איבערחזרנדיקע דורכפאַלן פֿאַרגרעסערן די שטראָף (קלירי גאָטליב).
- ברעט מיטן נאמען: דירעקטאָר וואָס האָט אונטערגעשריבן די פריערדיקע מאַפּינג ערשיינט אין דער פאַרעפֿנטלעכטער רעגולאַטאָר סאַמערי; קליענטן הייבן אָן צו צווייפלען צי עס איז מעגלעך צו באַהאַנדלען קאָנטראַקטן אין דער באַנייַונג (קינגסלי נעפּלי).
איבערשפּרינגען אָדער אימפּראַוויזירן דאָקומענטאַציע שוואַכט אייער האַנט אין יעדן קריגעריי אָדער אונטערהאַנדלונג. די לייזונג: אָפּעראַציאָנאַליזירן מאַפּינג און איבערבליק ווי אַ שטענדיק-אויף פּראָצעס.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
זענען גרופעס און טאכטער-פירמעס א הינטער-טיר? ספעציעלע אנווייזונגען פאר ארגאניזאציעס מיט פארשידענע ענטיטעטן
אין קאָמפּליצירטע אָרגאַניזאַציעס אדער גרופּעס מיט טאָכטער־קאָמפּאַניעס, קען דער נסיון זיין צו "דורכשניטלעך מאַכן" דעם סטאַטוס אדער טראַכטן אַז אַ העכערע באַפרייאונג דעקט אַלץ. אונטער NIS 2, לאַדט דאָס אײַן קאָנטראָל־רעגולאַטאָרן צו פאָדערן באַזונדערע מאַפּינג און דערציילונג־דיסציפּלין אויף יעדן לעוועל.
רעגולאַטאָרישע אַגענטורן ערוואַרטן אַז גרופּע מאַפּינג זאָל זיין אַזוי שטאַרק ווי פֿאַר יעדער איינציקער ענטיטי. שאָרטקאַץ ענטפּלעקן די גאַנצע גרופּע.
צענטראל קעגן סאַבסידיערי מאַפּינג
- דואַל מאַפּינג פארלאנגט: סיי די גרופע און סיי יעדע טאכטער-פירמע/איינהייט דארפן א דאקומענטירטן, אונטערגעשריבענעם סטאטוס לאג. גייט נישט אן אז דער גרופע'ס סטאטוס "דעקט" די טאכטער-פירמע (מילס און ריוו).
- יוריסדיקציאָנעלע פֿראַגעס: די פאַרוואַלטונג זיץ, אָרט פון שליסל אָפּעראַציעס, און וווּ אייערע דאַטן "וואוינט" אַלע האָבן אַן השפּעה אויף די נאַציאָנאַלע רעגולאַטאָרישע אויטאָריטעט (עווערסהעדס סאַדערלאַנד).
- דיגיטאַלע סאַבסידיעריז: יעדער סאַב וואָס קוואַליפיצירט זיך ווי אַ DNS, וואָלקן, אָדער טראַסט סערוויס איז שטענדיק וויכטיק, נישט קוקנדיק אויף דעם סטאַטוס פון אַ ברייטערע גרופּע (ווילמערהייל).
- דאָקומענט אַלץ: יעדע ענדערונג - צוזאמענפֿירונג, רעסטרוקטור, אוידיט געפינסן - מוז זיין ווערסיעד, אונטערגעשריבן, און ארכיווירט אויף ביידע ענטיטי און גרופע לעוועל (סימקינס).
- רעקאָרדירן יעדן געשעעניש: יעדע "מאַטעריאַלע" ענדערונג - נײַער קאָנטראַקט, גרויסע צוגאב צו שטאב, רעאָרגאַניזאַציע - טריגערט אַן דערהייַנטיקונג אין אַלע מאַפּינג לאָגס און באַווײַז דאַטאַבייסעס (אַדלעסשאָ גאָדאַרד).
דער גאָלדענער סטאַנדאַרט: מאַפּירט יעדע גרופּע אָדער סאַבסידיערי געשעעניש מיט אַ פרישן סטאַטוס קאָנטראָל, אונטערגעשריבענעם לאָג, און ווערסיעד סנאַפּשאָט אין אייער אַרכיוו.
