Jakie są środki zarządzania ryzykiem z art. 21 NIS2?

Art. 21 ust. 2 wymienia minimalne obszary, które musi objąć każdy podmiot podlegający dyrektywie. Prostymi słowami: polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych; obsługa incydentów; ciągłość działania, w tym zarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczeństwo przy nabywaniu, rozwijaniu i utrzymaniu systemów, w tym obsługa i ujawnianie podatności; polityki oceny skuteczności środków; podstawowa cyberhigiena i szkolenia; polityki stosowania kryptografii i, gdzie stosowne, szyfrowania; bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami; uwierzytelnianie wieloskładnikowe lub ciągłe, zabezpieczona komunikacja głosowa, wideo i tekstowa oraz, gdzie stosowne, zabezpieczona łączność alarmowa. Każdy środek ma być odpowiedni i proporcjonalny do ryzyka. Przepisy krajowe powtarzają tę listę; w Niemczech to § 30 ust. 2 BSIG. NetSenX wspiera obsługę incydentów i dowody skuteczności, a nie całą listę.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (40): NIS2: zakres i obowiązkiWszystkie tematy