ווען ווערט אַן אינצידענט "איבערגרענעץ" אונטער NIS 2 - און וואָס מיינט דאָס פֿאַר אייער דירעקטאָריום און טימז?
ווען סייבער געשעענישן איגנארירן גרענעצן, פארמערן זיך אייערע פליכטן – אפט שנעלער ווי אייערע טימז אדער סיסטעמען זענען גרייט דערפאר. אונטער NIS 2, איז "איבערגרענעץ" נישט קיין וואגע סכנה וואס מען דארף נאכיאגן נאכדעם. עס איז א טריגער וואס באוועגט אייך פון א נאציאנאלע "געשעפט ווי געווענליך" צו א מולטי-שטאט, רעגולאטאר-אויסגעפארשטע סיטואציע, וואו יעדע אייערע טריט – אפשאצונג, לאג איינטראג, און מעלדונגען – מוז אויסהאלטן א פארענסישע איבערבליק פון פארשידענע אויטאריטעטן. צי איר זענט א קאמפלייענס פירער וואס פרובירט דורכצושניידן דעם גערויש, א CISO וואס מאַפּט ריזיקע עסקאלאציע קייטן, אדער א פראיעקט מענעדזשער וואס איז פאראנטווארטלעך פאר צייט-צו-אוידיט, קלארקייט הייבט זיך דא אן.
אין דעם מאָמענט איר כאָשעד אַז אַ סייבער אינצידענט קען השפּעה האָבן אויף מער ווי איין אי.יו. לאַנד, אַרבעט איר מער נישט אין די זיכערקייט פון די היגע כּללים.
דעקאָדירן שכנות: ווען דערגרייכט "באַדייטנדיקער השפּעה" אַריבער די גרענעצן?
די שפּראַך פֿון NIS 2 איז קלאָר: אַן אינצידענט איז "איבערגרענעץ" אין דעם מאָמענט ווען אַ גלייבווערדיקער ריזיקע עקזיסטירט מיט אַ באַדייטנדיקן אימפּאַקט אין לפּחות צוויי מיטגליד שטאַטן - נישט נאָר ווען איר באַשטעטיקט דעם גאַנצן שאָדן. אויב אייערע קליענטן, דאַטן, אָדער וואָלקן אינפֿראַסטרוקטור אַרבעטן איבער דער אי.יו. , מוזט איר אָננעמען אַז עס איז איבערגרענעץ ביז עס ווערט באַוויזן אַנדערש (ENISA 2024). פֿרי אַסעסמענט און מעלדונגען זענען נישט לוקסוסן - זיי זענען יסודותדיקע דעפענסיווע טריט.
- מעגלעכע ווירקונג כּללים: אפילו אויב נאָר די *געפאַר* פון שפּיל-אָוווער עקזיסטירט (טראַכט וועגן אַ געקראַקטע SaaS פּאַראָל דאַטאַבאַזע גענוצט דורך פֿראַנצייזישע, דײַטשע און אירישע באַניצער), דערוואַרטן רעגולאַטאָרן אַז איר זאָלט טראַכטן אַריבער די גרענעץ פֿון אָנהייב.
- סעקטאָר אָוווערלייגס: אויב אַ בריטש אפילו אַ ביסל רירט אָן NIS "עסענציעלע" אָדער "וויכטיגע" סעקטאָרן (פינאַנץ, געזונט, דיגיטאַלע אינפראַ), איז אייער גרענעץ-איבערשרייטנדיקער שוועל נידעריקער - סעקטאָר-ספּעציפֿיש פּאַראַלעלע באַריכטן קען ווערן אַקטיוויירט (אייראָפּעיִשער פּאַרלאַמענט, פֿילדפֿישער).
מאַפּינג פאַקטאָרן: ווי "אינטערנאַציאָנאַל" איז דיין סטעק?
עטלעכע אָרגאַניזאַציעס פאַרשטיין ערשט צו שפּעט אַז זייער "הויפּטקוואַרטיר-באַזירט" סטעק איז, לויט פּלאַן, פּאַן-אייראָפּעיִש.
- וואָלקן און SaaS: האָסטינג, לאָגין, פּראַסעסינג, אָדער ריזיליאַנס ראַוטעד אַריבער אי.יו. שטאַטן? דאָס איז אַריבער די גרענעץ דורך דיפאָלט.
- געטיילטע אינפראַסטרוקטור: אפילו א לאקאלע אויספאל קען שטארק פאראורזאכן אויב אייערע סופלייערס, פעיראל, אדער ריזיקע אפליקאציעס באדינען מער ווי איין שטאַט.
- קונה געאגראפיע: פֿראַנקרייַך, פּוילן און שפּאַניע קענען אַלע ווערן "סערוויסט" דורך אייער פלאַגשיפּ מאַנשאַפֿט אין דובלין. אַן אירישער אינצידענט קען שנעל שאַפֿן פֿראַנצייזישע אָדער שפּאַנישע באַריכטן.
מאַפּע פון צושטעל קייט און סיסטעם אָפּהענגיקייט ביימער - איידער, נישט נאָך, דעם אינצידענט.
באָרד און לעגאַל: די סטייקס אין קראָס-גרענעץ
א גרענעץ-איבערשרייטנדיקער אינצידענט ברענגט נישט נאר מער פאפירן, נאר אויך שאַרפערע לעגאַלע, רעגולאַטאָרישע און רעפּוטאַציע ריזיקעס. אויב מען פאַרפעלט צו אידענטיפיצירן אדער מען פיילד שפּעט אַ נאָטיץ, קענען דירעקטאָרן-ראַטן איצט שטייען פאר קנסות אויף רעזשים-לעוועל, דירעקטיוו-באַזירטע פּערזענלעכע פֿאַראַנטוואָרטלעכקייט, פאַרוואַלטונגס-פֿאַראַנטוואָרטלעכקייט, און עפנטלעכע נעמען אין רעגולאַטאָר-סאַמעריז (זעה ENISA, 2024). אינצידענטן אין פֿאַרשידענע לענדער צווינגען קאָאָרדינירטע לעגאַלע, טעכנישע און דירעקטאָרן-לעוועל שפּיל-ביכער.
א שנעלע מסקנא: יעדער אוידיט און נאך-אינצידענט איבערבליק וועט עווענטועל פרעגן, האט איר דאס באהאנדלט ווי א גרעניץ-איבערשרייטנדיקע זאך שנעל גענוג? קענט איר דאס באווייזן? אויב נישט, ווערט אייער קרעדיביליטעט - אינערליך און מיט רעגולאטארן - אונטערגעגראבן אויף לאנגע טערמין.
ספר אַ דעמאָרעגולאַטאָר נאָוטאַפאַקיישאַנז: ווי קען מען באַשטימען ווער באַקומט די וואָרענונג ווען מען גייט אַריבער די גרענעצן?
אזוי שנעל ווי מען פארדעכטיגט אפילו אז מען קען זיך פארדעכטיגן מיט גרעניץ, איז מעלדונגען שוין נישט קיין לאקאלע אויפגאבע. NIS 2 הייבט אן: איר מוזט אידענטיפיצירן און אריינשיקן צו יעדער נאציאנאלער קאמפעטענטער אויטאריטעט, סעקטאראלער CSIRT, און ספעציאליזירטער רעגולאציעס-איבערלעגונג (פריוואטקייט, פינאנץ, געזונט) פאר יעדן באטראפענעם מיטגליד-שטאט, מאנchmal גלייכצייטיג.
מעלדן נאָר אייער היים רעגולאַטאָר איז ווי פֿאַרשליסן איין טיר בשעת לאָזן אַלע אַנדערע ברייט אָפֿן.
טאַבעלע: מעלדונג טרעיסאַביליטי - פֿון טריגער ביז באַווייַז
דאָ איז ווי אַזוי צו איבערזעצן אַ לעבעדיקן אינצידענט אין ספּעציפֿישע רעגולאַטאָר אַקציעס, פֿאַרבינדן אָפּעראַציאָנעלע טריגערס צו קאָנטראָל סטאַנדאַרדן און באַווייַזן וואָס איר וועט דאַרפֿן פֿאַר ביידע אוידיט און רעאַל-צייט רעאַקציע.
| טריגער בייַשפּיל | ווער מוז ווערן געווארנט | אַנעקס א / ISO 27001 רעפ. | עווידענסע פארלאנגט |
|---|---|---|---|
| קלאָוד כאַק (פֿראַנקרײַך, דײַטשלאַנד, האָלאַנד באַניצער) | פראַנקרייַך, דײַטשלאַנד, האָלאַנד NIS אויטאָריטעטן; סעקטאָר CSIRTs | א.5.19, א.5.25, א.5.31 | אימעילס, לאָגס, SoA קראָס-לינק |
| געזונט PII עקספילטראַציע (AT, PL) | ביי NIS, PL DPA, סעקטאָר CSIRTs | א.5.34, א.5.27 | מעלדונג לאָג, קייט-פון-קאַסטאָדי |
| צושטעל קייט בריטש (BE, UK) | BE NIS, UK ICO (נאך ברעקסיט), צושטעלן CSIRTs | א.5.19, א.5.31, א.8.13 | אריינשיקונג קוויטלעך, צוגאבן |
שליסל אפעראציאנעלע איינזיכט : פאר יעדן לאנד אדער סעקטאר, לאגירט אריין ווער איז געווארן געווארנט, אין וועלכער צייט, און דורך וועלכע מעטאד - פארגלייכט די ענטפערס, און לאגירט יעדן שטיקל באווייז צענטראל.
