פארוואס NIS 2 Scope איז נישט נאר א גרויסע פירמע פראבלעם - און פארוואס יעדע ארגאניזאציע דארף אויפמערקזאם זיין
פרעגט פינף פארשידענע פירער צי NIS 2 איז נוגע צו זייער פירמע, און איר וועט באקומען פינף פארשידענע ענטפֿערס – אָפט, קיין איינע פון זיי איז נישט פּינקטלעך. דער געפערלעכער מיטאָס איז אַז NIS 2 איז אַ רעגולאַטאָרישער שטורעם געצילט אויף ריזן: נאַציאָנאַלע ענערגיע סאַפּלייערז, טעלעקאָם מאָנאָפּאָליעס, גלאָבאַלע באַנקס. אין פאַקט, די דירעקטיווע גייט פיל ווייטער און שנעלער, מיט דער מאַכט צו איבערקערן אָדיט ציקלען, קאָנטראַקטן, און אפילו דירעקטאָרן-ראַט קאַריערעס אין אָרגאַניזאַציעס וואָס האָבן באַטראַכט קאָנפאָרמאַנס ווי "עמעצנס פּראָבלעם". דירעקטאָרן-ראַט צוטרוי און אָפּמאַך מאָמענטום פאַרשווינדן שנעל ווען אַ קליענט פארלאנגט "באַווייַז פון NIS 2 גרייטקייט" און דיין מאַנשאַפֿט'ס איינציקער באַווייַז איז, "מיר זענען מיסטאָמע צו קליין." די נייע נאָרמאַל איז ויסשטעלן: סעקטאָר ינקלוזשאַן, געשעפט וווּקס, און אפילו רוטינע קונה קאָנטראַקטן קענען אַלע איבערצייכענען די גרענעץ פון אין-סקאָופּ ענטיטיז – אָפט איבער נאַכט. פֿאַר מאָדערנע קאָנפאָרמאַנס פירער און אַמביציעזע סטאַרטאַפּס גלייַך, ענטיטי סקאָופּ איז נישט אַ מינערווערטיק פֿוסנאָטע; עס איז די הויפּט געשעעניש.
די טייערסטע קאָמפליאַנס טעותים הייבן זיך אָן מיט די ווערטער, דאָס קען קיינמאָל נישט אַפּליקירן צו אונדז.
ווען די ליניע צווישן וואָס איז אין דעם פעלד און וואָס איז נישט אין דעם פעלד ווערט פארשוואומען, ווערן נישט-פארבערייטע פירמעס ביישפילן - צי אין פארלוירענע קאנטראקטן, דורכגעפאלענע אויספארשונגען, אדער עפנטלעכע רעגולאציעס. פאר די טימס וואָס גרייטן זיך צו, פארקלענערט קלארקייט נישט נאר די דאגות; עס לייגט דעם יסוד פאר זיכערע אויספארשונגען און ווידערשטאנדסקראפטיקן געשעפט וואוקס.
ווער מוז זיך האַלטן דערצו? ווי NIS 2 דעפינירט "ענטיטי" פאַרנעם - און פארוואס עס גייט נישט נאָר וועגן אַרבעטסקראַפט גרייס
רובֿ קאָמפלייאַנס פירער האָבן נישט גאָר אינטערנאַליזירט NIS 2'ס ראַדיקאַלע ענדערונג: עס איז נישט נאָר פֿאַר קלאַסישע "קריטישע אינפראַסטרוקטור" אָדער געשעפטן מיט הונדערטער שטאַב. די דירעקטיווע ציט איר נעץ ברייט, קאַמביינירן סעקטאָר און גרייס, אָבער אויך לייגן אין פאַנגקשאַנאַל ראָלעס, איין-פּראַוויידער סצענאַרן, און יינציק צושטעל קייט וויכטיקייט. דירעקטיוון פון די אי.יו. קאָמיסיע און נאציאנאלע אויטאריטעטן זענען קלאָר - אַ פירמע פון בלויז 50 עמפּלוייז (אָדער אַ יערלעך פאַרקער העכער €10 מיליאָן) קען זיין גלייך אין די פאַרנעם אויב עס אַפּערייץ אין אַן אַנעקס I אָדער II סעקטאָר (onespan.com; twobirds.com). די סעקטאָרן אַרייַננעמען נישט נאָר ענערגיע און פינאַנץ, אָבער געזונט פּראַוויידערז, ICT פּלאַטפאָרמעס, דיגיטאַל אינפראַסטרוקטור , פאַבריקאַנטן, קוריערז, פאָרשונג לאַבאָראַטאָריעס, וואָלקן סערוויס פּראַוויידערז, עסנוואַרג דיסטריביאַטערז, און אפילו שליסל עפנטלעכע אַדמיניסטראַציע ראָלעס.
אויב אייער אָרגאַניזאַציע צושטעלט רעגולירטע סערוויסעס, איז די פראגע נישט "בין איך גרויס גענוג?" - נאָר "צי וואָס איך טו שטיצט קריטישע אָפּעראַציעס, צושטעל קייטן, אדער עסענציעלע סערוויסעס?"
די דעפֿיניציע גייט ווײַט ווײַטער פֿון לעגאַלע ענטיטי אָדער אַרבעטער־צאָל. אַ קליינע SaaS פּלאַטפֿאָרמע מיט אַן איינציקן רעגיאָנאַלן נוצבאַרן קונה, אַ מעדיצינישע דעווײַס סטאַרטאַפּ וואָס פֿאַרקויפֿט אין געזונטהייט נעטוואָרקס, אָדער אַ דיגיטאַלער לאָגיסטיק פּראָווײַדער וואָס באַדינט עפֿנטלעכע פּאָסט־אינפֿראַסטרוקטור – אַלע זענען איצט אַ שריט פֿון ווערן דערקלערט ווי עסענציעל אָדער וויכטיק. ווי קאָמפּאַניעס פֿאָרמען נײַע פּאַרטנערשאַפֿטן, אונטערשרײַבן גרעסערע קאָנטראַקטן, אָדער נעמען אויף ראָלעס ווי איינציקער פּראָווײַדער, מוז זייער ריזיקאָ־פּראָפֿיל (און פֿאַרנעם־סטאַטוס) קעסיידער ווערן איבערגעשאַצט.
