Nola lortu NIS2 betetzea softwarearekin?
Egilea: HodeitekArgitaratua
Erakunde funtsezko edo garrantzitsuen segurtasun eta betetze arduradunentzat, NIS2ren zein zati automatiza daitekeen eta zein zati geratzen den pertsonen lana galdetzen dutenentzat.
Softwareak NIS2ren lana ordenatzen laguntzen du: neurriak eta ebidentzia erregistratzen ditu, hornitzaileak zaintzen ditu eta intzidentzien jakinarazpen-epeak zenbatzen ditu. Ez ditu erabakiak ordezkatzen. Arriskuen analisia, zuzendaritzak neurriak onartzea, langilegoaren prestakuntza eta agintaritzari aurkeztea zureak izaten jarraitzen dute, erakundeak berak hartzen baitu horien erantzukizuna, ez tresnak.
Zer eskatzen duen NIS2k eta nori
2022/2555 Zuzentaraua (EB) aplikatzen da, 2. artikuluaren arabera, bere eranskinetako sektoreetako erakundeei, gutxienez enpresa ertainaren tamaina dutenean, eta batzuei tamaina edozein dela ere. 3. artikuluak funtsezko eta garrantzitsuetan banatzen ditu. Estatu kide bakoitzak bere zuzenbide nazionalera transposatzen du: egiaztatu zuri dagozkizun legea eta agintaritza.
34. artikuluko gehienezko isunak, gutxienez, 10 milioi euro edo mundu osoko urteko negozio-zifraren % 2 dira erakunde funtsezkoentzat, eta 7 milioi edo % 1,4 garrantzitsuentzat, zenbateko handiena aplikatuta.
21. artikulua: arriskuak kudeatzeko neurriak
21. artikuluak neurri tekniko, operatibo eta antolakuntzako egoki eta proportzionalak eskatzen ditu, arrisku guztiak kontuan hartzen dituen ikuspegiarekin. 2. apartatuak hamar eremu zerrendatzen ditu, besteak beste arriskuen analisia, intzidentzien kudeaketa, jarraitutasuna, hornidura-katearen segurtasuna, kriptografia eta sarbide-kontrola.
Softwareak zer egin dezakeen
- Neurri bakoitza bere arduradunarekin, egoerarekin eta ebidentziarekin gorde, eta ebidentzia iraungitzen denean abisatu.
- Arrisku-erregistro bat eta bertsioak dituen politika-liburutegi bat mantendu.
- Ebidentzia bera esparru batzuetan berrerabili kontrolen arteko korrespondentzia dagoenean.
- Zuzendaritzarako eta auditoria baterako txostenak sortu.
Softwareak zer ezin duen egin
Neurriak zure arriskuarekiko proportzionalak izan behar dira, eta proportzionaltasun hori zuk erabakitzen duzu. Tresna batek ez du zure sarea konfiguratzen, ez du zure langilegoa prestatzen eta ez du neurri bat eraginkor bihurtzen erregistratuta egoteagatik soilik.
Pertsonen lan izaten jarraitzen duena
- Zer arrisku onartzen dituzun eta zer neurri den proportzionala erabaki.
- Kontrol tekniko eta antolakuntzakoak ezarri.
- Langilegoa eta zuzendaritza prestatu.
- Neurriek funtzionatzen dutela frogatu, ez dokumentatuta daudela soilik.
21. artikuluaren 2. apartatuko d) letra: hornidura-katearen segurtasuna
21. artikuluaren 2. apartatuko d) letrak hornitzaile edo zerbitzu-emaile zuzen bakoitzarekiko harremanaren segurtasun-alderdiak biltzen ditu, eta 3. apartatuak bakoitzaren zuzeneko ahulguneak eta bere produktuen eta zibersegurtasun-jardunen kalitate orokorra kontuan hartzeko eskatzen du. Bide horretatik, eremu zuzenetik kanpoko enpresa batek NIS2ren eskakizunak aurki ditzake bere kontratuetan.
Softwareak inbentarioan, ebidentzian eta hornitzaile bakoitzaren jarraipenean laguntzen du. Ez du ordezkatzen hornitzaile bat kontratatzeko, mantentzeko edo uzteko erabakia.
Tresnak zer egin beharko lukeen
- Hornitzaileen inbentarioa kritikotasunarekin, arduradunarekin eta kontratuarekin.
- Hornitzaile bakoitzeko ebidentzia baliozkotasun-datarekin, eta hura lortzeko hainbat modu.
- Hornitzaile bakoitzaren ahulgune eta urraketa ezagunen jarraipena.
- Zuri egindako intzidentzien jakinarazpen-klausulen jarraipena.
Iturria: 2022/2555 Zuzentaraua (EB) (NIS2), 2., 3., 20., 21., 23. eta 34. artikuluak, EUR-Lex-en (fitxa berri batean irekitzen da); 2024/2690 Betearazpen-erregelamendua (EB), eskakizun tekniko eta metodologikoak, EUR-Lex-en (fitxa berri batean irekitzen da)
23. artikulua: intzidentzien jakinarazpena
Intzidentzia esanguratsu baterako, 23. artikuluaren 4. apartatuak hiru mugarri ezartzen ditu. Ohar goiztiarra, atzerapen bidegaberik gabe eta, nolanahi ere, jakin eta 24 orduko epean. Intzidentziaren jakinarazpena 72 orduko epean. Azken txostena, jakinarazpenaren ondoren hilabete bateko epean gehienez. Agintaritzak eskatzen badu, tarteko txosten bat ere.