מולטי-שטאַט, מולטי-סעקטאָר, מולטי-שיכט: נישט קיין מיטאָס
- סעקטאָר אָוווערלייגס: פינאַנציעלע, דיגיטאַלע, אָדער געזונט סעקטאָראַלע אויטאָריטעטן וועלן פארלאנגען אָנזאָג רוטעס אומאָפּהענגיק פון קאָר NIS פיילינגז.
- פּריוואַטקייט אָוווערלייגס: יעדער פערזענלעכער דאטן בריטש באדעקט א GDPR/DPA ציקל, אין צוגאב צו NIS.
- "הויפּט־אינסטיטוציע" איזאָלירט *נישט* פֿון נאַציאָנאַלע פֿאַרפֿליכטונגען: דייטשלאנד אדער פראנקרייך קענען און וועלן פארלאנגען לאקאלע נאטיצן, אין דער נאציאנאלער שפראך, מיט נאציאנאלע טעמפלעיטס. איין קאנטאקט פונקט (SPoC) ערמעגליכט אייך צו קאארדינירן, נישט זיך אפצומעלדן.
איין-צייט נאטיפיקאציע איז נאר גילטיק וואו לאקאלע געזעץ, סעקטאר, און NIS אויטאריטעט ערלויבן אלע אויסדריקליך פארבינדונג דורך די SPoC.
אוידיט-גרייטקייט: די לאגס וואס זענען וויכטיג
- נישט נאָר וואָס איר האָט אַרײַנגעגעבן - נאָר ווער, ווען, פאַרוואָס, און אין וועלכער סדר.
- NIS 2 ערוואַרט אַ דיסציפּלין פון באַווײַזן: צענטראַלע לאָג, צײַטשטעמפּל, עקספּרעס קוויטל, און נאָכפֿאָלגנדיקע קאָמוניקאַציע זיצן אַלע אין אײַער "באַווײַז קייט" (זע ISACA, 2023).
- פֿאַר EEA/UK: מאַפּע און לאָג וואו UK ICO, איריש DPC, אָדער נאַציאָנאַל DPA איז ינוואַלווד, ספּעציעל נאָך ברעקסיט אָדער אין מולטי-רעזידענץ וואָלקן האָסטינג.
וויזואַליזירן דעם אָנזאָג ציקל (מיני-סצענאַר)
שטעלט זיך פאר "קלער," קאמפלייענס מענעדזשער ביי א SaaS פירמע מיט באנוצער אין אירלאנד און בעלגיע. נאך א פראנצויזישן קלאוד קלאסטער בריטש, זי:
- אידענטיפיצירט IE און BE CSIRTs, פּלוס פראנצויזישע NIS אויטאָריטעט.
- מעלדט אַלע דריי, לויטן מעטאָד (אייראָפּע פּאָרטאַל, בעלגיע אימעיל, פֿראַנקרײַך טעלעפֿאָן).
- קראָס-לאָגס יעדע אָנזאָג אין די ISMS רעגיסטער - באַווייז, באַשטעטיקונג, ענטפער.
- דאָקומענטן פארוואס יעדער רעגולאַטאָר האָט באַקומען וואָס, ווען, און אין וועלכן פֿאָרמאַט.
אפעראציאנעלע עצה : לאָזט קיינמאָל נישט "נאָר היים רעגולאַטאָר" געדאַנקען פירן נאָטיפיקאַציע מאַפּינג. דערגרייכן יעדן לאַנד'ס שוועל איז גרייטקייט, נישט איבער-רעפּאָרטינג.
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
איין אינצידענט, קייפל באריכטן: פארוואס דער "איינציקער איינרייכונג" מיטאס פאלט דורך אין פראקטיק
עס איז פארלעקעריש - ספעציעל פאר מאנאטע, שנעל-באוועגלעכע טימז - צו זוכן א "איין-סטאפּ שאָפּ" וואָס דעקט אַלע גרענעץ-איבערשרייטנדיקע באריכטן אויף איין מאָל. אָפּעראַציאָנעלע רעאַליטעט: אפילו וואו NIS 2 אדער לאקאלע געזעץ צושטעלן פאר א פארשטארקטע סאַבמישאַן אדער אן איינציקן קאָנטאַקט פונקט (SPoC), לאקאלע אויטאריטעטן (און זייערע סעקטאָראַלע קאָלעגן) כמעט שטענדיק פארלאנגען זייער אייגענע מעלדונג, אין זייער אייגענעם פֿאָרמאַט, און אָפט אין דער לאקאלער שפּראַך.
גרענעץ-איבערשרייטנדיקע הארמאניזאציע איז די ציל פון דער דירעקטיווע; צוטיילטע דאקומענטן זענען איר לעבעדיקע רעאליטעט.
"הויפּט עסטאַבלישמענט" קעגן נאַציאָנאַלע פאָדערונגען - ווער איז דער אייגענטומער פון דער דאָקומענטאַציע?
פֿאַר אינצידענטן וואָס זענען באמת איינגעזונדערט צו אַן איינציק לאַנד, זאָל לאָקאַלע מעלדונג זיין גענוג. אָבער יעדע געשעעניש וואָס רירט אָן סיסטעמען, דאַטן, אָדער קאַסטאַמערז אין קייפל שטאַטן (אָדער רעגולירטע סעקטאָרן) טריגערט גלייך אַ פּראָצעס מיט קייפל שפּורן:
- הויפּט־אינסטיטוציע: קאָאָרדינאַטן, אָבער נאַציאָנאַלע אויטאָריטעטן פאָדערן דירעקטע און צייטיקע אָנזאָג.
- שפּראַכן און טעמפּלאַטן זענען אַנדערש: פֿראַנקרײַך, דײַטשלאַנד און פּוילן קענען פֿאָדערן פּאַראַלעלע פֿאָרמען, אין לאַנד-געבוירענער פֿאָרמולירונג, דורך פֿאַרשידענע פּאָרטאַלן (CMS געזעץ 2023).
- סעקטאָרן לייגן איבער נייע פֿאַרפֿליכטונגען: פינאַנץ, געזונט, לאָגיסטיק, וואָלקן, און ענערגיע קענען אָנשטאַפּלען סעקטאָר-ספּעציפֿישע טערמינען אָדער אינהאַלט מאַנדאַטן איבער די NIS באַזע שיכט, ספּעציעל ווי DORA, AI אקט, און ריספּעקטיוו לאַנד סעקטאָראַלע כּללים ווערן דורכפירבאר.
טריגערינג פּאַראַלעל רעפּאָרטינג
ווען ווערן פּאַראַלעלע באַריכטן פארלאנגט?
- אויב דער אינצידענט קען מעגלעך אַפעקטירן באַניצער, אַסעץ, אָדער קאַסטאַמערז אין קייפל אי.יו. מיטגליד שטאַטן.
- אויב קיין "וויכטיגע" (אנעקס 2) סעקטאר איז באטראפן אין מער ווי איין לאנד.
- אויב לאקאלע געזעץ אדער רעגולאטאר אינסיסטירט אויף א באזונדערע צייט-ליניע (12 שעה, 24 שעה, 72 שעה זענען אלע גילטיק אין פראקטיק).
- אויב אייער וואָלקן, SaaS, אדער HR/פֿינאַנץ אינפֿראַסטרוקטור איז פֿאַרשפּרייט - יעדעס לאַנד מיט באַזונדערע קאָנטראַקטואַלע (און דעריבער באַריכטגעבונג) פֿאַרפֿליכטונגען.
פּאַראַלעלע באריכטן איז נישט דופּליקאַציע - דאָס איז דער איינציקער אוידיט-באַווייַזנדיקער וועג צו פֿאַרמאַכן באַווייַז-לעכער.
פּערסאָנאַ-סצענאַר: מולטי-רעפּאָרטינג אין אַקציע
שטעלט זיך פאר "פרייאַ," איי-טי פירערין פאר א האלענדיש-פוילישע לאגיסטיק SaaS, שטייט פאר א קרעדענשאַל ליעק וואס רירט דאטן צענטערס אין האלאנד און פלאניע, מיט געזונטהייט סעקטאר אינטעגראציעס. זי מוז:
- פיילן צו NL NIS און סעקטאָר CSIRT, אין האָלענדיש, אין 24 שעה.
- גלייכצייטיג פיילן צו פוילישע פינאנץ/געזונטהייט סעקטאר NIS און פריוואטקייט רעגולאטארן, אין פויליש.