מיני בריק טיש: אנאנסירן די רעאלע סעקטארן
| פאַרייניקן | סעקטאָר ביישפילן | טיפּישער איינטריט טריגער |
|---|---|---|
| אַנעקס איך | ענערגיע, טראנספארט, באנקווערק, געזונט, וואסער, אינפארמאציע און קאמוניקאציע (ICT), עפנטלעכע אדמיניסטראציע, ספעיס | קאָנטראַקט, קריטישער פּראַוויידער סטאַטוס |
| אַנעקס וו | קוריער, אָפּפאַל, עסן, מאַנופאַקטורינג, דיגיטאַלע פּראַוויידערז, פאָרשונג | נייע געשעפט ליניע, אייגנארטיגע פונקציע |
א קריטישער פונקט: רעגולאַטאָרן קענען אַרײַנפֿירן אָרגאַניזאַציעס וואָס, כאָטש נומעריש קליין, שפּילן נישט-פֿאַרבײַטבאַרע ראָלעס (איינציקער וואָלקן האָסט פֿאַר רעגיאָנאַלער רעגירונג, איינציקער עסן דיסטריביאַטאָר צו שפּיטאָל נעץ אאַז"וו). פֿאַרלאָזט זיך נישט אויף גרייס צו אַנטלויפֿן פֿון קאָנטראָל.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
פארוואס סעקטאָר און גרייס זענען נאָר דער אָנהייב - קריטישקייט, קאָנטראַקטן, און דער "פאַרבאָרגענער ענטיטי" ווירקונג
NIS 2 שפּילט נישט לויט קלאַסישע קליינע און מיטלשטענדיקע געשעפטן כּללים: זיין אונטער דער 250-שטאַב אָדער €50 מיליאָן איינקונפט באַר באַפרייען נישט אויטאָמאַטיש אייך. רובֿ אָרגאַניזאַציעס באַקומען דעם סטאַטוס "דירעקט אין-סקאָופּ" מיט בלויז 50+ עמפּלוייז אָדער €10 מיליאָן פאַרקער - אויב זיי צושטעלן באַדינונגען אָדער פּראָדוקטן אין די ליסטעד סעקטאָרן. אָבער דער סקאָופּ דעקלאַרירט יינציקע טריגערס:
- איינציקער פּראַוויידער: דער איינציגער דיגיטאַלער, וואַסער, ענערגיע, אָדער אינפֿאָרמאַציע־טעכנאָלאָגיע סערוויס סאַפּלייער צו אַ שטאָט, שפּיטאָל, אָדער רעגירונגס־אָפֿיס
- קריטישע פונקציע: צושטעלן אַן אייגענאַרטיקן קאָמפּאָנענט, ווייכווארג, אָדער סערוויס וואו עס עקזיסטירט נישט קיין שנעלע סובסטיטוציע
- קאנטראקטועל מאנדאט: נייע קאנטראקטן מיט גרויסע קויפער (ספעציעל עפנטלעכע ענטיטעטן, געזונט, קריטישע אינפראסטרוקטור) פארלאנגען אפט באווייזן פון NIS 2-קאמפאניטע פראצעסן - אומאפהענגיק פון גרייס.
דער גרייך איז ווייניקער וועגן וואָס איר גלויבט איר זענט, און מער וועגן וואָס דער מאַרק און רעגולאַטאָרן פאַרלאָזן זיך אויף אײַך צו טאָן.
אויב אייער קערן ביזנעס מאָדעל ציט אָן קריטישע קאַסטאַמערז, אָדער אייער טעכנאָלאָגיע ווערט אַ וויכטיקער טייל פון אַנדערע'ס אָפּעראַציעס, זענט איר פונקציאָנעל "אין דער פאַרנעם", אפילו אויב איר האָט קיינמאָל נישט דורכגעבראָכן די קאָמפאָרט באַריערע פון קליינע און מיטלשטענדיקע געשעפטן. דער רעזולטאַט: יעדע אַקוואַזיציע, נייַער קליענט, אָדער פּראָדוקט דרייפּונקט פֿאַרדינט אַ פֿאָרמעלע איבערבליק - אידעאַלערװײַז, רעגיסטרירט און אונטערגעשריבן אין די ISMS און צוריקפֿירבאר צו די פּראָטאָקאָלן פֿון דעם דירעקטאָרן-ראַט.
צעטיילטע ענטיטיז, סאַבסידיעריז, און קאַרווע-אויט סכעמעס: פארוואס רובֿ וואָרקאַראַונדס פאַרלאָזן ביי אָדיט
אין דעם פארמעסט צו באגרענעצן אויסשטעלונג, פרובירן עטלעכע ארגאניזאציעס א וועג ארומגיין טאקטיקן: צוטיילן לעגאלע ענטיטעטן, צוזאמענשטעלן טימס, אדער באשיצן ביזנעס איינהייטן אין האלטינג קאמפאניס. NIS 2 - און די נאציאנאלע רעגולאציעס וואס דורכפירן עס - זענען קלאר אין זייער אויפזיכט: אוידיטארן און אויטאריטעטן וועלן קוקן דורך דעם קארפאראט'ישן פארהאנג, פאקוסירנדיג אויף די אקטועלע ביזנעס פונקציע, קאנטראל סביבה, און באווייזן פון אפעראציאנעלער אומאפהענגיקייט.
דאָ איז וואָס איז וויכטיק (advisense.com; twobirds.com):
- אַ טאָכטער־געזעלשאַפט וואָס פירט אויס עסענציעלע אָדער קריטישע פונקציעס קען זיין אין דעם פאַרנעם *נישט קוקנדיק אויף גרופּע סטאַטוס*.