טיפּישע גרופּע מאַפּינג טאַבעלע
| טריגער געשעעניש | רעקאָרד צו דערהייַנטיקן | אוידיט ערוואַרטונג |
|---|---|---|
| צונויפגיסן/אקוויזיציע | מאַפּינג/לאָגס פֿאַר אַלע נייע אַפּאַראַטן | באַווייַז פון סטאַטוס, מאַפּינג באַגרינדונג |
| ספּין-אָף/דיוועסטמענט | מאַפּינג/לאָגס פֿאַר פֿאַרגאַנגענע ענטיטי | אונטערגעשריבענע סטאַטוס אַרויסגאַנג |
| רעגולאַטאָר אַרויסרופן | מאַפּינג ביי געשעעניש און נאָך | פּראָצעדור/פֿייל דערהייַנטיקונגען, באָרד נאָטיץ |
| גרויסע רעסטרוקטור | מאַפּינג/לאָגס דערהייַנטיקט, ווערסיעד | ראַציאָנאַלע ווערסיעס, אינטערעסירטע פּאַרטייען |
ווען זאָלט איר דערפרישן? טריגערס און צייט פֿאַר סטאַטוס באריכטן
NIS 2 קאמפלייענס איז נישט קיין סטאטישע "שטעלן און פארגעסן" אויפגאבע - לעבן קאמפלייענס מיינט סקעדזשולירן רעגולערע דערפרישונגען און רעאגירן צו מאטעריעלע ענדערונגען, סיי אינערליכע און סיי עקסטערליכע.
א סטאטישער סטאטוס איז א טיקנדיקער קאמפלייענס ריזיקע. לעבעדיגע סטאטוס לאגס פארזארגן ווען רעגולאציעס טוישן זיך אדער נייע ריזיקעס קומען ארויס.
דערפריש טריגערס און טיימינג
- הויפּט געשעענישן: באַשטימען דירעקטאָרן, קויפן/פאַרקויפן טאָכטער־פירמעס, לאָנטשן נייע פּראָדוקטן, איבערגיין שליסל־רעוועך אָדער FTE טרעשאָולדז.
- יערלעכע איבערבליק: לפּחות אַמאָל יעדע 12 חדשים, אפילו אָן באַמערקבאַרע ענדערונגען, אַ פאָרמעלע דירעקטאָרן-ראט איבערבליק און ווידער-לאָגינג.
- ברעט הארץ קלאַפּ: ניצט דירעקטאָרן-ראַט מיטינגען צו לאָגירן איבערבליק ציקלען און באַקומען דירעקטאָרן-דערקענונגען (וואָקער מאָריס).
- עקסטערנאַל טריגערז: נייע געזעצגעבונג אדער אינטערפּרעטאַציעס (אי.יו., נאציאנאלע אויטאָריטעט), וויכטיקע קונה קאָנטראַקט טערמינען, סאַפּלייער פֿראַגעבאָגן.
- פּאָרטאַטיוו באַווייַז: שאַפֿן אָדיט/עקספּאָרט-פֿרײַנדלעכע באַנדאַלז וואָס מאַכן טראַנזישאַנז, אָדיטס, אָדער סאַפּלייער דיו דילידזשאַנס שנעל און אָן ווייטיק (בורגעס לאַקס).
אייער סיסטעם זאָל זיכער מאַכן אַז ווען מען פרעגט אייך "ווער האָט געמאַכט דעם סטאַטוס רוף, און וואָסער לאָגיק האָבן זיי גענוצט?" - קענט איר ענטפֿערן אין מינוטן, נישט טעג.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
וואָס ווילן אוידיטס? דורכגיין מיט רעקאָרדס, נישט נאָר מיט קליימז
אוידיטארן ווערן מער און מער אומטאלעראנט צו פאפירן וואס ווערן באהאנדלט ווי א פעריאדישע קאמפלייענס געשעעניש אנשטאט א לעבעדיגע, ווערסיע-באזירטע פראצעס. דער סטאטוס פון אייער ענטיטי איז א קאנטראל פונקט וואס מוז זיין באוויזן, אונטערגעשריבן, צוריקגעכאפט, און בארעכטיגט ביי יעדער מאטעריאלער ענדערונג.
אוידיטס ווערן דורכגעגאנגען דורך די וועמענס דאקומענטאציע איז שטענדיק לעבעדיק, נישט די מיט א גוט-געמיינטן מוסטער וואס זאמלט שטויב.