- דאָקומענטירן אַלע-צייט, באַווייזן, רעגולאַטאָר רעאַקציע קייטן - אין אַ צענטראלן, אוידיט-פארשפארטן רעגיסטער.
- פעלד נאכפאלג פֿראַגעס אין פֿאַרשידענע שפּראַכן און באַווייַז סטאַנדאַרדס פֿאַר יעדער אויטאָריטעט.
רעזולטאַט: אמתע "איינציקע באריכטן" אַרבעט נאָר אויב אַלע רעגולאַטאָרן אין דעם פאַרנעם זענען עקספּליציט מסכים און פאַרעפֿנטלעכן געמיינזאַמע פּראָטאָקאָלן; ביז דעמאָלט, מוזט איר דערוואַרטן און אינזשענירן פֿאַר מולטי-שפּור נאָוטאַסיז.
טיימינג איז אַלץ: ווי צו סיקווענסירן און דאָקומענטירן 24/72-שעה גרענעץ-איבערשרייטנדיקע נאָוטאַפאַקיישאַנז
NIS 2 קאמפרעסטירט נישט נאר די צייט-ראמען, נאר אויך די קאנסעקווענצן פון פארשפעטיקונג. די זייגער הייבט זיך אן ביים ערשטן פארדאכט - נישט ביים לעצטן באווייז. אזוי שנעל ווי מעגליך צו גיין איבער די גרענעץ, איז מעלדונג נישט קיין פראיעקט וואס מען דארף פלאנירן - עס איז א פארמעסט צו דערגרייכן לעגאלע דעדליינס אין יעדן לאנד און סעקטאר וואס ווערט בארירט.
פארלענגערונג איז נאר פארטיידיגבאַר אויב באווייזן ווייזן עכטע אַמביגואַטי, נישט אָרגאַניזאַציאָנעלע צווייפל.
וואָס איז נויטיק, ווען
- T-0 (אזוי שנעל ווי איר כאָשעד): פריע ווארענונג מעלדונג (וואָס איז באַקאַנט, פארדעכטיגטע ווירקונג, מיטיגאַציע טריט) אין 24 שעה, לויט די נאציאנאלע און סעקטאָר אויטאָריטעט פּראָטאָקאָלן.
- ט+72 שעה: דערהייַנטיקונג מיט אויסגעברייטערטע רעזולטאַטן: טעכנישע אַנאַליז, פאַרנעם, קאַסקאַדע פּראַל, אַקשאַנז.
- ט+? (לעצט): באַשטעטיקט וואָרצל-אורזאַך, פֿאַרמאַכן, און לערנען. פֿאַרענדיקן רעגולאַטאָר און אוידיט רעקאָרד.
יעדער קאָנטאַקט, צייטשטעמפּל, און אינהאַלט דערהייַנטיקונג מוז שטענדיק ווערן רעקאָרדירט, ווײַל אויডিץ וועלן דורכקוקן סיי די אינהאַלט און סיי די צייט פון יעדער אַקציע (ENISA 2023, אַלען און אָווערי).
ווי אזוי צו סעקווענסירן קייפל פיילינגז
- מאַפּע וועלכע רעגולאַטאָרן: (לאַנד נאָך לאַנד, סעקטאָר נאָך סעקטאָר) פארלאנגען וועלכע פאָרעם, פּאָרטאַל, אינהאַלט און שפּראַך.
- סיקווענס אַקציעס: הייבט אן מיטן שטרענגסטן טערמין (12 שעה אין געוויסע לענדער/סעקטארן), דערנאך גייט עס אריבער צו אנדערע, און דערהיינטיקט פריערדיגע איינרייכונגען ווען די אינפארמאציע ענדערט זיך.
- צענטראלע לאג דיסציפלין: אַלע איינטראַגעס - ערשט, דערהייַנטיקונג, לעצט - זאָלן רעפֿערירן צו צייט, דאַטע, שיקער, באַשטעטיקונג, און באַגרינדונג פֿאַר סיקוואַנס.
- טיילווייזע דערהייַנטיקונגען זענען גוט: ס'איז בעסער צו מעלדן מיט ווארענונגען ווי צו ווארטן אויף פערפעקטע אינפארמאציע.
ניצן ISMS.online (אדער יעדן שטארקן ISMS/GRC) צו בלייבן פאראויס
פאראייניגטע פּלאַטפאָרמעס אויטאָמאַטיזירן דערמאָנונגען פֿאַר יעדן לאָקאַלן/סעקטאָראַלן טערמין, ערלויבן טעמפּלאַט-געטריבענע פיילינגז, רעקאָרדירן באַווייַזן אין פאַקטישער צייט, און פּראָדוצירן עקספּאָרטירבארע לאָגס פֿאַר אָדיט אָדער רעגולאַטאָר דורכקוק.
אפעראציאנעלע טאבעלע: סיקווענסינג אריבערגרענעץ אינצידענטן
| פיילינג שריט | טערמין | צופרידן | אויטאָריטעט(ן) | אוידיט לאג איינטראג |
|---|---|---|---|---|
| פרי ווארענונג | ≤24 שעה פארדעכטיגט | אינצידענט באַקאַנט/שרעק | אַלע NIS און סעקטאָראַל אין פאַרנעם | רעקאָרד סאַבמישאַן |
| דערהייַנטיקן | ≤72 שעה טיפערע פאקטן | נייע טעכנישע געפינסן | אַלע פריער געמעלדט | דערהייַנטיקן רעגיסטרירן |
| לעצט | ווי בנימצא | רעמעדיאַציע, פֿאַרמאַכן | אַלץ, פּלוס יעדע נייע | פייל ענדגילטיגע ווערסיע |
אוידיט באווייזן ווייזן ווי אזוי איר האט געשלאגן דעם דעדליין - נישט נאר אז איר האט אריינגעגעבן.
פּראָ עצע: עכטע אוידיט/באָרד העלדן האַלטן אַ הויפּט געשעעניש זייגער פֿאַר יעדן אינצידענט פּראָגרעס - איין אָרט צו באַווייַזן "ווער האָט געטאָן וואָס, ווען און פארוואס" צו יעדער אויטאָריטעט.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
פֿאָרמאַטירן וואָס קען אויסהאַלטן אָדיטס: וואָס אייערע גרענעץ-איבערשרייטנדיקע באַריכטן מוזן אַנטהאַלטן (און ווי אַזוי עס צו באַווייַזן)
א מעלדונג איז נאָר אַזוי שטאַרק ווי איר נוצלעכקייט איידער, בעת, און נאָך רעגולאַטאָרישע איבערבליק. יעדער באַריכט וואָס ווערט איינגעגעבן פֿאַר אַ גרענעץ-איבערשרייטנדיקן אינצידענט מוז אויסהאַלטן די קאָנטראָל איבער אויספֿאָרשונג אין יעדער באַטראָפענער יוריסדיקציע - נישט נאָר צושטעלן "די גרונטלעכע זאַכן" פֿאַר אייער היים-פּובליקום.
קאָנפאָרמאַטי איז נישט אַלגעמיין; עס איז אַ טעסט פון צוגעפּאַסטע, פולשטענדיקע דאָקומענטאַציע - יינציק צו יעדער באַטייליקטער אויטאָריטעט.
עסענציעלע זאכן פון אן אוידיט-רעזיסטענטן קראָס-גרענעץ באריכט
- איבערבליק פון אינצידענט: ווען, וואו, וואָס, אַפעקטירטע יוריסדיקציעס און סעקטאָרן.
- השפּעה דערקלערונג: געשאצטע און באשטעטיקטע געשעפטלעכע, פערזענלעכע און אפעראציאנעלע ריזיקע אין אלע לענדער/סעקטארן אין פארנעם.
- טיימליין: גענומעןע אַקציעס - איינהאַלטונג, רעמעדיאַציע, עסאַקאַלאַציע - מיט צייטשטעמפּלען.
- יוריסדיקציע אויסברוך: וועלכע לענדער/סעקטארן, ווי, באטראפן, רעאקציע מיטלען לויט לאנד.
- אויטאָריטעט לאָג: ווער האט געפירט די איינרייכונגען, ווער האט באשטעטיגט, דעלעגאציע אויטאריטעט, צוריק-פלאן פאר אפוועזנהייט.