- מיקראָ ענטיטיס (≤10 שטאב, < €2 מיליאָן וועקסל) זענען לאַרגעלי אויסגעשלאָסן, אָבער נישט אויב זיי זענען אַליין אין אַ קריטישן סעקטאָר אָדער צושטעל קייט.
- צעטיילן ביזנעס ליניעס אויף פאפיר, אבער אויפהאלטן פארפלאכטענע איי-טי, ה.ר., פינאנץ, אדער אפעראציאנעלע פראצעסן, וועט דורכפאלן אוידיט טעסטס.
אויסשניידונגען טאַבעלע: ווען אַרבעט צעשיידונג?
| אויסשניידן | אוידיט סטאַטוס | עווידענסע פארלאנגט |
|---|---|---|
| עלטערן/קינד פארבונדענע אפעראציעס | אין-פאַרנעם | געטיילטע סיסטעמען, שטאב, קאנטראקטן |
| גאָר זעלבשטענדיקע טאָכטער־פירמע | נישט אין פֿאַרנעם | באַזונדערע HR, IT, דירעקטאָריום, פינאַנצן |
| מיקראָ־ענטיטי פאָדערן שילד | אין-פאַרנעם ("איבערשרייבן") | איינציקער-פארזארגער אדער לינקפיס באווייז |
רעגולאַטאָרן ווילן רעאַליטעט, נישט איבער-עטיקעטן. באַפרייאונג ריזיקעס וואַקסן אויב באַפרייאונג לאָגיק און שטיצנדיקע באַווייַזן זענען נישט שטאַרק און פּראָאַקטיוו דאָקומענטירט.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
קאנטראקטועלע "פלאָו-דאַון" טריגערס: ווען דיין קליענט'ס פאַרנעם ווערט דיין ריזיקע
איר קענט דורכגיין דעם אפיציעלן סקאָופּ טעסט היינט, אָבער אייער פּאָזיציע קען זיך ענדערן אין דעם מאָמענט וואָס אַ גרויסער קליענט דערהייַנטיקט פּראָקורעמענט קאָנטראַקטן. סופּליי טשיין אַקאַונטאַביליטי איז איצט אַן עקספּליציט קאַנאַל פֿאַר NIS 2 אַבליגאַציעס. פילע קאָנטראַקטן פאָדערן דאַונסטרים פּאַרטנערס (אַרייַנגערעכנט "אויסער-סקאָופּ" ווענדאָרס) צו נאָכקומען מיט אינצידענט מעלדונג , באַווייַז וישאַלט, און אפילו רעפּליקע ריזיקירן קאָנטראָלס - אין עפעקט, ימפּאָרטינג אַבליגאַציעס פון קליענטן וועמענס אייגענע NIS 2 קאַנפאָרמאַטי דעפּענדס אויף סופּליי טשיין פארזיכערונג.
ווען אַ קליענט פארלאנגט 24/72-שעה אינצידענט באריכטן און קאַרטירטע קאָנטראָלן, איז דאָס נישט שיין צו האָבן. דאָס איז אַן אומגייענדיקער באַווייַז-טריגער.
אָרגאַניזאַציעס וואָס באַהאַנדלען קאָנפאָרמאַנס ווי "בלויז קליענט-געטריבן" געפֿינען זיך שנעל אָפּגעלאָזט ווען אַן אוידיט, אינצידענט אָדער בריטש אַנטפּלעקט נישט-דאָקומענטירטע אויסנעמען. דער קאָסט איז נישט בלויז קאָנטראַקטואַלע רייבונגען, נאָר אויך געוואקסענע רעגולאַטאָרישע אויפֿמערקזאַמקייט, ריזיקע פֿון ליטיגאַציע און, אין עפֿנטלעכע סעקטאָרן, אַנטפּלעקונג.
מיקראָ-טשעקליסט: אויפדעקן "פלאָו-דאַון" פליכטן
- האבן די לעצטע קאנטראקטן פארלאנגט באווייזן צוגעפאסט צו NIS 2 אדער יסאָ קסנומקס קאָנטראָלס?
- ווערט איר געבעטן צו צושטעלן אינצידענט מעלדונגען אין ספּעציפֿישע פֿענצטער?
- צי דאַרפן קליענט טערמינען פּריוואַטקייט, סאַפּליי קייט, אָדער קריטישע סאַפּלייער מאַפּינג?
- טוט דיין ריזיקירן רעגיסטרירן רעפערענץ קאנטראקט אדער סעקטאר טריגערס?
אויב "יאָ" צו יעדע איינע, זאָל אייער ISMS שפּיגלען די ווי אָפּעראַציאָנעלע קאָנטראָל רעקווייערמענץ, נישט קוקנדיק אויף דער ענטיטי לייבל.
טריגערס וואָס טוישן סקאָופּ סטאַטוס - און פארוואס סקאָופּ דאָקומענטאַציע דאַרף אַ לעבעדיק וואָרקפלאָו
ענדערונגען באַוועגן זיך שנעל און אומגעפֿאָלגטע ענדערונגען ברענגען אַקצידענטעלע נישט-קאָנפֿאָרמאַנס. דער סטאַטוס פֿון דער סקאָופּ טוישט זיך אָפֿט - פֿון סעקטאָר-דרייען (למשל, אַרײַנטרעטן אין אַ נײַעם ווערטיקאַל), ביז אַגרעסיווע אָנשטעלונגען, געאָגראַפֿישע עקספּאַנסיע, אָדער M&A אַקטיוויטעטן. עטלעכע פֿון די טײַערסטע שטראָפֿן פֿון NIS 2 (אַרײַנגערעכנט מעגלעכע צײַטווײַליקע פֿאַרווערן אויף געשעפֿטלעכע אַקטיוויטעטן) שטאַמען נישט פֿון שלעכטע זיכערהייט-קאָנטראָלן, נאָר פֿון דורכפֿאַלן צו האַלטן און באַווײַזן אַרויף-צו-דאַטע דאָקומענטאַציע פֿון דער ענטיטי-סקאָופּ. אי.יו. און נאַציאָנאַלע גײַדליינז זענען קלאָר: ווען אין צווייפֿל, איז דער שטרענגסטער צוגאַנג וויכטיק. איין-מאָל אַנאַליז, באַגראָבן טיף אין אַ קאָנפֿאָרמאַנס-פֿײַל, וועט נישט איבערלעבן קאָנטראָל; קלוגע קאָנפֿאָרמאַנס-טימס סימולירן איצט "סקאָופּ-טשעלאַנדזשעס" און רעפֿרעשן זייער לאָגיק רעגולער.