ISO 27001 טרעיסאַביליטי טאַבעלע: ערוואַרטונג צו באַווייַזן
א קורצע, אוידיט-גרייטע מאַפּינג צו פארשטארקן סטאַטוס באַשלוסן:
| דערוואַרטונג | ווי אזוי איר אפעראציאנאליזירט | אַנעקס א/פּונקט |
|---|---|---|
| פֿאָרמעלע סטאַטוס איבערבליק | באָרד אונטערשרײַבן, רעגיסטרירטע מינוטן | A.5.2, פּונקט 5.3 |
| באַווײַז פּעקל | פּייַראָל, אָרג טשאַרט, רעוועך לאָגס | א.5.1, א.5.18 |
| ענדערונג ווידער-איינשאַצונג | סטאַטוס דערהייַנטיקונג לאָג, באַגרינדונג טעקע | A.5.28, פּונקט 6.1 |
| דערפרישונג ציקלען | איבערבליק געפלאנט, באשטעטיקט | A.5.36, פּונקט 9.3 |
טרעיסאַביליטי מיני-טיש
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל / SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| ברעט ענדערונג | ריזיקירן רעגיסטרירן, SoA נאטיץ | A.5.2 | מינוטן, לאָג |
| גייַסט | נייע מאַפּינג איבערבליק | פּונקט 4.3 | ארגאניזאציע טשאַרט, באַגרינדונג |
| פּראָדוקט קאַטער | מאַפּינג דערהייַנטיקונג | פּונקט 6.1 | פּראָיעקט פּלאַן, דאָק. |
די בעסטע אוידיט ענטפער איז א לעבעדיגע טעקע. ווערסיע-אויסגעשריבענע, שנעלע אויפזוכן פון באגרינדונגען, און דיגיטאלע פארבינדונגען צו דער פלאטפארמע זענען די סימנים פון דערוואקסענער, גלויבווערדיגער קאמפלייענס.
הייב אן ISMS.online היינט
ISMS.online אָפפערט אַ וועג פֿון "האָפֿנטלעך אַז ס'איז גענוג" צו אַ סיסטעם וואו סטאַטוס־באַווײַזן, באַגרינדונג און אונטערשרײַבונגען זענען אויטאָמאַטיש, עקספּאָרטירבאר און ווערסיע־קאָנטראָלירט. פֿאַרשטאַרקט אײַער בטחון אין יעדער אינערלעכער איבערבליק, באָרד־פּרעזענטאַציע, באַשעפֿטיקונג־פֿאַרהאַנדלונג און רעגולאַטאָרישער באַטייליקונג. קאָנפאָרמאַנס איז נישט נאָר וועגן דורכגיין אויספֿאָרשונגען - עס איז וועגן אַפּעריישאַנאַל ריזיליאַנס, צוטרוי, און רעפּוטאַציע.
- אויטאָמאַטישע סטאַטוס מאַפּינג: אונדזער פּלאַטפאָרמע זאַמלט און פֿאַרבינדט אַלע מאַפּינג געשעענישן, סאַגדזשעסטשאַנז און באַווייַזן, שאַפֿנדיק אַ ווערסיעד audit trail גרייט אין א מאָמענט'ס נאָטיץ (BSI גרופע).
- לעבעדיגע באווייזן לאגס: קאנטינעווירלעכע דערמאָנונגען פירן צו סטאַטוס איבערבליקן; מאַפּינג לאָגס ווערן דערהייַנטיקט מיט יעדן געשעעניש אָדער טריגער.
- מולטי-סטאַנדאַרט בטחון: גלייך פֿאַרבינדן NIS 2 מאַפּינג צו יסאָ קסנומקס, SOC 2, ISO 27701 און ווייטער, בויענדיג א יסוד פאר צוקונפטיגע פריימווערקס (גארטנער).
- אויף-פאָדערונג אויডিץ עקספּאָרטן: ארויסציען אוידיט טעקעס, קאנטראקט באווייזן, אדער רעגולאטאר-גרייט באריכטן באלד - קיין נויט צו זוכן פאר אלטע רעקארדס (CSO Online).