טאַבעלע: קאָנפאָרמאַנס פֿאָרמאַטינג און באַווייַז טרייסאַביליטי (EEA און UK פארלאנגט)
| פאָדערונג | אָפּעראַציאָנאַליזאַציע | ISO 27001/אַנעקס א רעפערענץ | EEA/UK & מאַפּינג קאָלום |
|---|---|---|---|
| פריע ווארענונג (אלע לענדער) | 24 שעה באריכט, אינצידענט לאָג | א.5.25, א.5.26 | מאַפּע אויטאָריטעטן, שפּראַך/טעמפּלאַטעס געניצט |
| אימפּאַקט דערהייַנטיקונגען | 72 שעה לאָג, דערהייַנטיקונגען, אַקציע דעטאַילס | א.6.8, א.8.16 | פּאָרטאַל/אימעיל קוויטונגען, איבערזעצונג דאָקומענטן |
| קאָאָרדינאַציע צווישן פֿאַרשידענע יוריסדיקציעס | אויטאָריטעט/קאָנטאַקט לאָגס + סאַבמישאַן | א.5.19, א.5.31, א.8.33 | ווער האט געמאָלדן + ווען (איירלאַנד+בריטאַניע+פּלאַץ+דײַטשלאַנד) |
| פּרעזערוויישאַן פון זאָגן | צייטגעשטעמפלטע, אונטערגעשריבענע, עקספּאָרטירבארע לאָגס | א.5.27, א.8.34 | באווייז טעקעס, קוויטונג קראָס-רעפערענצן |
פֿאַר דער EEA/UK, מוז די "מאַפּינג" קאָלום שטענדיק קלעראַפֿיצירן וועלכע נאַציאָנאַלע און UK אויטאָריטעטן זענען געוואָרן גענאָטיפֿיצירט, אינהאַלט אַדאַפּטאַציעס פֿאַר לאָקאַלע געזעץ, און באַרעכטיקונג (ספּעציעל נאָך ברעקסיט).
רויט-פאָן: אויסלאָזונגען
אוידיטארן (און נאך-אינצידענט רעגולאטארן) שטעלן זיך אפט ארויס:
- אומבאוועזנהייט פון איבערזעצונג צו לאקאלע שפראך(ן)
- קיין מאַפּינג צו סעקטאָראַלע (למשל, פינאַנץ, געזונט) אָוווערלייז
- לעכער אין באווייזן לאג (פעלנדיקע צייטשטעמפלען, באשטעטיגונגען)
- אומקלאָרע באַגרינדונג פֿאַר אַרײַננעמען אָדער אויסשליסן ספּעציפֿישע אויטאָריטעטן
גרענעץ-איבערשרייטנדיקע באווייז קולטור
איינפלאנצן אוידיט גרייטקייט אין אייער קולטור. יעדע מאַנשאַפֿט זאָל זיין טרענירט צו עסקאַלירן, באַווײַזן און איבערקוקן אינצידענטן ווי רעגולאַטאָרן זען זיי - נישט נאָר ווי " אינצידענט רעאַקציע ." באַשטימט זיי מיט טשעקליסטן און ISMS פֿעיִקייטן וואָס מאַכן זיכער אַז גאָרנישט גייט פאַרלוירן, גאָרנישט פאַרהאַלטן, און קיין רעגולאַטאָר נישט פאַרפעלט.
פֿאַראַנטוואָרטלעכקייט און באַשטעטיקונג: זיכער מאַכן אַז יעדע גרענעץ-איבערשרייטנדיקע דאָקומענט טראָגט די ריכטיקע אונטערשריפט
עס איז נישט גענוג צו שיקן נאטיפיקאציעס אין צייט; איר מוזט באווייזן אז יעדע נאטיץ, לאג, און באשלוס האט באקומען די ריכטיגע אויגן און אונטערשריפטן – אדער איר ריזיקירט נאך-אינצידענט לעגאלע און רעפוטאציע-פאלגן. NIS 2 שיפט די אחריות ארויף: די דירעקטארן-פירער, CISO, פריוואטקייט/לעגאלע, און אפעראציאנעלע פירער מוזן האבן איבערבליק, אונטערשרייבונג, און דעלעגאציעס דאקומענטירט און גרייט פאר קאנטראל.
אוידיטאָרן טראַסטן קייטן פון הסכמה, נישט קייטן פון הנחה.
בעסטע פּראַקטיק: בויען אַקאַונטאַביליטי קייטן וואָס קענען אויסהאַלטן קאָנטראָל
- דאָקומענט עסקאַלאַציע וועגן: פֿאַרלאָזט זיך נישט נאָר אויף אימפליציט "פּערזאָן X טוט שטענדיק Y." אויף דער טעקע, אונטערשטרייַכט ווער עס עסאַלירט, ווער באַשליסט, און ווער זענען די פאַלבאַק באַשטעטיקערס אין וואַקאַציעס אָדער נויטפֿאַלן.
- זיצונג און באַשלוס אַרכיוון: יעדע שליסל אינצידענט זיצונג, שנעלע שמועס, אדער אימעיל אקציע אויף נאטיפיקאציע איז רעגיסטרירט, אינדעקסירט, און צוריקקריגבאר אין די ISMS.
- דעלעגאַציע קלעריטי: פֿאַר יעדער פּערזאָנאַ (CISO, PO, IT פירער), מאַכט אַ פאַלבעק דעלעגאַציע עקספּליציט-באַווייַז בעסער ווי כוונה.
- צושטעל קייט קלעריטי: דריט-פּאַרטיי און סאַפּלייער-פֿאַרבונדענע אינצידענטן דאַרפֿן קייט-פון-קאָמוניקאַציע לאָגס; לאָזט נישט אויס פּאַרטנערס אָדער דאַונסטרים אויטאָריטעטן (קראָוועל און מאָרינג).
טשעקליסט: האט איר באקומען הסכמה און איבערבליק?
- [ ] עסקאַלאַציע/באַשטעטיקונג פּראָטאָקאָל אַקטיוו רעגירט, דערהייַנטיקט, און פּראָווען צו רעגולאַטאָרן אָדער אָדיטאָרס.
- [ ] יעדע גרויסע אינצידענט-פֿאַרבונדענע זיצונג, באַשלוס און אונטערשרײַבונג זיכער דאָקומענטירט.
- [] צוריקקער קייט פֿאַר יעדער ראָלע וואָס איז צוגעטיילט, קענטיק, און גרינג צו טעסטן.
- [] איינגעשיקטע לאגס פארבינדן הסכמה צו מעלדונגען פאר יעדן לאנד, סעקטאר, און אויטאריטעט.
טאַבעלע: טרעיסאַביליטי אין האַסקאָמע און דעלעגאַציע
| באַשלוס פונט | פאַראַנטוואָרטלעכער אייגנטימער | פאַלבעק/דעלאַגאַט | רעקאָרדירטע באַווײַזן |
|---|---|---|---|
| נאטיפיקאציע געשיקט | CISO/באָרד/אַדוואָקאַט | באשטימטער דעלעגאַט | זיצונג לאָג, אימעיל קייט |
| אויטאָריטעט צוגעטיילט | פּריוואַטקייט פירער | פונקציאָנעלער פאַרוואַלטער | רעגיסטרירן איינטראג, אונטערשרייבונג לאג |
| דריט-פּאַרטיי בריטש | אינפֿאָרמאַציע טעכנאָלאָגיע + פּראָקורעמענט | CISO + פּריוואַטקייט | טיקעט, סאַפּלייער קאָמוניקאַציעס לאָג |
באַמערקונג: פאַרלעסלעכע עסאַקאַלאַציע איז בעסער ווי ווינטשפול טראכטן אויב איר ווילט איבערלעבן רעאַלע רעגולאַטאָרישע און דירעקטאָרן-ראַנג אָפּשאַצונגען.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
פּראַקטישע פאַרוואַלטונג: ווען און ווי אַזוי צו פיילן קייפל נאַציאָנאַלע באַריכטן אָן צו פאַרלירן קאָנטראָל
נישט קיין חילוק ווי האַרמאָניזירט די אי־יו פּרוּווט צו זיין, זאָגט די אָפּעראַציאָנעלע רעאַליטעט אַז פּאַראַלעלע לאַנד־ביי־לאַנד פיילינגז וועלן זיין אומפֿאַרמיידלעך – ספּעציעל פֿאַר אָרגאַניזאַציעס מיט קראָס־סעקטאָר, מולטינאַציאָנאַלע, אָדער סאַפּליי־קייט דערגרייכונג. אייער ווערט ווי אַ קאָמפּליאַנס־פירער איז נישט אין פֿאַרמייַדן מאַלטי־פיילינג, נאָר אין מאַכן עס מאַנידזשאַבאַל, פֿאַראייניקט, און דעמאָנסטרירט אָדיט־גרייט.
באַהאַנדלט פּאַראַלעל רעפּאָרטינג ווי אייער קאָמפּליאַנס זיכערהייט נעץ, נישט אַ שלאָג פֿאַר אינעפֿעקטיווקייט.
טריגערס פֿאַר מולטי-יוריסדיקציע פיילינג
- פֿאַרשידענע דאַטן רעזשים: UK DPA, CNIL (פֿראַנקרײַך), פּוילן'ס געזונט DTA – יעדעס מיט אײַנציקאַרטיקע אײַנרײַכונג, טערמין, און דאָקומענטאַציע כּללים.
- דרינגלעכקייט אונטערשיידן: עטלעכע סעקטאָרן (געזונט/פֿינאַנץ) פֿאָדערן אינטערנאַציאָנאַלע מעלדונגען אין אַזוי שנעל ווי 12 שעה; אַנדערע, ביז 72.