טאַבעלע פֿאַר פֿאַרנעם פֿון געשעעניש ביז באַווײַז
| סקאָופּ טריגער געשעעניש | ריזיקע דערהייַנטיקונג | קאָנטראָל / לינק | בייַשפּיל באַווייַז |
|---|---|---|---|
| צולייגן/פאַרלירן שליסל קאָנטראַקט | דערהייַנטיקן ריזיקירן רעגיסטרירן | A.5.19, פּונקט 4 | קאָנטראַקט + SoA מאַפּע + ברעט הערות |
| צושטעל קייט איבערגלייכונג | סאַפּלייער ריזיקע | א.5.21, א.8.8 | ליסטע פון סאַפּלייער, קאָנטראַקט מאַפּינג |
| אַרייַן נייַ סעקטאָר/געאָגראַפֿיע | רעסקאָופּ ענטיטי | ISO 27001 פּונקט 4, 5 | ארגאניזאציע טשאַרט, ברעט אונטערשרייבונג |
| צונויפגיסן/קויפן געשעפט איינהייט | איבערקוקן דעם פארנעם | א.5.2, 5.3 | לעגאַלע דאָקומענטן, גרענעץ איבערבליק |
"באַפרייונג" איז נאָר פּאַפּיר ביז געשטיצט דורך שטאַרקע, ווערסיעד און אַקטיוו איבערגעקוקטע געשעפט באַווייזן.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
בויען דעם סקאָופּ בוך און לעבעדיקע באַווייַזן: די קאַמפּליאַנס רוקנביין פֿאַר דירעקטאָרן און באָרדז
ענטיטי פאַרנעם באַווייַזן איז ניט מער "פֿאַר די אָדיט טעקע." דירעקטאָרן, קאַמפּליאַנס קאמיטעטן, און ריזיקירן פירער זענען איצט געהאלטן יקספּליסאַט פאַראַנטוואָרטלעך פֿאַר זייער אַשוראַנס אַרבעט אויף NIS 2 און ISO 27001 גרענעצן (ithy.com; dlapiper.com). די מאָדערנע ISMS מוז שטיצן:
- דאקומענטירטע, נאכפֿאָלגבאַרע באַגרינדונג פֿאַר יעדער גרענעץ באַשלוס (סעקטאָר, גרייס, קריטישקייט, צושטעל קייט)
- פֿאַרבונדענע באַווײַזן (קאָנטראַקטן, אָרגאַן טשאַרטס, רעגיסטערס) פֿאַר יעדער ענדערונג, האַסקאָמע און אַרויסרופן אין דעם פֿאַרנעם
- א רעקארד פון באפרייאונגען - אונטערגעשריבן דורך דירעקטארן און באשטעטיגט מיט אויסערליכע ראטגעבער וואו עס עקזיסטירט יעדע אומקלארקייט
- דעפינירטע טריגערס פֿאַר פאַרנעם איבערבליקן און פֿאַראַנטוואָרטלעכקייט אַסיינמאַנט
טיש פון דער פאַרנעם בוך: בייַשפּיל לעבעדיקע דאָקומענטאַציע
| באַשלוס / ענדערונג | יידעס - זאָגן | באַזיצער | איבערבליק ציקל | צינגל |
|---|---|---|---|---|
| אריינגיין אין א נייעם סעקטאר | פּראָטאָקאָלן פֿון דירעקטאָרן-ראַט | סיסאָ | יערלעכער/נייער סעקטאָר | נייַ קאָנטראַקט |
| דערהייַנטיקט צושטעלן קייט | סאַפּלייער רעגיסטער | ייַנשאַפונג | קוואַרטאַל/קאָנטראַקט | אָנבאָאַרדינג פון סאַפּלייער |
| באַפרייאונג (דאָקומענטירט) | אונטערגעשריבענער בריוו | העסקעם | יערלעכע/גרויסע ענדערונג | קאָנטראַקט, געשעפט ליניע |
| גרענעץ איבערבליק | ארגאניזאציע טשאַרט, ISMS | סעאָ/סי-אי-עס-אָ | אוידיט/פאר-אוידיט | M&A, גרויסער קליענט |
איר ווײַזט "געפֿעיִגקייט" נישט דורך האָפן צו אַנטלויפֿן פֿון קאָנטראָל, נאָר דורך בויען - און אַפּדייטן - אַ לעבעדיקע מאַפּע וואָס פֿאַרבינדט יעדע באַשלוס צו וועריפֿיצירבארע אַרטיפאַקץ.