- צוטרוי דורך באָרד און רעגולאַטאָר: אייער דירעקטאָרן-ראט און עקסטערנע אויטאריטעטן זעען א לעבעדיגע סיסטעם פון רעקארד - יעדע באשלוס, יעדער לאָג, יעדע באַגרינדונג (PwC דייטשלאנד).
- סאַסטיינאַבאַל העסקעם: איינגעבויטע אויטאמאציע העלפט יעדן מאַפּינג און באַווייז-אַפּדייט צו ברענען אייער ווייַטער כוואַליע פון קאָנפאָרמאַנס געווינסן - ניט נאָר צופֿרידנשטעלן די איצטיקע אוידיט (אי.יו. קאָמיסיע).
אייער קאמפלייענס רייזע זאָל זיין איבערחזרבאר, פארטיידיקבאר, און באמת אוידיט-זיכער.
הייבט אן מיט ISMS.online - זיכערט אז אייער ענטיטי סטאַטוס ווערט קיינמאָל נישט קיין חוב, און יעדע ענדערונג ווערט אַ שריט צו סאַסטיינאַבאַל, ווידערשטאַנדספעיִק קאַמפּליאַנס.
אָפֿט געשטעלטע פֿראגן
ווי אזוי קען מען שנעל באַשטימען צי NIS 2 איז "עסענציעל" אדער "וויכטיג" אין דעם סטאַטוס - און פארוואס איז דאָס וויכטיק איידער אייער ווייַטער אויספאָרשונג?
איר באַשטימט אייער NIS 2 סטאַטוס דורך צופּאַסן אייער סעקטאָר און געשעפט אַקטיוויטעטן קעגן אַנעקס I און II, און דערנאָך מעסטן די גרייס פון אייער אָרגאַניזאַציע און ספּעציפֿישע דיגיטאַלע ראָלעס - דאָקומענטירנדיק יעדן שריט. "עסענציעל" סטאַטוס איז פֿאַרבונדן מיט סעקטאָרן ווי ענערגיע, פֿינאַנציעל, געזונט, און... דיגיטאַל ינפראַסטראַקטשער פּראַוויידערז אין אַנעקס I, אָבער קליינע וואָלקן, DNS, און טראַסט פּראַוויידערז זענען אויך "עסענציעל" צוליב זייער ראָלע, נישט נאָר זייער גרייס. רובֿ אַנדערע סעקטאָרן פאַלן אונטער "וויכטיק" אויב זיי טרעפן די גרייס טריגערז פון אַנעקס II, אָבער די אויסנעמען פֿאַר מיקראָ-אונטערנעמונגען זענען שטרענג און פאָדערן לעגאַלע, באָרד-גרייט באַווייַזן.
פעלנדיקער אדער לויז באווייזענער סטאטוס קען שטערן אן אוידיט, פארגרעסערן אויפזיכט, און ריזיקירן אוממיטלבארע שטראָפן. רעגולאַטאָרן און אוידיטאָרן וועלן מער נישט אָננעמען "מיר זענען נישט זיכער" אדער "לעצטע יאָר'ס מאַפּינג" - זיי ווילן זען אַרויף-צו-דאַטע, פארטיידיקבאַרע באווייזן וואָס באַווייזן דיין ענטיטי סטאַטוס אין פאַקטישער צייט.
רעגולאַטאָרן נוצן דיפאָלט אייערע לאָגס, נישט אייער זכּרון - אייער מאַפּינג מוז זיך באַשיצן, נישט נאָר ווערן דערקלערט.
שנעל-וועג סטאַטוס אַסעסמאַנט
- צופּאַסן די הויפּט טעטיקייט צו אַנעקס I (עסענציעל) אדער אַנעקס II (וויכטיק); דיגיטאַלע באַקבאָון (וואָלקן, צוטרוי, DNS) טריגערט "עסענציעל" נישט קוקנדיק אויף גרייס.
- טשעקט FTE און טורנאוווער לויט היינטיקע דאטן - נישט די חשבונות פון לעצטן יאר.
- אויב איר שפּאַנט איבער סעקטאָרן ("היבריד"), דער שטרענגסטער סטאַטוס איז אָנווענדלעך, און יעדע לעגאַלע ענטיטי מוז זיין מאַפּט באַזונדער.