- שפּראַך און טעמפּלאַט נישט-פּאַסיק: אפילו אי־יו מיטגליד שטאַטן קענען פארלאנגען פארמען אין דייטש, פראנצויזיש, פּויליש, אדער בלויז דיגיטאַלע פּאָרטאַלן.
באַהערשן דעם פּאַראַלעל פיילינג וואָרקפלאָו
- מאַפּע אַלע אויטאָריטעטן און סעקטאָראַלע אָוווערלייעס: פּער אַפעקטירטע סיסטעם, ענטיטי, און קונה גרופּע.
- רעפּליקירן אַ מאַסטער אינצידענט טעקע: זאָל יעדער פיילינג קאַנאַל זיין אַ לאָקאַליזירטער קלאָן פון דעם זעלבן צענטראַל פאַרוואַלטעטן באַווייַז־וועג.
- בינד יעדע מעלדונג צוריק: צו אייער ISMS: וועלכע, ווען, און וואו; ווער האט אונטערגעשריבן; קייט פון ענטפער.
- וויזועל מאַסטער טאַבעלע בייַשפּיל:
| געשעעניש צינגל | טערמין | רעגולאַטאָר/אויטאָריטעט | שפּראַך | באַווײַז/קװיט רעפֿערענץ |
|---|---|---|---|---|
| HR דאַטן בריטש | 12 שעה (PL) | PL DPA, CSIRT | PL/EN | פּוילישע פֿאָרעם, אימעיל, לאָג |
| וואָלקן אויספאַל, פֿאַראייניקטע קעניגרייך | קסנומקסה | בריטישע ICO, בריטישע NIS | EN | בריטישע פּאָרטאַל קוויטונג |
| פּייַראָל פּראָבלעם, AT | קסנומקסה | ביי NIS אויטאָריטעט | DE/EN | אריינשיקונג, ענטפער, לאג |
אַדאַפּטירן טעמפּלאַטן פֿאַר יעדן סעקטאָר/לאַנד – יעדער לאָג מוז שטיין אַליין אָבער קענען ווערן צוריקגעפֿירט צו אייער הויפּט אינצידענט קייט.
רעאַליטעט טשעק: שטאב און מכשירים
- פרובירט דאָס נישט אַליין. פּאַראַלעלע פיילינגז דאַרפן פּראָצעס אייגנטומערשאַפט: לעגאַל, IT, פּריוואַטקייט, אָפּעראַציעס.
- קלייבט ISMS, GRC, אדער וואָרקפלאָו פּלאַטפאָרמעס וואָס האַנדלען מיט מולטי-קאַנאַל, מולטי-טעמפּלאַט, מולטי-שפּראַך נאָוטאַסיז.
- בויען אריין טרענירונג ציקלען - זיכער מאכן אז טימז ווייסן סיי די הויפט וואָרקפלאָו און סיי די לאקאלע אַדאַפּטאַציעס.
מולטי-פיילינג איז אייער פארזיכערונג פאליסי: אקצעפטאציע דורך אלע אויטאריטעטן איז אייער אוידיט שילד.
קאָנפאָרמאַנס איז אַ באַוועגלעך ציל: אָדיטירן, טרענירן און פֿאַרבעסערן אייער גרענעץ-איבערשרייטנדיקע רעאַקציע (איידער דער ווייַטער אינצידענט טרעפֿט)
יעדע גרענעץ-איבערשרייטנדיקע איינרייכונג איז נישט נאר א רעגולאטורישע קעסטל צו אפצייכענען, נאר א לערן-געלעגנהייט וואס מאכט אייערע צוקונפטיגע אינצידענט ציקלען שנעלער, אוידיט-שטארקער, און ווייניגער סטרעספול פאר יעדן באטייליקטן מענטש. די סימן פון דערוואקסענע טימז: זיי באהאנדלען יעדן אינצידענט ווי סיי א "קאמפליענס דעליווערי" און סיי א טעסט צו פארבעסערן מענטשן, פראצעס, און פלאטפארמעס.
אַן אוידיט שפּור איז נישט נאָר באַווײַז - עס איז די געשיכטע וואָס באַווײַזט קרעדיביליטי איבער צײַט.
אויספארשן און פֿאַרבעסערן דיין וואָרקפלאָו
- פּלאַנירן אינערלעכע אויספֿאָרשונגען: מאַפּירן פֿון אָנהייב ביזן סוף פֿון אינצידענט־אויפֿדעקונג ביזן לעצטן ענטפֿער פֿון דער אויטאָריטעט. אידענטיפֿיצירן פֿאַרשפּעטיקונגען, פֿאַרלוירענע באַווײַזן, אָדער איבערזעצונג־דורכפֿאַל. קאָנטראָלירן די פֿולשטענדיקייט און גרייטקייט יעדן קוואַרטאַל.
- פֿאַרבינדן נאָך-מאָרטעמס מיט אַקציע: נאך יעדן אינצידענט, טוט א "געפינען און פאררעכטן" ציקל אן קיין שולד. טרענירט אויף יעדן פארפעלטן דעדליין, שפעטן איבערזעצונג, אדער אומרעכטן מאַפּירונג פון אויטאָריטעט.
- קאָרעקציעס פאָרווערטס: דער נעקסטער אינצידענט, דער וואָרקפלאָו אַדאַפּט זיך: טעמפּלאַטן ווערן דערהייַנטיקט, דערמאָנונגען ווערן פריער, אויטאָריטעטן זענען גרינגער צו דערגרייכן, איבערזעצונג בודזשעטן זענען פארשפארט. ISMS פּלאַטפאָרמע געשיכטע ווערט טראַינינג מאַטעריאַל, נישט אַרכיוו ראַש.
טרענירונג אַפּגרעידס פֿאַר טימז
- דורכקוקן אַלע אַרבעטספלאָוז: ראָטירן אייגענטימער, דעלעגאַט, און ערשטע רעאַגירער ראָלעס דורך סימולאַציע. יעדער אין דער מאַנשאַפֿט ווייסט ווי צו פיילן, לאָגירן, איבערקוקן, און "באַווייַזן" אַן אינצידענט אַריבער מיטגליד שטאַטן.
- דערהייַנטיקט פּלאַטפאָרמע פּלייבוקס: נאך יעדן אינצידענט, שטופּ אריין לעקציעס אין טעמפּלאַטן און וואָרקפלאָו טשעקס.
מעסטן אמתע גרייטקייט
- שליסל מעטריקס: % אין-צייט איינרייכונגען (פּער לאַנד), אוידיט גאַפּס געפֿונען פּער אינצידענט, באַווײַז פֿולשטענדיקייט, נומער פֿון אויטאָריטעטן באַדעקט בײַם ערשטן פּרוּוו.
- עווידענס קאנטינעויטעט: באַווייַז פֿאַרבינדט יעדע אַקציע (פֿאַרקײַקלונג, עסאַקאַלאַציע, מעלדונג, אוידיט) צו אַ יינציקן, אומפֿאַרענדערלעכן שפּור.
יעדער ציקל פון מעלדונג - און אוידיט - מאכט אייך שנעלער, מער גלויבווערדיק, און מער ווידערשטאנדספעאיק, נישט נאר מער קאמפלייענט.
דער ISMS.online מייַלע: טוישן גרענעץ-איבערשרייטנדיקע מעלדונגען פון מינימום צו קאָנקורענטפֿעיִקע אַסעט
זיך פֿאַרלאָזן אויף צעוואָרפֿענע אימעילס, ספּרעדשיטס, אדער אַד האָק לעגאַלע איבערבליקן איז נישט קיין סאַסטיינאַבאַל (אָדער פֿאַרטיידיקבארער) וועג צו באַקעמפֿן NIS 2 גרענעץ-איבערשרייטנדיקע באַריכטן. אָרגאַניזאַציעס וואָס אָפּעראַציאָנאַליזירן קאָנפאָרמאַנס - און אויטאָמאַטיזירן זייער אינצידענט מעלדונג - געווינען נישט נאָר אין אָדיט איבערבליקן, נאָר אויך אין עקסעקוטיוו צוטרוי, רעגולאַטאָרישע באַציִונגען, און אינצידענט ווידערשטאַנד. דאָ איז ווי דער פֿאַרשייבונג זעט אויס אין דער ווירקלעכקייט.
עפעקטיווקייט איז נישט קיין קורץ וועג - עס איז די יסוד פון שפּורבאַרער, זיכערער העסקעם.
איין פּלאַטפאָרמע, פילע לענדער, נול פּאַניק
- אלץ-אין-איין נאטיפיקאציע מאטאר: ISMS.online לייגט אַלע נאַציאָנאַלע/סעקטאָראַלע טערמינען, רעגולאַטאָר קאָנטאַקטן, באַריכט טעמפּלאַטן, און באַווייַז לאָגס אין איין, דערלויבעניש-געפֿירטע פּלאַטפאָרמע.