מאַפּינג NIS 2, ISO 27001, און GDPR: די מאַכט פון בריק טאַבעלעס פֿאַר אָדיט-דערווייַז פארזיכערונג
די מערסט מצליחע קאמפלייענס פראגראמען קאמבינירן דיסציפלין מיט קאמוניקאציע. ברידזש טאבעלעס - לעבעדיגע דאקומענטן וואס ווייזן ווי קאנטראלן, באווייזן, און קאמפלייענס פארפליכטונגען גייען צווישן NIS 2, ISO 27001, און GDPR - זענען אין צענטער פון אוידיט-געווינענדיקע סטראטעגיעס. די טאבעלעס מאפירן, מיט פּינקטלעכקייט און טראנספארענץ:
- וואו סעקטאָר, גרייס, אָדער קאָנטראַקט רעקווייערמענץ ווערן אָפּעראַציאָנעל אין ISMS קאָנטראָלס
- ווי אינצידענט מעלדונג, באָרד אויפזיכט, אדער סאַפּליי טשיין מאַנאַגעמענט אַרבעטן אין פּראַקסיס
- וואו פּריוואַטקייט פֿאַרבינדונגען קומען צוזאַמען צווישן ראַמען (GDPR, ISO 27701, NIS 2 Art. 21)
א בעסט-פּראַקטיק בריק קען ניצן דעם פֿאָרמאַט:
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001/NIS 2/GDPR רעפערענץ |
|---|---|---|
| איבערבליק פון דער פארנעם/גרענעץ איז געהאלטן געווארן | יערלעכע/געטריגערטע ISMS איבערבליק | פּונקט 4, A.5.2, NIS 2 אַרטיקל 2 |
| דירעקטאָריום אויפזיכט און פֿאַראַנטוואָרטלעכקייט | דירעקטאָר אונטערשרייבונג, דאַשבאָרדז | קל.5, קל.9.3, A.5.4, A.5.36, NIS 2 ארט.20 |
| אינצידענט מעלדונג 24/72 שעה | שפּיל־בוך, אַרבעט־פֿלוס, לאָגס | A.5.24-25, NIS 2 ארט. 23 |
| סאַפּלייער/קאָנטראַקטואַל risk management | קאָנטראַקט אוידיט מאַפּינג | A.5.19-21, A.8.8, NIS 2 אַרטיקל 21 |
| פּריוואַטקייט/ריזיקע פֿאַרבינדונג | באַווײַזן לאָג, פּאָליטיק פּאַקס | GDPR אַרטיקל 30, ISO 27701 |
דערהייַנטיקט ברידזש טאַבעלעס ביי יעדן גרויסן געשעפט געשעעניש, און אַריינפֿירן זיי אין ברעט פּאַקס און פּאָליטיקס. דאָס ניט נאָר צוגרייט אײַך פֿאַר אָדיטס; עס הייבט קעסיידער די רעפּוטאַציע און זיכערהייט פֿון אײַער קאָנפאָרמאַנס פּראָגראַם.
מאַכן סקאָופּ קלעריטי דיין קאַמפּעטיטיוו מייַלע: ווי ISMS.online דעליווערז ברעט-גרייט באַווייַז - און שלאָפן בייַ נאַכט
באָרדרום-גרייטע קאָנפאָרמאַנס איז נישט געבויט אויף האָפענונג - אדער אויף לעצטע-מינוט טעקע איבערבליקן. עס פארלאנגט לעבעדיקע, אינטעגרירטע סיסטעמען, וואו פאַרנעם באַווייַזן, קאָנפאָרמאַנס קאָנטראָלס, און אָדיט רעקווייערמענץ זענען קעסיידער פארבונדן און דערפריש. ISMS.online איז געבויט געוואָרן מיט די פאלגענדע פאַקטן אין זינען:
- יוניפייד סקאָופּ בוך: יעדע פארנעם אפשאצונג, באפרייאונג פארלאנג, און טריגער געשעעניש רעגיסטרירט, ווערסיעד, און פארבונדן צו באווייזן.
- בריק טישן: גרייטע מאַפּינג אַריבער NIS 2, ISO 27001, GDPR/ISO 27701 פֿאַר יעדער רעגולאַטאָרישער פֿאַרפֿליכטונג און אינערלעכער קאָנטראָל.
- רעאַל-צייט סקאָופּ דאַשבאָרד: טראַקט קאָנטראַקטן, סאַפּלייער ענדערונגען, פאַרנעם-טשאַלאַנדזש טריגערס, און אָפּעראַציאָנעלן קאָנטעקסט פֿאַר די באָרד און אָדיט לידז.
- אויטאָמאַטישער אַרבעטספֿלוס: נייַער סעקטאָר, הויפּט קליענט, אָדער ענדערונג אין צושטעל קייט? דער ISMS.online וואָרקפלאָו שטופּט די גרענעץ פון איבערבליקן, באַווייזן פֿאַרבינדונג, און פאַרוואַלטונג איבערבליק צוגרייטונג.
פאר קאמפלייענס קיקסטארטערס און פארגעשריטענע ריזיקע טימס גלייך, דאס פארוואנדלט סטרעס אין בטחון; פאר באארדס, דאס פארמאכט די "טראסט גאפ" וואס האלט ריזיקע קאמיטעטן אויף ביינאכט. אויב איר זענט נישט זיכער וועגן אייער אין-סקאופ סטאטוס - אדער ווילט אויפדעקן באהאלטענע חובות איידער א קונה אדער רעגולאטאר טוט דאס - בעט א גלייַכגילטיקע איבערבליק, אדער דאונלאוד ISMS.online'ס לעצטע סקאופ-מאפינג טעמפלעיטס צו דערקענען גאפעס פרי.
די צוקונפט פון NIS 2 קאמפלייענס איז לעבעדיג, טרעיסבאר, און גרייט פארן ברעט. מאכט אייער סקאופ לאגיק טון מער ווי נאר אפטשעקן קעסטלעך - מאכט עס א שילד, א וואוקס הייבער, און א סיגנאל פון צוטרוי פאר יעדן שטייער-האלטער.
אָפֿט געשטעלטע פֿראגן
ווער באַשליסט צי NIS 2 איז אָנווענדלעך צו אייער געשעפט - און וואָס מיינט טאַקע "אין די פאַרנעם"?
