NIS2-felkészítés és vCISO

A NIS2 az EU kiberbiztonsági irányelve, amely sok cégtől és intézménytől megköveteli, hogy szervezetten védje az informatikai rendszereit. A vCISO pedig egy külső információbiztonsági vezető: tudásban teljes értékű, de nem kell főállásban alkalmaznia.

Kinek szól?

  • Azoknak a közép- és nagyvállalatoknak, amelyek a NIS2 által érintett ágazatban működnek, például a gyártásban, a szállításban, a futárszolgálatban, a vízügyben vagy az energiaszektorban.
  • Állami és önkormányzati szervezeteknek, amelyekre külön kiberbiztonsági előírások vonatkoznak.
  • Azoknak a beszállítóknak, akiktől a NIS2-köteles partnerük biztonsági megfelelést kér.
  • Azoknak a cégeknek, amelyeknek kell egy felelős szakember, de nem indokolt főállású biztonsági vezetőt felvenni.

A NIS2 dióhéjban

Magyarországon a NIS2-t a 2024. évi LXIX. törvény ülteti át a gyakorlatba, a felügyeletet pedig a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el. Az érintett szervezeteknek többek között regisztrálniuk kell, kockázatokat kell felmérniük, védelmi intézkedéseket kell bevezetniük, a jelentős incidenseket be kell jelenteniük, és rendszeres kiberbiztonsági auditon kell átesniük.

A felelősség nem az informatikusoké egyedül: a felső vezetésnek is át kell látnia és felügyelnie kell a kiberbiztonságot. Az, hogy pontosan mire kötelezett egy szervezet, a tevékenységétől és a méretétől függ, ezért mindig ezzel kezdünk.

Mit csinál egy vCISO?

Képzelje el úgy, mint egy külső pénzügyi vezetőt, csak a biztonság területén. Tudja, mit vár el a jogszabály, rangsorolja a teendőket, elkészítteti a szükséges dokumentumokat, és érthető nyelven beszámol a vezetésnek. Vállalhatjuk az elektronikus információs rendszerek biztonságáért felelős személy szerepét is.

Ide tartozik a munkatársak képzése is. A leggyengébb pont gyakran az ember, ezért rendszeres oktatással és közérthető hírlevelekkel segítjük a biztonságtudatos gondolkodást.

Hogyan dolgozunk?

  1. Felmérés

    Megnézzük, érintett-e a szervezet, milyen kötelezettségei vannak, és hol tart ma.

  2. Kockázatelemzés

    Felmérjük, mi fenyegeti a rendszereit, és melyik veszély mekkora kárt okozna.

  3. Akcióterv

    Fontossági sorrendbe tett, felelősökkel és határidőkkel ellátott tervet készítünk.

  4. Megvalósítás

    Szabályzatokat, folyamatokat és beszállítói követelményeket alakítunk ki, és oktatjuk a kollégákat.

  5. Felkészítés az auditra

    Rendezzük a bizonyítékokat, és végigmegyünk az auditor várható kérdésein.

  6. Folyamatos működés

    vCISO-ként utána is figyeljük a kockázatokat, az incidenseket és a szükséges frissítéseket.

Mit kap kézhez?

  • Testre szabott akcióterv
  • Kockázatkezelési nyilvántartás
  • Szabályzatok és eljárásrendek
  • Beszállítói megfelelési dokumentumok
  • Munkatársi oktatások és biztonsági hírlevelek
  • Rendszeres, közérthető vezetői beszámolók

Gyakori kérdések

Honnan tudom, hogy a cégemre vonatkozik-e a NIS2?

Elsősorban a tevékenysége és a mérete dönt: jellemzően a középvállalati mérettől felfelé érintettek a kijelölt ágazatok szereplői, de egyes szervezetek mérettől függetlenül is. Rövid felmérés után megmondjuk, mi a helyzet.

A Quentit végzi el a NIS2-auditot?

A jogszabály szerinti kiberbiztonsági auditot független, erre jogosult auditor végzi. Mi arra készítjük fel, hogy ezen a vizsgálaton megfeleljen, és az eredmények alapján segítünk a javításban.

Mi a különbség a CISO és a vCISO között?

A feladat hasonló. A CISO főállású alkalmazott, a vCISO külső szakember, akit a tényleges igény szerint vesz igénybe.

Mennyi idő a felkészülés?

A szervezet méretétől és kiinduló állapotától függ. A felmérés után reális ütemtervet adunk.

Referenciák

  • ExpressOne Kft.
  • ASP Hungary Kft.
  • Tobroco Kft.
  • Heves Megyei Vízmű Zrt.
  • Egri Tankerületi Központ