- ראָלע-באַזירט וואָרקפלאָו: זיכער מאַכן אַז יעדער CISO, פּריוואַטקייט מאַנאַדזשער, און IT פירער קען איבערקוקן, באַשטעטיקן, אָדער דעלאַגירן אין דער ריכטיקער צייט - קיין פאַרפעלטע איבערגעבונגען אָדער לעצטע-מינוט עסאַקאַלאַציעס.
- רעאַל-צייט אָדיט טרייל: לעבעדיגע לאָגס, טעמפּלאַט-באַזירטע באַווײַזן כאַפּן, און צײַטשטעמפּלטע סאַבמישאַנז מאַכן די קומענדיקע אוידיט אָדער רעגולאַטאָר פֿראַגעס און ענטפֿערס אַן אָפֿענע וויטרינע - נישט אַ קאַמף (זען ISMS.online NIS 2 קאַמפּליאַנס).
- סקאַלירבאַר צו צוקונפֿטיקע פריימווערקס: דאָראַ, NIS 2, דער קינסטלעכער אינטעליגענץ געזעץ, און וואָס עס קומט ווייטער - מאַפּע קאָנטראָלן און נאָוטאַפאַקיישאַנז איין מאָל, ווידער נוצן און אַדאַפּטירן פֿאַר יעדער נייַער פליכט.
פארוואס אוידיט-גראד נאטיפיקאציע איז א זארג אויף באארד-לעוועל
אייער אוידיט קאמיטעט און CISO ווילן א לעבעדיגע ענטפער נישט נאר צו "זענען מיר קאמפלייענט?" נאר "קען מען איבערלעבן אן אוידיט אדער אויספארשונג פון יעדן פארגאנגענעם געשעעניש?" אויטאמאטישע, באווייז-רייכע מעלדונגען איז סיי אייער אוידיט פארטיידיגונג און סיי אייער דירעקטאריום'ס סימן פון אחריות.
- רעדוצירן קנסות און רייַבונג: יעדע פארשפעטיגונג, אויסלאזונג, אדער אוידיט געפינסן קאסט מער ווי קארעקטיווע מיטלען.
- קעסיידערדיק פֿאַרבעסערונג: היסטאָריש אינצידענט לאָגס פיטער גלייך אריין אין טרענירונג, נאך-טויט, און עוואלוירנדע שפיל-ביכער.
- קאַמפּעטיטיוו ברעג: ווען קאמפלייענס ווערט אפעראציאנאליזירט, עפנט מען גרעסערע אפמאכן, שותף צוטרוי, און אַ גלאַטערע יקספּאַנשאַן אין נײַע מאַרקן.
נעקסטער שריט: מאַכן אינצידענט מעלדונג אַן אַסעט, נישט אַ פֿאַראַנטוואָרטלעכקייט
אנשטאט צו נעמען מעלדונגען ווי א לעצטע-מינוט פליכט, גייט אריבער צו אפעראציאנעלע באהערשונג. מיט ISMS.online, פליסן איין-לאנד בריטשעס, מולטי-לאנד כאאס, קראָס-סעקטאָר אָוווערלאַגז, און אפילו צוקונפֿטיקע פריימווערקס אין איין מקור פון קאַמפּליאַנס אמת.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווער באַשליסט ווען קייפל מיטגליד שטאַטן מוזן ווערן געמעלדט אונטער NIS 2 - און ווי זאָל מען אויסטײַטשן חשד קעגן באַווײַז?
איר - נישט עקסטערנע אויטאריטעטן - זענט פאראנטווארטלעך פארן ארויסשיקן מעלדונגען צו יעדן באטרעפנדיקן אי.יו. לאנד פון דעם מאמענט וואס עס איז דא א גלייבווערדיקער פארדאכט אז א NIS 2 אינצידענט קען אפעקטירן מער ווי איין מיטגליד שטאט. די "פארדאכט" שוועל איז אבזיכטלעך נידעריג: אויב אייער ארגאניזאציע'ס נעטוואורקס, קאסטומערס, אדער צושטעל קייט קענען גלייבווערדיג אפעקטירן באנוצער, אינפראסטרוקטור, אדער סערוויסעס אריבער די גרענעצן, זענט איר פאראנטווארטלעך פארן אלערטירן יעדן מעגליך באטראפענעם נאציאנאלען NIS אויטאריטעט און, אויב סעקטאראלע רעגולאציעס זענען גילטיק, אויך יעדן באטרעפנדיקן CSIRT אדער סעקטאר רעגולאטאר. באווייזן פון א באשטימטן אריבער-גרענעץ אפעקט איז נישט פארלאנגט צו אנהייבן - רעגולאטארן ערווארטן מעלדונגען וואו די ריזיקע איז גלייבווערדיג, נישט נאר באשטעטיגט. זיך פארלאזן אויף א היים מיטגליד שטאט אדער "פירנדיקע אויטאריטעט" איז נאר לעגאל אויב - און נאר אויב - אלע אנדערע באטראפענע לענדער האבן פארמאל מסכים געווען צו געמיינזאמע האנדלונג (כמעט קיינמאל נישט דער פאל אין פראקטיק).
מעלדן אויף גלייבווערדיקן חשד - איידער זיכערקייט - סיגנאַלירט פּראָפעסיאָנאַליזם און באַשיצט אייער אָרגאַניזאַציע פון רעגולאַטאָרישע גאַפּס.
נאָטיפיקאַציע סצענאַר טאַבעלע
| סיטואַציע | פארלאנגטע מעלדונג | קאָנפאָרמאַנס ריזיקע אויב פאַרפעלט |
|---|---|---|
| פארדעכטיגטער אימפאקט אין צוויי+ שטאטן | יעדע נאציאנאלע NIS אויטאריטעט | דורכפירונג אקציע; אוידיט דורכפאל |
| באַשטעטיקט גרענעץ-איבערשרייטנדיק טעכנישע בריטש | יעדע אויטאָריטעט, CSIRT, סעקטאָר רעג. | דאַטן בריטש, סעקטאָראַלע שטראָף |
| נאָר היים שטאַט אַפעקטירט, באַוויזן | נאָר היים אויטאָריטעט | (קיין אויב די גרענעצן זענען טאַקע קלאָר) |
| פאַר-באַשטעטיקט 'איין-סטאָפּ קראָם' אין פּלאַץ | איינגעשטימטע הויפט אויטאָריטעט | נידעריק - אָבער נאָר אויב פּראָטאָקאָלן אונטערגעשריבן |
ווי מאַפּט און האַלט מען אַ דעפיניטיווע רשימה פון אַלע NIS 2 אָנזאָג אויטאָריטעטן פֿאַר גרענעץ-איבערשרייטנדיקע אינצידענטן?
הייבט אן מיטן ENISA רעגיסטרי און אייער אייגענער לאנד'ס "קאמפעטענטע אויטאריטעטן" ליסטע, צולייגנדיג אויף סעקטאר-ספעציפישע און פריוואטקייט אויטאריטעטן - ספעציעל וואו סערוויסעס, אינפראסטרוקטור, שטאב, אדער באנוצער זענען אריבער די גרענעץ. פאר יעדן לאנד וואו איר האט א דיגיטאלע אנוועזנהייט, קאסטומערס, סופלייערס, פראצעסינג פאסיליטיעס, אדער פערזענליכע דאטן, ליסטירט:
- די נאציאנאלע NIS אויטאריטעט (למשל, BSI, ANSSI, אַקן)
- סעקטאָר CSIRT(s), אויב אין רעגולירטע ווערטיקאַלן
- נאציאנאלער פריוואטקייט רעגולאטאר (אויב עס איז דא פערזענליכע דאטן אין געפאר)
- יעדער איבערלעג רעגולאַטאָר (למשל DORA פֿאַר פֿינאַנץ, געזונטהייט מיניסטעריומס פֿאַר געזונטהייט)
- קאָנטאַקט מעטאָדן און אָנזאָג טעמפּלאַטן
- שפּראַך און דעדליין רעקווייערמענץ
דעדליינז, פֿאָרמאַטן און באַווײַז סטאַנדאַרדן זענען אָפֿט אַנדערש לויט אויטאָריטעט און סעקטאָר, אַזוי זאָל אײַער לעבעדיקע מאַפּע זײַן אינטעגרירט מיט רעגולאַטאָרישע מאָניטאָרינג, טעמפּלאַט ביבליאָטעקן און לעגאַלע אָפּשאַצונג ציקלען. דער אַזוי גערופֿענער "איינציקער קאָנטאַקט פּונקט" איז דיזיינד פֿאַר אינפֿאָרמאַציע אויסטויש - נישט צו אַנטשולדיקן דירעקטע אָנזאָגן.