NIS 2 פארנעם ווערט באשטימט דורך א געמיש פון אייראפעאישן געזעץ, ספעציפישע סעקטאר ליסטינגס, פירמע גרייס, און נאציאנאלע אויטאריטעט מאכט, אזוי איז עס קיינמאל נישט נאר א קעסטל-אפצייכענען געניטונג אדער א פשוטע קאפ-ציילונג. אויב אייער ביזנעס געהערט צו א סעקטאר וואס איז ליסטירט אין אנעקס I (קריטיש - ווי ענערגיע, געזונט, דיגיטאלע אינפראסטרוקטור ) אדער אנעקס II (וויכטיג - ווי מאנופעקטשורינג, עסן, פאסט, דיגיטאלע פראוויידערס), און איר זענט כאטש א "מיטל-גרייס" אונטערנעמונג (≥50 שטאב אדער €10 מיליאן איבערקער אדער באלאנס בויגן), זענט איר בכלל אריינגערעכנט דורך פעליקייט. אבער דער רעאל-וועלט ריזיקע טעסט גייט ווייטער: אפילו קלענערע פירמעס קענען ווערן אריינגעכאפט אויב זיי זענען איינציקע סופלייערס, צושטעלן אייגנארטיגע סערוויסעס, אדער שטיצן וויכטיגע פונקציעס פאר דער געזעלשאפט אדער סופליי קייטן. אויטאריטעטן קענען באצייכענען יעדע ענטיטי "וויכטיג" אדער "וויכטיג" לויטן מארק קאנטעקסט, מאכנדיג פארנעם א לעבעדיגע, באוועגלעכע ציל אנשטאט א סטאטישן סטאטוס.
איין גרויסער קליענט, נייער סערוויס, אדער סעקטאָר קאָנטראַקט קען ענדערן אייער NIS 2 סטאַטוס איבער נאַכט - דער פאַרנעם איז נישט קיין לייבל, עס איז אַ לעבעדיקער פּערימעטער.
וואָס זאָלט איר דאָקומענטירן?
- א ראָולינג רעקאָרד ("סקאָופּ טאַבעלע") וואָס מאַפּט יעדע לעגאַלע ענטיטי, סעקטאָר, עמפּלויי צאָל און וועקסל.
- געשריבענע באַגרינדונג פֿאַר יעדער אינקלוזיע, אויסשליסונג, אָדער באַפרייאונג, איבערגעקוקט קוואַרטאַל אָדער נאָך געשעפט ענדערונגען.
- אונטערגעשריבענע באָרד-לעוועל אָפּשאַצונג לאָגס פֿאַר יעדן אָפּשאַצונג אָדער פאַרנעם-טריגערינג געשעעניש.
- גרייטקייט צו לאָגין יעדן נייעם קאָנטראַקט, סאַפּליי טשיין אָפּמאַך, אָדער סעקטאָר ענדערונג וואָס קען צווינגען אייער פירמע אין דעם פאַרנעם.
זענען דא עכטע אויסנעמען, אדער קענען קליינע טאכטער-קאמפאניס און מיקרא-געשעפטן סיי ווי געכאפט ווערן?
עס עקזיסטירן אויסנעמען - אבער זיי זענען נישט קיין אבסאלוטע שילדן. די NIS 2 טעסט יעדע ענטיטי פאר זיך, נישט נאר די גאנצע גרופע. קליינע טאכטער-קאמפאניעס אדער מיקרא-געשעפטן אנטלויפן פון דעם פארמעגן נאר אויב זיי אפערירן זעלבשטענדיג און צושטעלן נישט סערוויסעס וואס ווערן געהאלטן קריטיש פאר דער געזעלשאפט, צושטעל, אדער דיגיטאלע אינפראסטרוקטור. אויב אייער לאקאלע ענטיטי איז דער איינציגער רעגיאנאלער פראוויידער, קאנטראלירט סענסיטיווע דאטן אין גרויסן פארנעם, אדער האט מאטעריעלע פארבינדונגען צו א גרעסערע גרופע (למשל, געטיילטע IT אדער מענעדזשמענט), קענען אוידיטארן אדער רעגולאטארן איבערשרייבן א פשוטע צעשיידונג און אייך אריינברענגען. נאציאנאלע אויטאריטעטן באצייכענען אפט "קליינע" פירמעס אלס "וויכטיגע ענטיטיס" אויב זיי שפילן א באזונדערע ראלע אין דער עקאנאמיע אדער שטיצן קריטישע אפעראציעס (Advisense, 2024).
קליין גאַראַנטירט נישט זיכערקייט-זעלבשטענדיקייט און מאַנגל פון קריטישקייט מוז זיין באַוויזן, נישט אנגענומען.
וואָס וועט איר דאַרפֿן צו באַווייַזן אַ באַפֿרײַונג?
- עכטע צעשיידונג פון קאנטראקטן, איי-טי, HR, און מענעדזשמענט (נישט נאר אויף פאפיר - קיין געטיילטע לאגיןס אדער סיסטעמען).
- אימפּאַקט אַנאַליז ווייַזט מינימאַל סעקטאָר/קהילה ריזיקע אויב עס ווערט געשטערט.
- אַרויף-צו-דאַטע לאָגס און קאָרעספּאָנדענץ מיט רעגולאַטאָרן וועגן באַפרייַונג סטאַטוס און גרופּע סטרוקטור.
וואָסערע NIS 2 דאָקומענטאַציע און טראַקינג ווילן אוידיטאָרן טאַקע פֿאַר זייער פֿאַרנעם?
אוידיטאָרן און רעגולאַטאָרן ערוואַרטן אַ לעבעדיקן, וועריפיצירבארן "סקאָופּ בוך" - אַ סיסטעם אָדער דאָסיע וואָס פֿאַרבינדט יעדן סקופּ באַשלוס מיט קלאָרע באַווײַזן און קלאָרע פֿאַראַנטוואָרטלעכקייט.
- ענטיטי מאַפּינג: ליסט אלע אין-סקאפע און אויסער-סקאפע ענטיטיס, זייערע ראלעס, גרייס מעטריקס, און סעקטאר קאודס (אנעקס I/II רעפערענצן).
- געשעעניש טריגערז: רעקאָרדירט יעדן קאָנטראַקט, אַקוויזיציע, אָדער סערוויס ענדערונג וואָס באַוועגט אַן ענטיטי אַרײַן אָדער אַרויס פון זײַן פאַרנעם, צוזאַמען מיט באָרד אַפּרווואַלז און לאָגס.
- באַפרייאונג לאָגיק: האַלט באַפרייאונג אַנאַליזעס, אונטערגעשריבן דורך ביידע פאַרוואַלטונג און (אויב באַטייַטיק) לעגאַל אַדוואָקאַט, צוטריטלעך און ווערסיע-קאָנטראָלירט.
