Jak wdrożyć NIS2/KSC — praktyczna roadmapa

Etap 0 — mandat, kwalifikacja i zakres

Cel: upewnić się, że organizacja wie, dlaczego prowadzi program, czego dotyczy zakres i kto podejmuje decyzje.

• potwierdzenie kwalifikacji
• określenie usług i jednostek objętych zakresem
• wskazanie sponsora i powołanie Komitetu Sterującego
• wyznaczenie CIO lub innego dyrektora programu
• utworzenie strumieni i właścicieli
• przyjęcie zasad raportowania i eskalacji
• zabezpieczenie budżetu na diagnozę

Produkty: karta programu, zakres, governance, RACI, harmonogram audytu, rejestr interesariuszy. Bramka: zatwierdzenie zakresu i mandatu przez zarząd.

Etap 1 — audyt GAP

Cel: ustalić stan faktyczny, nie deklarowany. Audyt powinien łączyć przegląd dokumentów, wywiady, próbki dowodów i weryfikację techniczną. Wynik ma pokazać: wymaganie, stan obecny, istniejący dowód, lukę, ryzyko, rekomendację, właściciela, szacowany wysiłek, priorytet oraz szybkie działania ograniczające ryzyko.

Nie wystarczy zaznaczyć „polityka istnieje”. Trzeba sprawdzić, czy proces jest stosowany, czy rejestry są aktualne, a zabezpieczenia działają.

Etap 2 — BIA

Cel: ustalić priorytety biznesowe i wymagania odtworzeniowe. BIA powinna zostać przeprowadzona z właścicielami procesów. Dla każdego procesu określa się:

• produkty lub usługi, klientów i zobowiązania
• skutki przerwy w czasie
• MTPD lub maksymalny tolerowany okres zakłócenia
• minimalny akceptowalny poziom działania
• RTO procesu i wspierających zasobów oraz RPO dla danych
• zależności od ludzi, lokalizacji, IT, OT, dostawców, energii i komunikacji
• możliwe obejścia manualne i kolejność odtwarzania

Bramka: zatwierdzenie procesów krytycznych, RTO i RPO przez biznes.

Etap 3 — aktywa i analiza ryzyka

• stworzenie mapy usług i zależności
• uporządkowanie rejestru aktywów i klasyfikacja informacji
• identyfikacja zagrożeń i podatności
• ocena prawdopodobieństwa oraz skutku i istniejących kontroli
• określenie ryzyka rezydualnego i wybór sposobu postępowania
• zatwierdzenie planu i właścicieli

Analiza nie może być anonimową tabelą przygotowaną przez konsultanta. Właściciel ryzyka musi rozumieć scenariusz i podjąć decyzję.

Etap 4 — docelowy SZBI i dokumentacja

Nie tworzyć osobnej polityki dla każdego zdania ustawy. Łączyć tematy logicznie i dopasować dokumentację do rzeczywistego modelu działania. Dla każdego procesu opisać: cel i zakres, właściciela, role, wejścia i wyjścia, kroki, częstotliwość, kryteria eskalacji, wymagane zapisy, KPI lub KRI, wyjątki oraz przegląd i doskonalenie.

Etap 5 — remediacja

• governance: role, komitety, raportowanie, ryzyko
• biznes: BCP, obejścia, dostawcy, wymagania dostępności
• ludzie: szkolenia, JML, odpowiedzialność, zastępstwa
• proces: incydenty, zmiany, podatności, dostęp, backup
• technologia: środki wybrane na podstawie ryzyka
• dowody: rejestry, raporty, wyniki testów i decyzje

Priorytet ustalać według połączenia: ryzyko, krytyczność procesu, obowiązek, zależności, czas wdrożenia i koszt.

Etap 6 — testy i ćwiczenia

• odtworzenie kopii oraz realizacja RTO i RPO
• scenariusz ransomware
• niedostępność kluczowego dostawcy
• utrata lokalizacji lub systemu
• komunikacja, eskalacja i raportowanie incydentu
• dostępy awaryjne i wykrywanie najważniejszych scenariuszy
• działanie zastępstw personalnych

Ćwiczenie ma kończyć się raportem, listą problemów, właścicielami i terminami. Samo stwierdzenie „test zakończony sukcesem” nie jest wystarczającym dowodem.

Etap 7 — gotowość i ciągłe doskonalenie

• audyt wewnętrzny i przegląd zarządczy
• status działań naprawczych i akceptacja ryzyka rezydualnego
• plan audytu zewnętrznego i cykl KPI/KRI
• aktualizacja po zmianach, incydentach i testach
• coroczne szkolenia i ćwiczenia
• okresowe przeglądy dostawców oraz uprawnień

Minimalny harmonogram 12-miesięczny

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.