- ראַטעוועט אונטערגעשריבענע ברעט דאָקומענטאַציע און מאַפּינג לאָגיק; אַד האָק ליסטעס לאַדן איין ריזיקע.
- דערפריש די מאַפּינג נאָך יעדן שליסל געשעעניש - M&A, גרויסע נייע סערוויס, אדער וואוקס שפּיץ; נישט נאָר איין מאָל אַ יאָר.
רעפערענץ: זיכערט אז אייער קלאַסיפֿיקאַציע איז פֿאַראַנקערט אין דער לעצטער נאַציאָנאַלער אַפּליקאַציע.
וואו גייען NIS 2 קלאַסיפֿיקאַציעס כסדר שלעכט - און וועלכע דעפֿיניציעס פֿאַראורזאַכן קאָפּווייטיק בײַם אויספֿאָרשן?
ענטיטי טיפּ צעמישעניש שטאַמט פֿון דרײַ קוועלער: אומקלאָרע מאַפּינג פֿון סעקטאָר און דיגיטאַלע אַקטיוויטעטן, אַלטמאָדישע FTE/טורנאָוווער דאַטן, און מיספֿאַרשטענדעניש פֿאַר וועמען "אַקטיוויטעט" אָוווערריידז זענען אָנווענדלעך. למשל, אַ קליינער DNS אָפּעראַטאָר איז "עסענציעל" אפילו מיט ווייניקער ווי 50 שטאַב מיטגלידער, בשעת אַ מאַנופֿאַקטורינג סאַבסידיערי קען זײַן "וויכטיק" נאָר אויב גרויס גענוג - אָדער "עסענציעל" אויב גרופּע מאַפּינג שלעפּט עס פֿאַרלענגערט.
כייבריד אָרגאַניזאַציעס, סאַבסידיעריז און גרופּעס זענען אַ רעגולאַטאָרישער בליץ-פונקט: מאַפּינג מוז זיין ספּעציפֿיש צו לעגאַלע ענטיטיז, נישט גרופּע דורכשניטן, און "הויפּט עסטאַבלישמענט" איז וווּ די הויפּט דיגיטאַלע אָפּעראַציעס פּאַסירן. קלאַסיפֿיקאַציע טעותים שטאַמען אָפט פֿון יערלעכע איבערבליקן, פֿאַרפעלטע סעקטאָר ענדערונגען, אָדער פֿאַלשע הנחות וועגן באַפֿרייטן סטאַטוס.
- דיגיטאַלע באַקבאָון כּללים: טעטיקייט געווינט איבער גרייס; פינף-מענטש וואָלקן פּראַוויידערז זענען "עסענציעל".
- גרופע/אונטער אַמביגואַטי: יעדע לעגאַלע ענטיטי איז קאַרטירט, און דער שטרענגסטער סטאַטוס איז גילטיק אויב קאַטעגאָריעס אָוווערלאַפּן זיך.
- אַלטע לופּכאָולז פֿאַרמאַכט: NIS 1 סטאַטוס אדער פריערדיקע נאציאנאלע באַפרייאונגען זענען נול - אָנהייבן פון פריש.
- אָפטקייט מאַנדאַט: יעדע וויכטיגע געשעעניש, נישט נאר יאר-סוף, טריגערט א מאַפּינג דערהייַנטיקונג.
נישט אפדעיטן נאך א M&A, א גרויסן קליענט געווינס, לעגאלע רעסטרוקטורירונג, אדער אפילו א נייער באשטימונג פון דעם דירעקטאריום, לאדט איין צו אוידיט פראבלעמען - באווייזן מוזן זיין געשעעניש-געטריבן, נישט נאר ציקליש.
זען: און אייער מאַפּע באַגרינדונג מוז זיין ביידע צייט-געשטעמפּלט און אַרכיווירט.
וואָסערע באַווײַז־פּאַקעט באַשיצט אײַער סטאַטוס אין אַ NIS 2 רעגולאַטאָרישן אוידיט?
א NIS 2 אוידיט ווערט נישט דורכגעגאנגען מיט סטאטישע ספּרעדשיטס; עס פארלאנגט א "לעבעדיגע" באווייז קייט געשטיצט דורך עקזעקוטיוו איבערבליק און אָפטע, ווערסיע-געמאכטע דערהייַנטיקונגען. ערוואַרט קאָנטראָל ניט נאָר פון אייער איצטיקע מאַפּינג, נאָר אויך ענדערונג געשיכטע, געשעעניש-געטריגערטע דערהייַנטיקונגען (למשל, נייע סערוויסעס, צונויפגיסונגען), און באַפרייאונג קליימז רעקאָרדירט אויף באָרד מדרגה. יעדער פאָדערונג - עסענטשעל, וויכטיק, אָדער באַפרייען - מוז זיין ביידע דאָקומענטירט און צוריקקריגן אין מינוטן.
עסענציעלע באדערפענישן פֿאַר אוידיט באווייזן
| עווידענסע טיפּ | ציל | בייַשפּיל אַרטיפאַקט |
|---|---|---|
| מאַפּינג לאָג | רעקאָרדס באַגרינדונג, צייט-געשטעמפּלטע דערהייַנטיקונגען | ווערסיעד, געשעעניש-דאַטע לאָג |
| פּראָטאָקאָלן פֿון אונטערשרײַבן פֿון באָרד | ווייזט אויפזיכט און קלאַסיפֿיקאַציע | אונטערגעשריבענע פּראָטאָקאָלן, באַשטעטיקונג דאָקומענט |
| FTE/טורנאוווער דאקומענטאציע | באַשטעטיקט די איצטיקע שוועלן | פּייַראָל, P&L, HR דאַשבאָרד |
| סעקטאָר/אַקטיוויטעט באַווייַז | אַנקער ענטיטי סטאַטוס | רעגולאַטאָרישע מאַפּינג סטעיטמענט |
| באַפרייאונג רעקאָרדס | לעגאַלע שטיצע פֿאַר טענות | דירעקטאָריום דערקלערונג, לעגאַלע מעמאָ |
לעבעדיקע באווייז-פארבונדן און אונטערגעשריבן-פארוואנדלט מאַפּינג פון ריזיקע אין ווידערשטאנד.
האַלט אַרטיפאַקץ צענטראַליזירט אין דיין ISMS, גרייט פֿאַר באַלדיקער אַנטפּלעקונג; באַהאַנדלט יעדע סטאַטוס ענדערונג ווי אַ קאַמפּלייאַנס טריגער, נישט אַ היסטארישן רעקאָרד.
רעפערענץ: אוידיט בעסטע פּראַקטיקעס פאָדערן האָלאַנד און האַרט, 2024 לעוועלס פון אוידיט-גרייטקייט.
וואָס איז דער ריזיקע אויב מאַפּינג פאַרהאַלטונגען, ערראָרס קריכן זיך אַרײַן, אָדער ענטיטי סטאַטוס איז פאַלש?
אומרעכטע אדער פארעלטערטע מאַפּירונג ברענגט שנעלע רעגולאַטאָרישע אַקציע: פארפליכטעטע קאָרעקציעס, עפנטלעכע וואָרענונגען, און קנסות ביז €10 מיליאָן פֿאַר "עסענציעלע" ענטיטעטן. דער אימפּאַקט גייט ווייטער - עפנטלעכע טעות רעגיסטערס אונטערמינירן טענדערס, בלאָקירן M&A, און עראָדירן צוטרוי, בשעת אָפטע דורכפעלער מיינען עסקאַלירטע אוידיטס און פארלוסט פון שותף צוטרוי.
אייער בעסטע פארטיידיקונג איז נישט פערפעקציע נאר שנעלקייט און גרינטלעכקייט: ווען מאַפּינג איז פאַלש, קאָריגירט עס אין עטלעכע טעג, לאָגירט די אַקציע, און באַקומט די באַשטעטיקונג פון דער דירעקטאָרן-ראַט. "גוט גלויבן" ווערט נאָר באַטראַכט אויב אייערע לאָגס באַווייַזן אַז זיי האָבן אַקציע אין רעאַל-צייט און זענען געווען פאַר דער אויספאָרשונג.
דער אמתער קאמפלייענס גאַפּ איז נישט אַן איינציקער טעות, נאָר די אָפּוועזנהייט פון באַווייַזן ווען עס איז וויכטיקסט.
קאנסעקווענצן לייטער:
- ענפאָרסמאַנט: טערמין-געטריבענע קארעקציעס, באַדייטנדיקע קנסות, עפנטלעכע אַנטפּלעקונג פון נישט-העסקעם.