- אייגנטומערשאפט און ציקלען: באַשטימען אַ "סקאָופּ באַזיצער"; רעקאָרדירן אָפּשאַצונג דאַטעס, ספּעציעל נאָך געשעפט ענדערונגען, און שפּורן ווער אונטערשרייבט.
רובֿ אָרגאַניזאַציעס געפֿינען אַז פּשוטע סטאַטישע טעקעס אָדער איין מאָל אַ יאָר איבערבליקן ווערן חרובֿ בעת אַ אָדיט. עכטע אָדיט ווידערשטאַנד קומט פֿון פּלאַטפאָרמעס ווי ISMS.online וואָס אָטאַמייטן מאַפּינג, ווערסיע טראַקינג און לאָג דערהייַנטיקונגען - פֿאַרבינדן יעדן קאָנטראַקט און סעקטאָר באַוועגונג צו קראַנט קאָנטראָלס און עווידענס ריפּאַזאַטאָריז (גאַוס בלאָג, 2024).
טאַבעלע פֿאַר פֿאַרנעם פֿון געשעענישן
| צינגל | פארלאנגט דערהייַנטיקן | יידעס - זאָגן |
|---|---|---|
| אײַנגעטרעטן נײַער סעקטאָר | ענטיטי איבערגעמאַפּט | ארגאניזאציע טשאַרט, דירעקטאָרן-ראַט פּראָטאָקאָלן |
| נײַער קריטישער קאָנטראַקט | צושטעל איבערבליק אויפגעהויבן | אונטערגעשריבענער קאנטראקט, SoA מאפע |
| גרופע רעסטרוקטורירן | פֿאַרנעם איבערבליק/אַפּדייט | לעגאַלע/ענדערונג באַגרינדונג |
| באַפרייאונג פאָדערונג | באַפרייאונג לאָג דערהייַנטיקונג | רעגולאַטאָר בריוו, לאָג |
אויב אייער קונה איז אין די ראַם פֿאַר NIS 2, ווי ווייט גייען די פֿאַרפֿליכטונגען אַראָפּ צו אייער געשעפֿט?
NIS 2 שאַפט אַ שטאַרקן צושטעל-קייט ווירקונג - אויב אייער קויפער איז אין דעם פאַרנעם, וועט איר אויך דאַרפֿן זיך צופּאַסן ווי אַ סאַפּלייער. אפילו אויב איר זענט נישט פֿאָרמעל באַשטימט דורך געזעץ, קאָנטראַקטן איצט רוטינמעסיק פאָדערן קאַרטירטע קאָנטראָלן , שנעלע אינצידענט מעלדונג (אין 24 אָדער 72 שעה), און אַרויף-צו-דאַטע זיכערהייט לאָגס (וואָס פּאַסן צו NIS 2 לעוועלס), אָדער איר ריזיקירן צו ווערן אַרויסגעוואָרפן פֿון טענדערס אָדער צושטעל-קייטן. דאָס איז נישט טעאָריע: פילע קאַסטאַמערז בלאָקירן שוין קאָנטראַקטן אויב סאַפּלייערז קענען נישט באַווייַזן אַליינמאַנט אָדער רעאַגירן צו נייַע ריזיקאָ טריגערז. אין פּראַקטיק, די אַוועק פון קאַרטירטע קאָנטראָלן, קלאָרע פּאָליטיק סאַגדזשעסטשאַנז, אָדער רעספּאָנסיוו באַווייַזן איז די גרעסטע שטערונג צו געווינען (אָדער האַלטן) רעגולירט געשעפט.
א פארלאנג פאר געמאפטע קאנטראלס אדער לעבעדיגע באווייזן איז נישט נאר א פאפירן פארלאנג - דאס איז אייער רעאל-וועלט NIS 2 טשעקפונקט.
ווי אזוי קענט איר מקיים זיין די דאזיקע פארלאנג?
- בויען אַ סאַפּלייער קאַמפּליאַנס גריד פארבונדן מיט NIS 2, אייערע קאָנטראַקט קלאָזולעס, און באַטייַטיק זיכערהייט סטאַנדאַרדן.
- האַלטן פּאָליטיק דערקענטענישן און אינצידענט לאָגס גרייט צו עקספּאָרטירן (נישט נאָר אין פאַל - גיי אויס פון דעם אַז אַ קויפער וועט פרעגן).
- קוקט איבער יעדן קאנטראקט פאר "פארנעם טריגערס" - זיכערט אז אייערע לעגאלע און ריזיקע טימס פארשטייען ווען אייערע פארפליכטונגען פארברייטערן זיך שטילערהייט.
ווי אזוי פארבינדט מען NIS 2 טריגערס צו ISO 27001 און GDPR - אזוי אז אייער פארנעם (און אויסשליסונגען) זאלן טאקע אויסהאלטן אן אוידיט?
איר וועט דאַרפֿן שטאַרקע "בריק טאַבעלעס" וואָס קראָס-רעפֿערענצן יעדן פֿאַרנעם געשעעניש-סעקטאָר פֿאַרשייבונג, קאָנטראַקט, סאַפּליי טשיין ענדערונג, באַפֿרײַונג - צו די ספּעציפֿישע קאָנטראָלן אין ISO 27001 (אָדער SoA) און GDPR. פֿאַר יעדער ענדערונג אָדער פֿאָדערונג:
- מאַפּירט דעם סקאָופּ טריגער צו אייערע ISMS קאָנטראָלס (למשל, צוגאב פון סאַפּלייער → A.5.19/A.5.21; גרופּע רעאָרגאַניזאַציע → פּונקט 4, A.5.2).
- אויב דאַטן שוץ איז ינוואַלווד, לאָגט אויך דעם GDPR אַרטיקל (למשל, אַרט. 32 פֿאַר זיכערהייט, אַרט. 30 פֿאַר פּראַסעסינג רעקאָרדס).
