Děláte těchto 10 častých chyb při plnění požadavků NIS2?

Myslíte si, že jste na NIS2 připraveni? I dobře připravené organizace dělají chyby. Podívejte se na 10 nejčastějších a zjistěte, jak se jim vyhnout.

Nové požadavky v oblasti kybernetické bezpečnosti přinášejí organizacím řadu povinností. Snaha splnit je co nejrychleji však bez jasného systému často vede k chybám – a ty mohou být nákladné.

Podívejme se na deset častých chyb při zavádění požadavků NIS2 a na to, jak se jim vyhnout.

1. Neověříte si, zda se na vaši organizaci regulace vztahuje

Jednou z nejčastějších chyb je předpokládat, že se NIS2 týká pouze nemocnic, bank, energetiky nebo velkých technologických společností.

V České republice je nutné posoudit, zda organizace poskytuje některou z regulovaných služeb podle zákona o kybernetické bezpečnosti a zda splňuje podmínky významnosti stanovené pro danou službu. Důležitou roli hraje také velikost organizace a další specifická kritéria.

Dopad regulace navíc mohou pocítit i organizace, na které se zákon přímo nevztahuje – například jako dodavatelé regulovaných organizací.

Co delat

Ověřte, zda poskytujete regulovanou službu, jaké podmínky se na ni vztahují a zda spadáte do režimu vyšších nebo nižších povinností. Vycházejte z aktuální české právní úpravy a oficiálních informací NÚKIB.

2. Považujete NIS2 pouze za problém IT

NIS2 není jen o aktualizacích, firewallech nebo antivirových nástrojích. Kybernetická bezpečnost je také otázkou řízení organizace, odpovědností, procesů a rozhodování.

Vrcholné vedení musí být do řízení kybernetické bezpečnosti aktivně zapojeno, rozumět rizikům a zajistit odpovídající zdroje a bezpečnostní opatření.

CO delat

Určete jasné role a odpovědnosti za kybernetickou bezpečnost. Zajistěte potřebné kompetence, rozpočet a pravidelné informování vedení. Kybernetickou bezpečnost nelze jednoduše „předat IT“ a považovat ji za vyřešenou.

3. Nemáte přehled o tom, co se děje ve vašich systémech

Řada organizací shromažďuje logy a bezpečnostní data, ale nikdo je systematicky nevyhodnocuje. Incident pak může být odhalen až s výrazným zpožděním.

CO DELAT

Zaveďte vhodné nástroje a procesy pro monitoring a určete, kdo bude jejich výstupy pravidelně vyhodnocovat.

Zaměřte se zejména na kritické systémy, privilegované účty, přístupy k citlivým datům a systémy dostupné z internetu.

Bez přehledu nemůžete efektivně reagovat.

4. Podceňujete komunikaci s vedením

Ani kvalitní bezpečnostní strategie nebude fungovat, pokud jí vedení nerozumí. Pokud management nezná skutečná rizika a jejich možné dopady, jen obtížně rozhodne o potřebných investicích, lidech a prioritách.

CO delat

Komunikujte rizika z pohledu byznysu, nejen technologií. Vysvětlujte rizika prostřednictvím jejich dopadu na provoz, finance, reputaci nebo plnění regulatorních požadavků.

Pravidelně informujte vedení o klíčových rizicích a zapojte jej také do cvičení a simulací incidentů.

5. Řízení rizik berete pouze jako formalitu

Některé organizace vytvoří registr rizik jednou a už se k němu nevrátí. Jiné naopak vytvářejí složité tabulky plné pojmů, kterým mimo bezpečnostní tým nikdo nerozumí.

Ani jeden přístup nevede k efektivnímu řízení rizik.

CO delat

Začněte u klíčových aktiv, systémů a procesů. Ptejte se:

Co se stane, pokud přestanou fungovat? Co to může způsobit? Jak tomu můžeme zabránit nebo jak rychle obnovíme provoz?

Zapojte také pracovníky mimo IT. Identifikované riziko by mělo vést ke konkrétnímu rozhodnutí nebo opatření, nikoli pouze k barevnému skóre v tabulce.