- מאַרק השפּעה: קליענט און שותּף רעפּוטאַציע ריזיקע דויערט לענגער ווי שטראָף פּיריאַדס.
- אפעראציאנעלע שלעפּונג: פארלוסט פון ביזנעס בייגיקייט אין טענדערס אדער דיו דילידזשענס, שטרענגערע פארזיכערונג טערמינען, און מער אָפטע אוידיטס.
- באַהאַנדלונג: שנעלע, אַרכיווירטע ברעט אַקציע קען פֿאַרמינדערן שטראָפֿן, אָבער נאָר אויב לאָגס עקזיסטירן פֿאָר דעם פֿאַרלעצונג.
ווייַטער לייענען: CGSH, 2024.
ווי אזוי אַדאַפּטירט זיך NIS 2 מאַפּינג פֿאַר גרופּעס, טאָכטער־פֿירמעס, אָדער שנעל־טוישנדיקע געשעפֿט־מאָדעלן – ספּעציעל אַריבער־גרענעץ?
איר מוזט כאַפּן מאַפּינג און באַווייַזן פֿאַר יעדער לעגאַלער ענטיטי - קיין גרופּע דורכשניט אָדער אַמברעלאַ מאַפּינג איבערלעבט נישט אַ רעגולאַטאָר'ס פאַרשטעלן. הויפּט עסטאַבלישמענט באַציט זיך צו וווּ דיגיטאַלע באַשלוסן ווערן געמאַכט, נישט גלאָבאַלע הויפּטקוואַרטיר. אויב אַן איינציקע "עסענציעלע" ענטיטי זיצט אין אייער גרופּע, קען די גאַנצע גרופּע'ס רעגולאַטאָרישע אָוווערכעד העכערהעאַד וואַקסן. שטענדיק אַרכיווירן "מאַפּינג סנאַפּשאַץ" נאָך געשעענישן ווי נייַע לאָנטשיז, מאַרק איינטריטן, M&A, אָדער פירערשאַפט ענדערונגען.
א קוילן-זיכערער צוגאַנג לאָגירט ביידע דעם געשעעניש (וואָס איז געשען) און מאַפּינג רעזולטאַט (וואָס האָט זיך געביטן), אונטערשרייבט אינעם ברעט ציקל, און האַלט יעדן עקספּאָרט פֿאַר שפּעטערדיקן אָדיט.
נישט-פארהאנדלבארע מאַפּינג טריגערס
- נייַ רעגולירטער סערוויס אָדער מאַרק, אפילו אויב פּילאָט אָדער נישע.
- אייגנטומערשאפט, צוזאמענגייונג, אדער גרופע סטרוקטור ענדערונגען.
- ענטיטי גייט אריבער די גרייס שוועל פאר FTE אדער טורנאוווער.
- גרויסע ענדערונג אין דירעקטאָריום אדער עקזעקוטיוו.
דער רעגולאַטאָר איז נישט אינטערעסירט אין אייער באַגרינדונג - נאָר דעם געשעעניש לאָג, צייטשטעמפּל און אונטערשריפט.
מאָנטליכע איבערבליקן און געשעעניש-געטריבענע לאָגס זענען אייער שילד. אויב נאציאנאלע אויטאריטעטן זענען נישט מסכים וועגן אינטערפּרעטאַציע, לאָגט אַלע קאָרעספּאָנדענץ און לעגאַלע עצה פֿאַר צוקונפֿטיקע פֿאַרטיידיקונג.
פֿאַר אַוואַנסירטע מאַפּינג: מילס און ריוו, 2024.
ווי אזוי האַלט מען אן עכט "לעבעדיגע" NIS 2 מאַפּינג - און ווער איז דער אייגענטומער פונעם פּראָצעס?
לעבעדיקע מאַפּינג מיינט רעגולערע, פירערשאַפט-לעוועל איבערבליק נאָך יעדער וויכטיקער געשעעניש, מיט רעקאָרדס אונטערגעשריבן און אַרכיווירט יעדעס מאָל. באַשטימט אַ קאַמפּליאַנס פירער - אָפט דער CISO אָדער ענלעך - וואָס פירט מאַפּינג לפּחות קוואַרטאַל, און נאָך יעדער מאַטעריאַל טריגער. MSPs און SaaS קענען העלפֿן צוגרייטן לאָגס, אָבער בלויז די ענטיטי קען אונטערשרייבן און באַווייַזן אָונערשיפּ.