- האַלט די מאַפּינגס לעבעדיק און גרייט צו עקספּאָרטירן - מאָדערנע אָדיטאָרס דערוואַרטן דעמאָנסטרירבאַרע טראַסעאַביליטי, נישט נאָר סטאַטישע SoA (ISMS.online אויטאָמאַטיזירט דעם קראָס-סטאַנדאַרט בריק, נישט קיין חילוק ווי קאָמפּלעקס אייער צושטעל וועב ווערט ([Bird & Bird, 2024]).]
מיני בריק/טרייסאַביליטי מיינונג
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | דערמאָנען |
|---|---|---|
| אָפּמאַך אָפּשאַצונג | ריזיקע/SoA מאַפּע, ברעט צייכן | ISO 27001 A.5.2, A.5.19 |
| סאַפּלייער מאַפּינג | סאַפּלייער ריזיקאָ פּראָצעס | A.5.19, A.5.21, GDPR 32 |
| באַפרייאונג לאָג | פאַרנעם בוך, לאָג, אונטערשרייבונג | A.5.4, A.5.36, NIS 2 |
וואָס פּאַסירט אויב איר מאַכט NIS 2 סקאָופּ פאַלש - אָדער באַהאַנדלט קאָנפאָרמאַנס ווי אַ איין מאָל אַ יאָר ליסטע?
סטאַטישע, יערלעך-בלויז פאַרוואַלטונג איז דער שנעלסטער וועג צו רעגולאַטאָרישע קנסות (ביז €10 מיליאָן אָדער 2% וועקסל) און עפנטלעכע נאַמינג. אָדיטאָרס און אויטאָריטעטן דערוואַרטן איצט לעבעדיקע, שפּורבאַרע באַווייַזן:
- פאַרנעם איבערבליקן נאָך יעדן נייעם קאָנטראַקט, סאַפּליי טשיין ענדערונג, אָדער גרופּע ריסטראַקטשער
- קלאָרע ליסטע פון אייגענטימער פֿאַר יעדער באַפרייאונג אָדער איינשליסונג, מיט באַווייַז פון צייטיקע איבערבליק
- צייטשטעמפלען און אונטערגעשריבענע לאגס פאר יעדן הויפט געשעעניש, נישט נאר יערליכע ציקלען
פּלאַטפאָרמעס ווי ISMS.online פֿאַרוואַנדלען קאָנפאָרמאַנס פֿון אַ יערלעכן קאָפּווייטיק אין אַ וואוקס אַסעט: אָטאָמאַטיזירן סקאָופּ טשעקס, לעבן קאָנטראָל-לינקינג, און באַווייַז עקספּאָרטן פֿאַר אָדיטאָרס, קליענטן, אָדער עקסעקוטיוון. אַנשטאָט מורא צו האָבן פֿאַר רעגולאַטאָר פּאָסט, וועט איר זיין גרייט פֿאַר יעדער אַרויסרוף (Skadden, 2024).
רעגולאַטאָרן און אוידיטאָרן ווילן רעאַל-צייט באַווייזן פון ווער עס האָט געמאַכט דעם רוף, פאַרוואָס עס האָט זיך געביטן, און אַ באַווייז אַז עס ווערט אַקטיוו געראטן - סטאַטישע טשעקליסטן וועלן נישט גענוג.
"לעבעדיקע" קאמפלייענס עסענטיעלס
- די סקאָופּ בוך איז איבערגעקוקט נאָך יעדן מאַטעריאַלן טריגער, נישט נאָר ביים סוף פֿון יאָר.
- דינאַמישער לאָג און אייגנטימער רשימה פֿאַר אינקלוזשאַנז/באַפֿרײַונגען.
- סימולירטע אוידיט "טשאַלאַנדזשעז" - פּרובירט די טרעיסאַביליטי פון אייער סיסטעם איידער דער עכטער אוידיטאָר רופט.
ווי אזוי מאכט ISMS.online NIS 2 סקאָופּ מאַנאַגעמענט און אָדיט-גרייט קאַמפּליאַנס אָן קיין רייבונגען?
ISMS.online גיט אייך אן אינטעראקטיוון, ווערסיע-געמאסטן "סקאָפּ קאַקפּיט":
- יוניפייד סקאָופּ בוך: גלייך מאַפּירן און דערהייַנטיקן סקאָופּ טריגערז, געשעענישן און באריכטן אַריבער אַלע ענטיטיז, סעקטאָרן און קאָנטראַקטן.
- בריק טישן און באווייז לאגס: רעאַל-צייט פֿאַרבינדונגען צווישן NIS 2, ISO 27001, GDPR, און יעדן פֿאַרנעם געשעעניש - יעדע באַשלוס איז געבונדן צו אַן אָדיטאַבלער קאָנטראָל מיט קלאָרער אָונערשיפּ.
- אויטאָמאַטישע באריכטן און דערמאָנונגען: נאָטיפיקאַציע און וואָרקפלאָו מכשירים האַלטן טימז און אָונערז אויף די ריכטיקע שפּור נאָך יעדער מאַטעריאַל ענדערונג.
- עקספּאָרט-גרייט: דזשענערירן אוידיט פּאַקס אדער בריק טישן פֿאַר באָרד, קליענט, אדער רעגולאַטאָר אָפּשאַצונג-פאַרוואַנדלען די פאַרנעם פון אַ רעאַקטיוו קאָסטן אין סטראַטעגיש לעווערידזש.
פאַרוואַלטן די סקאָופּ איז ניט מער נאָר אַ קאָפּווייטיק אין העסקעם מיט קאָנפאָרמאַנס - עס איז אייער אָרגאַניזאַציעס מייַלע אין רעגולירטע מאַרקן. זעט ווי לעבן אין קאָנפאָרמאַנס פילט זיך: הייבט אָן מיט אַ שנעלער סקאָופּ מאַפּינג סעסיע, אָדער לאָזט אייער מאַנשאַפֿט פּרובירן אַ טעמפּלאַט אין ISMS.online. אייער ווייַטער אויספאָרשונג דאַרף ניט זיין קיין פייער דריל; עס קען זיין אַ באַווייַז פון אייער ווידערשטאַנד.