אויטאָריטעט מאַפּינג בייַשפּיל טיש
| לאַנד | NIS אויטאָריטעט | סעקטאָראַל CSIRT | פּריוואַטקייט רעגולאַטאָר | טערמין |
|---|---|---|---|---|
| france | ANSI | סעקטאָר CSIRT | קניל | קסנומקסה / קסנומקסה |
| דייטשלאנד | BSI | סעקטאָר CSIRT | BfDI | קסנומקסה / קסנומקסה |
| איטאליע | אַקן | סעקטאָר CSIRT/גאַראַנטע | אָרעוו | קסנומקסה / קסנומקסה |
ווען און ווי אזוי ארבעט געמיינזאמע מעלדונג ("איין-סטאָפּ שאָפּ") טאַקע - און פארוואס איז עס זעלטן די ענטפער?
געמיינזאמע מעלדונגען ("איין-סטאָפּ שאָפּ") קען נאָר פאַרבייַטן באַזונדערע נאַציאָנאַלע פיילינגז אויב אַלע פּאָטענציעל אַפעקטירטע מיטגליד שטאַטן שטימען אויסדריקלעך צו אין שריפט צו באַשטימען אַ פירן אויטאָריטעט פֿאַר אַ ספּעציפישן אינצידענט אָדער פֿאַר אַלע אינצידענטן וואָס האָבן צו טאָן מיט אייער ענטיטי. דעם פֿאָרמאַלן, פֿאָרויס פּראָטאָקאָל איז זעלטן: רובֿ NIS 2 מעלדונגען וועלן דעריבער דאַרפן דירעקטע באַריכטן צו יעדער באַטייַטיקער נאַציאָנאַלער אויטאָריטעט - נישט קוקנדיק אויף וווּ אייער הויפּט עסטאַבלישמענט איז ליגן אָדער אין וועלכן לאַנד געפינט זיך אייער הויפּט אָפיס. אפילו מיט פּאַן-אי.יו. האַרמאָניזאַציע, סעקטאָר-ספּעציפֿישע כּללים, שפּראַך רעקווירעמענץ, אָדער ווערייישאַנז אין אינצידענט שוועלן מאַכן פּאַראַלעלע מעלדונגען נייטיק פֿאַר כּמעט אַלע אָרגאַניזאַציעס.
גיי אויס פון דעם אז איר מוזט מעלדן יעדער יוריסדיקציע ביז א געשריבענע, דורך די רעגולאַטאָר אונטערגעשריבענע דעלעגאַציע באַשטעטיקט אַנדערש.
איין-סטאָפּ שאָפּ באַשלוס טיש
| אלע אויטאריטעטן האבן זיך פארגעשטימט אויף קאארדינאטאר? | צענטראלע מעלדונג גילטיק? | פּראַקטישע אַקציע |
|---|---|---|
| יאָ | יאָ | מעלדן דורך באַשטימטע אויטאָריטעט |
| קיין / סעקטאָראַלע מיסמאַטש | ניין | מעלדן יעדע נאציאנאלע און סעקטאָר אויטאָריטעט |
וואָס זענען די גענויע טערמינען און פארלאנגטע דאָקומענטאַציע פֿאַר גרענעץ-איבערשרייטנדיקע NIS 2 נאָוטאַפאַקיישאַנז?
פֿון אַ חשד פֿון אַן אינצידענט מיט מעגלעכע גרענעץ-איבערשרייטנדיקע עפֿעקטן, מוזט איר אַרײַנגעבן אַ "פֿריִע וואָרענונג" אין 24 שעה צו אַלע באַטראָפֿענע אויטאָריטעטן (אפֿילו אויב עטלעכע אינפֿאָרמאַציע איז נישט פֿולשטענדיק). אין 72 שעה , גיט אַן אַפּדעיט מיט דער ערשטער אימפּאַקט אַסעסמענט, אינצידענט סיבה, און פּראָוויזאָרישע פֿאַרמינדערונגען. אײַער "לעצטיקער" באַריכט - צוגעשטעלט ווען די וואָרצל סיבה און פֿאַרריכטונג זענען פֿאַרשטאַנען - זאָל פֿאָלגן אַזוי שנעל ווי מעגלעך, אָבער נישט שפּעטער ווי עקספּליציט אַדווייזד דורך רעגולאַטאָרן. יעדער שריט מוז זײַן דאָקומענטירט, צײַט-געשטעמפּלט, און רעקאָרדירט: אַרייַננעמען אַ אָנזאָג רעגיסטער, פּראָטאָקאָלן פֿון אינערלעכע בריפֿינגז, ריזיקאָ אַסעסמענט מאָדיפֿיקאַציעס, אונטערשרײַבונג שפּורן, און דירעקטע קאָמוניקאַציעס (אימעיל, פּלאַטפאָרמע סאַבמישאַן קוויטונגען, רוף רעקאָרדס).
צייטיקייט איז וויכטיקער ווי פּערפעקציע פֿון אָנהייב: טיילווייזע דאַטן איז גענוג - פֿולשטענדיקייט פֿאָלגט דערנאָך.
פארלאנגטע מעלדונג טאַבעלע
| פאַזע | טערמין | מינימום דאָקומענטאַציע |
|---|---|---|
| פרי ווארענונג | קסנומקסה | גרונטלעכע פאקטן, פארדעכטיגטע באווייזן, ערשטע ווירקונג, לאג פון איינרייכונגען |
| דערהייַנטיקן | קסנומקסה | אימפּאַקט פאַרנעם, מיטיגאַציע אַקשאַנז, עסקאַלאַציע, ריזיקירן דערהייַנטיקונג |
| לעצט | קאַסע-דורך-קאַסע | וואָרצל סיבה, פֿאַרריכטונג, לעקציעס געלערנט, אוידיט-גרייט קייט |
ווי אזוי פארשטארקן GDPR, DORA, און סעקטאָר כּללים אייערע גרענעץ-איבערשרייטנדיקע מעלדונג-פליכטן אונטער NIS 2?
אינצידענטן וואָס האָבן צו טאָן מיט פּערזענלעכע דאַטן, פינאַנציעלע באַדינונגען, קריטישע אינפראַסטרוקטור, אָדער וואָלקן כּמעט שטענדיק אַרויסרופן לפּחות צוויי - און מאל דריי אָדער מער - רעגולאַטאָרישע זייגערס. GDPR פארלאנגט דאַטן שוץ אויטאָריטעט אָנזאָגן אין 72 שעה (און מעגלעכע אָנזאָגן פון אַפעקטירטע דאַטן סוביעקטן), בשעת NIS 2 פארלאנגט אַ 24-שעה "פרי וואָרענונג" און אַ 72-שעה נאָכפאָלגן. DORA אין פינאַנץ אָדער דיגיטאַל געזונט כּללים קענען שטעלן פּאַראַלעלע, מאל שנעלערע רעקווירעמענץ, אָפט מיט שטרענגערע באַווייַזן און רעגיסטראַציע פֿאָרמאַטן. איר מוזט אָננעמען אַז יעדער רעזשים איז באַזונדער : קיין אויטאָריטעט וועט נישט אָננעמען "מיר האָבן געמאָלדן עמעצן אַנדערש" ווי אַן אַנטשולדיקונג פֿאַר פאַרהאַלטן, פֿאָרמאַטירן, אָדער אומפאַרענדיקטע דאָקומענטאַציע. האַלטן קראָס-טימז גאַווערנאַנס צו ענשור אַז קיין דעדליינז גליטשן נישט און אַלע פיילינגז זענען אָדיט-גרייט.
קראָס-רעזשים אָנזאָג טאַבעלע
| געזעץ / רעזשים | באַקומער | טערמין | רעקווייערמענט פון אויספארשונג באווייזן |
|---|---|---|---|
| 2 שקל | NIS אויטאָריטעט/CSIRT | קסנומקסה / קסנומקסה | אונטערגעשריבענער לאָג, אימפּאַקט/ריזיקע אַסעסמענט |
| GDPR (אַרט. 33) | דאַטן שוץ אויטאָריזאַציע | קסנומקסה | דאַטן בריטש רעגיסטער, ריזיקאָ לאָג |
| דאָראַ (פינאַנץ) | סעקטאָראַל רעגולאַטאָר | קסנומקסה | אינצידענט טיקעט, סעקטאָר באַווייַזן שפּור |
ווער מוז באַשטעטיקן NIS 2 גרענעץ-איבערשרייטנדיקע נאָטיפיקאַציעס און באַווײַזן - און ווי ווערן די פֿאַראַנטוואָרטלעכקייטן דאָקומענטירט?
נאציאנאלע אויטאריטעטן ערווארטן א קייט פון באווייזן מיט קלארע ליניעס פון אחריות. דער CISO אדער עקוויוואלענטער אייגענטימער האלט טיפיש די אלגעמיינע אחריות, אבער אונטערשרייבונג און אפעראציאנעלע אריינשיקונג קען דעלעגירט ווערן צו אינצידענט רעאקציע פירער, ריזיקע/קאמפליענס פונקציעס, אדער לעגאלע/פריוואטקייט ראטגעבער. יעדער שריט מוז זיין קריסטאל קלאר: ווער האט געשריבן די ווארענונג, ווער האט עס אויטאריזירט, ווער האט עס אריינגעגעבן, ווער האט באקומען באשטעטיקונג, און ווען נאכפאלגן ווערן אויסגענוצט. ווען צושטעל קייטן אדער שותפים ווערן באאיינפלוסט, האלט די סופלייער נאטיפיקאציע קוויטלעך, שותפים רוף מינוטן, און עסאקאלאציע לאגס צו דאקומענטירן אחריות ווייטער פון אייער ארגאניזאציאנעלע גרענעץ.