Estaltzen dituen erakunde motetarako, 2024/2690 Betearazpen-erregelamenduak (EB) zehazten du zer den intzidentzia esanguratsua.
Softwareak zer egin dezakeen
- Intzidentzia behin erregistratu eta epeak jakin-unetik zenbatu.
- Sailkapen bat proposatu bere irizpideekin eta jakinarazpen bakoitzerako zirriborroak prestatu.
- Nork zer eta noiz erabaki zuen jaso.
Iturria: 2022/2555 Zuzentaraua (EB) (NIS2), 2., 3., 20., 21., 23. eta 34. artikuluak, EUR-Lex-en (fitxa berri batean irekitzen da); 2024/2690 Betearazpen-erregelamendua (EB), eskakizun tekniko eta metodologikoak, EUR-Lex-en (fitxa berri batean irekitzen da)
20. artikulua: zuzendaritzaren erantzukizuna
20. artikuluak zuzendaritza-organoa behartzen du arrisku-neurriak onartzera, haien aplikazioa gainbegiratzera eta urraketez erantzutera, baita prestakuntza jasotzera ere. Ezein softwarek ez du erantzukizun hori bere gain hartzen. Zuzendaritzari datu argiak eta onartutakoaren erregistro bat eman diezazkioke.
Tresna bat nola ebaluatu
Tresnak hainbat motatakoak dira: GRC suiteak, intzidentzien kudeaketako plataformak, hirugarrenen arriskuko plataformak eta plataforma integratuak. HodeiShield integratuetako bat da eta aukera bat beste batzuen artean. Bere dokumentazioaren arabera, intzidentzia bat NIS2, DORA eta DBEOren aldean sailkatzen du irizpideekin, epeen atzerako kontaketa pantailan eta agintaritza bakoitzeko deskarga daitekeen zirriborro batekin, eta aurkeztea zuk egiten duzu. Esparru anitzeko korrespondentzia du, non erantzun bat beste esparru batzuetako kontrol baliokideetara hedatzen den, eta hornitzaileak erabilera bakarreko esteka batekin, konturik gabe, erantzuteko ataria. NIS2 bere kontrolen gaineko estaldura gisa neurtzen du, ez ziurtagiri gisa.
Edozein tresnarekin, proba hauek egitea komeni da.
Demo batean zer egiaztatu
- 21. artikuluko neurri bakoitzak arduraduna, egoera eta baliozkotasun-datadun ebidentzia izatea.
- Hornitzaile-moduluak inbentarioa, ebidentzia eta jarraipena estaltzea, ez galdetegi bat soilik.
- 24 orduko, 72 orduko eta hilabeteko epeak bere kabuz zenbatzea eta zirriborroa editagarria izatea.
- Agintaritzari aurkeztea zure esku geratzea eta tresnak argi esatea.
- Aldaketen erregistroa eta zure datuen esportazioa egotea.
- Datuak non ostatatzen diren eta zer ez duen estaltzen azaltzea.
Maiz egiten diren galderak
- Softwareak NIS2 betetzera eraman nazake?
- Ez bere kabuz. Neurriak, ebidentzia eta epeak ordenatu ditzake. Zuzendaritzaren onarpena, arriskuen analisia eta kontrolen ezarpena erakundearenak dira.
- Zer epe ezartzen ditu NIS2k intzidentzia bat jakinarazteko?
- Ohar goiztiarra 24 orduko epean, jakinarazpena 72 orduko epean eta azken txostena jakinarazpenaren ondoren hilabete bateko epean gehienez (23. artikuluaren 4. apartatua). Agintaritzak eskatzen badu, tarteko txosten bat ere.
- NIS2k eragiten al dit funtsezko edo garrantzitsua ez banaiz?
- Ez zuzenean, baina funtsezko edo garrantzitsua den erakunde bati hornitzen badiozu, kontratuz eska diezazuke 21. artikuluko hornidura-katearen betebeharra betetzeko.
- Nahikoa al da ISO/IEC 27001 ziurtagiri bat?
- Zuzentarauak ez du esaten ziurtagiri batek bere kabuz 21. artikulua betetzen dela frogatzen duenik. Zenbait neurriren ebidentzia gisa balio du, gainerakoarekin batera.
- Nork aurkezten dio jakinarazpena agintaritzari?
- Erakundeak. Tresna batek zirriborroa prestatu eta epeak zenbatu ditzake, baina zure agintaritza nazionalak ezarritako kanaletik aurkeztea zureak da.
Lotutako gida
Nola ebaluatu TPRM plataformak nire sektorerako?Hirugarrenen arriskuko plataformak DORA, NIS2, ENS, HIPAA, CMMC 2.0 eta SAMA edo ECC arabera alderatzeko, irakurri sektoreen araberako ebaluazio-gida.
Iturriak
Ikusi nolakoa litzatekeen zure datuekin
Demo batean lagin-datuekin aztertzen ditugu intzidentzien sailkapena, epeak eta hornitzaileen jarraipena, eta estaltzen ez duena esaten dizugu. Hodeitekeko pertsona batek erantzuten dizu.