פּראָאַקטיווע מאַפּינג מיינט אַז איר קענט דעמאָנסטרירן קאָנפאָרמאַנס ניט נאָר ביי אַ אָדיט, נאָר אויך אויף פאָדערונג - און דאָס מאַכט מאַפּינג פון אַ סטרעסאָר אַ פירערשאַפט סימן.
אָרגאַניזאַציעס מיט לעבעדיקע מאַפּינג פֿאַרוואַנדלען אוידיט דייַגעס אין אַ קאַמפּעטיטיוו מייַלע - רעאַקטיוו איז אויס, ריזיליאַנס איז די נייַע באַזע.
לעבעדיקע מאַפּינג דיסציפּלין:
- איבערקוקן די מאַפּינג נאָך יעדן קוואַליפיצירנדיקן געשעעניש אָדער קוואַרטאַל - וואָס עס קומט פריער.
- האַלטן ווערסיעד מאַפּינג לאָגס, לינגקט צו באָרד סיגנאַפס, אין דיין ISMS פּלאַטפאָרמע.
- עקספּאָרטירן און אַרכיווירן יעדן מאַפּינג ציקל; גרייטקייט איז בעסער ווי פּערפעקציע יעדעס מאָל.
- MSPs און SaaS שטיצן צוגרייטונג, אבער די אונטערשריפט און לעצטע ווארט בלייבן ביי אייך.
טשעקליסט: בערד און בעקער, 2024.
ISO 27001 / אַנעקס A: סטאַטוס מאַפּינג ערוואַרטונג טיש
| דערוואַרטונג | פארלאנגט קאַמף | ISO/אַנעקס רעפערענץ |
|---|---|---|
| סעקטאָר און גרייס זעלבסט-קאָנטראָל | מאַפּינג בוים, FTE, סעקטאָר אַרטיפאַקץ | 4.1, A.5.1, A.5.2, A.5.36 |
| באַווייַז פון אויפזיכט פון באָרד | פּראָטאָקאָלן, פאַרוואַלטונג איבערבליק, אונטערשרײַבן | 5.1, 5.3, 6.1, 9.3, A.5.35 |
| רעאַל-צייט מאַפּינג דערהייַנטיקונגען | לאָגס, צייט-געשטעמפּלטע באַשלוס עקספּאָרטן | 8.3, 9.1, 10.1, A.5.36 |
| מולטי-ענטיטי קאַווערידזש | ענטיטי-לעוועל לאָגס, גרופּע סנאַפּשאַץ | 4.3, 5.2, 6.1.3, A.5.2, A5.21 |
NIS 2 טרעיסאַביליטי טאַבעלע
| טריגער געשעעניש | ריזיקע דערהייַנטיקונג? | קאָנטראָל רעפערענץ | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| נײַער דיגיטאַלער סערוויס | יא (סעקטאָר) | א.5.1, א.5.35 | מאַפּינג לאָג + מינוט |
| מ & א טעטיקייט | יא (גרופע) | א.5.2, א.5.21 | באָרד/לעגאַל, מאַפּינג לאָג |
| ברעט ענדערונג | יאָ | 5.1, 5.3, A.5.35 | אונטערגעשריבענע דירעקטאָרן-פּראָטאָקאָלן |
| איבערשטייגן די FTE באַנד | יא (גרייס) | א.5.36, 9.1, 10.1 | פּייַראָל, דערהייַנטיקט לאָגס |
אייער מאַפּינג פּראָצעס - פירערשאַפט-אָונד, געשעעניש-טריגערד, און ווערסיע-קאָנטראָלירט - איז אייער בעסטע פאַרטיידיקונג און קאָנקורענץ-הייבער פֿאַר NIS 2. ISMS.online סטרוקטורירט, לאָגט, און אָטאַמייט די וואָרקפלאָוז אַזוי איר קענט גיין פון רעאַקטיוו קאַמפּליאַנס צו ווידערשטאַנדספעיִק פירערשאַפט. מאַכט אייער ווייַטער אָדיט אַ באַווייַז פון קאָמפּעטענץ, נישט נאָר אַ טשעקפּוינט.