אינערלעכע אונטערשרייבונג טיש
| קאַמף | סטאַנדאַרט אייגנטימער (דעלאַגאַט) | אוידיט-גרייט לאג |
|---|---|---|
| מעלדונג פּלאַן | CISO (IR, ריזיקע, לעגאַל) | אַלערט לאָג, אונטערשרייב מינוטן |
| אויטאָריטעט סאַבמישאַן | ריזיקע/קאָנפאָרמאַנס אָדער לעגאַל | אימעיל/פּלאַטפאָרמע קוויטל, צייטשטעמפּל |
| דריט-פּאַרטיי באַמערקן | איינקויף, סאַפּלייער פירער | סאַפּלייער אימעיל, פּאַרטנער קאָמוניקאַציע הערות |
| לעגאַלע עסאַקאַלאַציע | פּריוואַטקייט/לעגאַלע ראַטגעבער | אדוואָקאַט הערות, קאָנפאָרמאַנס רעגיסטער |
וואָס דעפינירט "אוידיט-גראַד" גרענעץ-איבערשרייטנדיקע מעלדונג-מעגלעכקייט - און ווי דערגרייכט מען רעאַל-צייט גרייטקייט?
אוידיט-גראד גרייטקייט מיינט צו קענען נאכשפילן יעדע מעלדונג, דעדליין, אדער באווייז קייט אין יעדער צייט - א שליסל פארלאנג פאר ביידע NIS 2 און GDPR, און אפט פארלאנגט דורך סעקטאראלע רעגולאטארן. דאס פארלאנגט א סיסטעם - נישט פרייע טעקעס אדער אימעילס - וואס שפאנען איבער:
- אן אַקטועל אויטאָריטעט וועגווייַזער, אָנזאָג טעמפּלאַטן, איבערזעצונגען, דעדליינז און פאָרעם רעקווייערמענץ
- פולשטענדיקע לאָגס פון אַלע אָנזאָג טעטיקייט: צייט-געשטעמפּלט, אינהאַלט-וועראַפייד, קאַבאָלע-באַשטעטיקט
- פֿאַרבונדענע SoA קאָנטראָלן, פּאָליטיקס און ריזיקירן רעגיסטרירןס געמאַפּט צו יעדער אָנזאָג
- דאקומענטירטע באשטעטיגונגען, אונטערשרייבונג קייטן, און נאך-אינצידענט לערנען לאגס
- אינטעגראַציע פון סאַפּלייער און פּאַרטנער עסקאַלאַציעס וואו באַטייַטיק
דער בעסטער-פּראַקטיק מאָדעל ניצט אַ דיגיטאַל ISMS - ווי ISMS.online - צו אויטאָמאַטיזירן נאָטיפיקאַציעס, דערמאָנונגען, איבערזעצונגען און באַווייַז-פאַררייַכערונג. דאָס רעדוצירט מאַנועלע איבעראַרבעט, זיכערט אַז דעדליינז ווערן דערגרייכט פֿאַר יעדן רעזשים, און מאַכט באַווייַז-עקסטראַקציע אָן קיין ווייטיק בעת אויספֿאָרשונגען אָדער באָרד-איבערבליקן.
קענען גלייך ווייזן אייער פולע נאטיפיקאציע קייט, באווייזן און לעקציעס מאכט אינספעקציע א געלעגנהייט - נישט א חוב.
מוסטער אוידיט-גרייטקייט טשעקליסט
- לעבעדיקער רעגיסטער פון אויטאריטעטן, קאנטאקטן, דעדליינס, טעמפלעיטס
- נאָטיפיקאַציע לאָג: יעדער באַריכט, צייטשטעמפּל, באַקומער, אינהאַלט, באַשטעטיקונגען
- אוידיט קייט: אונטערשרייבונג, SoA, ריזיקע לאגס, לערנען דאקומענטן
- סאַפּלייער/דריט-פּאַרטיי באַשטעטיקונג קייט
- ISMS דאַשבאָרד פֿאַר אָדיט עקסטראַקציע און באַריכטן
ווי אזוי קען אן ISMS פלאטפארמע ווי ISMS.online ערמעגליכן אן קיין סטרעס-פרייע, אוידיט-באוויזענע גרעניץ-איבערשרייטנדע NIS 2 מעלדונגען?
ISMS.online פארגרינגערט NIS 2 גרענעץ-איבערשרייטנדע פארפליכטונגען דורך צענטראליזירן יעדן ארבעטס-פלוס - נאציאנאלע, סעקטאראלע, און פריוואטקייט נאטיפיקאציעס - אין א פאראייניגטן דעשבאָרד. טימז געווינען:
- רעאַל-צייט צוטריט צו אַלע אויטאָריטעט קאָנטאַקטן, טעמפּלאַטעס, רעקווירעמענץ און איבערזעצונגען, מינימיזירנדיק טעות און פאַרהאַלטונג.
- אויטאָמאַטישע טריגערס פֿאַר יעדן רעגולאַטאָרישן טערמין, מיט נאָוטאַפאַקיישאַנז פֿאַר נאָכפֿאָלגן און לעצט באַריכטן
- לעבעדיגע רעגיסטערס פון יעדן אונטערשרייבונג, באווייז לינק, און עסקאלאציע (אריינגערעכנט באארד און סופלייער דאקומענטאציע)
- איין-קליק עקספּאָרט פון אָדיט-גרייט לאָגס, פּאָליטיקס, ריזיקירן רעגיסטרירןס, און לערנען רעקאָרדס פֿאַר באָרד אָדער רעגולאַטאָר אָפּשאַצונג
- אומגעשטערטע קאארדינאציע פון איבערלאפנדיקע NIS 2, GDPR, און סעקטאראלע רעזשים צייט-פליילן - זיכער מאכן אז גארנישט ווערט פארפעלט
גייט אַוועק פון אד-האָק, לעצטע-מינוט באריכטן און גייט צו אַ מאָדעל וואָס באַווייַזט אייער אָרגאַניזאַציע'ס ווידערשטאַנדסקראַפט, קאָמפּליאַנס פירערשאַפט, און צוטרוי אויף באָרד-לעוועל.
ISO 27001 בריק טאַבעלע: נאָטיפיקאַציע גרייטקייט מאַפּינג
| קאָנפאָרמאַנס ערוואַרטונג | אָפּעראַציאָנאַליזאַציע אין ISMS.online | ISO 27001 / אַנעקס A רעפערענץ |
|---|---|---|
| אַרויף-צו-דאַטע אויטאָריטעט רעגיסטער | צענטראַליזירטע אויטאָריטעט/CSIRT וועגווייַזער, דעדליין וואָרענונגען | א.5.5, א.5.7, א.5.24 |
| מעלדונג באווייזן נאכגעפאלגט | לעבעדיגע מעלדונג לאָגס, פֿאַרבונדענע ריזיקע/פּאָליטיק/באַווייַז דאָקומענטן | א.5.25, א.5.26, א.5.28 |
| אונטערשרייבונגען און באַשטעטיקונג קייטן | אינטעגרירטע אונטערשרייבונג/באשטעטיקונג וואָרקפלאָוז, אָדיט לאָגס | א.5.4, א.5.35, א.5.36 |
טרעיסאַביליטי מיני-טיש
| טריגער בייַשפּיל | ריזיקע דערהייַנטיקונג | קאָנטראָל/SoA לינק | באַווײַזן רעקאָרדירט |
|---|---|---|---|
| פארדעכטיגטע גרענעץ-איבערשרייטנדיקע פארלעצונג | ריזיקע אידענטיפיקאציע איז פארגרעסערט געווארן | א.5.25, א.5.26 | מעלדונג לאָג, אָפּלאָג |
| די אויטאריטעט בעט פאר א סטאטוס אפדעיט | איבערבליק אויסגעלאָשן | א.5.24, א.5.36 | דערהייַנטיקן אָנזאָג רעקאָרד |
| סאַפּלייער אַפעקטירט | צוגעלייגטע קייט ריזיקע | א.5.19, א.5.21 | שותף וואָרענונג, סאַפּלייער נאָטיץ |
גרייט צו מאַכן NIS 2 גרענעץ-איבערשרייטנדיקע מעלדונגען אַ צייכן פון צוטרוי, נישט אַ מקור פון מורא? ניצט ISMS.online צו פאַראייניקן, אויטאָמאַטיזירן און באַשיצן יעדע אַקציע - פון ערשטן חשד ביזן לעצטן באַריכט - און פאַרוואַנדלען יעדן אוידיט אין אַ באָרדרום באַווייַז פּונקט.