6. Vytváříte bezpečnostní směrnice, které nikdo nečte

Stažení šablony, doplnění loga a její uložení mezi interní dokumenty ještě neznamená, že organizace bezpečnost skutečně řídí.

Pokud zaměstnanci pravidla neznají nebo podle nich nepostupují, samotná existence dokumentu nestačí.

Co delat

Udržujte bezpečnostní dokumentaci srozumitelnou, aktuální a použitelnou v praxi.

Zaměřte se například na to:

jak se přidělují přístupy,
jak probíhají aktualizace,
jak se hlásí bezpečnostní události a incidenty,
jak jsou chráněna data.

Rozsah a podrobnost dokumentace přizpůsobte konkrétním rolím a odpovědnostem.

7. Ignorujete rizika třetích stran

Kybernetický incident nemusí vzniknout přímo ve vaší organizaci. Může se k vám dostat prostřednictvím dodavatele softwaru, cloudové služby, externího IT poskytovatele nebo jiné třetí strany.

Řízení bezpečnosti dodavatelského řetězce proto patří mezi důležité oblasti NIS2.

Co delat

Mějte přehled o dodavatelích a poskytovatelích služeb, kteří mají přístup k vašim systémům, datům nebo podporují kritické procesy.

Vyhodnocujte jejich rizikovost a bezpečnostní opatření. Do smluv zahrňte odpovídající požadavky na kybernetickou bezpečnost, spolupráci při incidentech a oznamování bezpečnostních událostí.

8. Nemáte plán pro případ incidentu

Doufat, že kybernetický incident nenastane, není strategie.

Bez připraveného postupu může při incidentu vzniknout chaos – není jasné, kdo rozhoduje, kdo komunikuje, jak se obnoví provoz nebo zda a kdy musí být incident oznámen příslušnému orgánu.

CO delat

Připravte jasný plán reakce na incidenty. Stanovte role, odpovědnosti, způsob eskalace, komunikaci a postup při posuzování oznamovacích povinností.

Plán pravidelně testujte prostřednictvím praktických cvičení a po každém významném incidentu nebo změně jej podle potřeby aktualizujte.

9. Podceňujete vzdělávání zaměstnanců – nebo školíte pouze jednou

Technická ochrana nestačí. Phishing, sociální inženýrství, slabá hesla nebo nesprávná práce s informacemi mohou obejít i kvalitní technická opatření. Jednorázové školení proto nestečí.

Co delat

Provádějte pravidelné a prakticky zaměřené vzdělávání zaměstnanců. Používejte konkrétní příklady, simulace phishingu a situace, se kterými se mohou skutečně setkat.

Evidujte absolvování školení a průběžně vyhodnocujte jejich účinnost.

10. Máte dokumentaci a myslíte si, že máte hotovo

Kybernetická bezpečnost není jednorázový projekt. Technologie se mění, vznikají nové hrozby, organizace zavádějí nové služby a dodavatele a mění se také samotná rizika. Dokumentace vytvořená před rokem proto nemusí odpovídat současné realitě.

Co delat

Pravidelně aktualizujte analýzu rizik, bezpečnostní opatření, směrnice, plány kontinuity a postupy pro řešení incidentů.

Provádějte testování, cvičení a kontroly. Incidenty, zjištěné nedostatky i situace, kdy k incidentu téměř došlo, využívejte jako podklad pro další zlepšování.

NIS2 není jen povinnost – je to příležitost ke zlepšení

NIS2 není pouze další regulatorní požadavek. Je také příležitostí nastavit kybernetickou bezpečnost systematicky, zvýšit odolnost organizace a získat lepší přehled o skutečných rizicích.

Organizace, které k požadavkům přistoupí systematicky, získají nejen lepší připravenost na plnění regulatorních povinností, ale také odolnější procesy a větší kontrolu nad vlastní kybernetickou bezpečností.

Jak pomáhá Tazilla

Tazilla propojuje klíčové oblasti řízení kybernetické bezpečnosti v jedné platformě a pomáhá organizacím postupovat systematicky – od analýzy rizik přes bezpečnostní dokumentaci až po řízení incidentů, kontinuity a vzdělávání zaměstnanců.

Podporuje zejména: