NIS2: regulator nie liczy polityk, sprawdza czy procesy bezpieczeństwa naprawdę działają

W wielu organizacjach NIS2 wciąż traktowane jest jako kolejny projekt z kategorii compliance, do zaliczenia i odhaczenia. Regulator jednak jasno sygnalizuje inne priorytety: nie interesuje go liczba spisanych polityk czy zestaw zakupionych narzędzi ochronnych. Kluczowe stanie się to, czy przedsiębiorstwo jest w stanie udowodnić, że świadomie i w sposób powtarzalny zarządza ryzykiem. Taki wniosek płynie z najnowszych wytycznych ENISA, które przenoszą akcent z samej dokumentacji na faktyczne działanie procesów.

Dla firm z sektora technologicznego ta zmiana ma poważne konsekwencje. Do niedawna zgodność z przepisami sprowadzała się głównie do przygotowania właściwych papierów przed planowanym audytem. NIS2 stawia sprawę inaczej: organizacja musi być w stanie w każdej chwili wykazać, że mechanizmy bezpieczeństwa funkcjonują na bieżąco, nie tylko w dniu kontroli. To oznacza, że cyberbezpieczeństwo przestaje być zadaniem zleconym działowi IT, a staje się integralną częścią zarządzania całą firmą.

Widać to wyraźnie, gdy zastanowimy się, jakie pytania regulator będzie faktycznie stawiał. Kontrola nie zacznie się od sprawdzenia, jaki system ochrony sieci trafił na wyposażenie firmy. Znacznie istotniejsze będzie ustalenie, czy organizacja umie wskazać najbardziej krytyczne zagrożenia, oszacować ich potencjalny wpływ na działalność, wyznaczyć osoby odpowiedzialne za ich ograniczanie i potwierdzić, że cały proces jest na bieżąco weryfikowany. Ten sam schemat dotyczy obsługi incydentów, bezpieczeństwa współpracy z dostawcami oraz łatania podatności. W każdym z tych obszarów liczy się żywy proces, nie zbiór zapisanych na papierze procedur.

Z tego powodu na znaczeniu zyskuje pojęcie dowodów zgodności. ENISA nie zatrzymuje się na opisie samych wymagań, lecz wskazuje konkretne rodzaje materiałów, które mogą potwierdzać ich spełnienie. Wśród nich wymienia się rejestry ryzyka, wyniki testów planów ciągłości działania, raporty z reagowania na incydenty, logi systemowe, potwierdzenia przeprowadzonych przeglądów oraz dokumentację oceny dostawców. Dla regulatora samo zapewnienie, że dany proces istnieje, nie będzie miało wartości. Znaczenie będzie mieć wyłącznie możliwość pokazania, że działa on efektywnie i jest na trwałe utrzymywany.

Nowe podejście przekłada się też na rolę zarządów. NIS2 jednoznacznie stwierdza, że odpowiedzialność za cyberbezpieczeństwo nie może kończyć się na poziomie działu bezpieczeństwa czy IT. Kierownictwo firmy powinno rozumieć, na jakim poziomie ryzyka funkcjonuje organizacja, podejmować decyzje o jego akceptacji, dostarczać niezbędne zasoby i nadzorować realizację wyznaczonych działań. W efekcie cyberbezpieczeństwo dołącza do obszarów ładu korporacyjnego, na równi z zarządzaniem finansami czy ryzykiem operacyjnym.

Z praktycznego punktu widzenia firmy technologiczne powinny inwestować w budowę trwałych, stałych procesów, a nie realizować jednorazowy projekt „wdrożenia NIS2”. Organizacje, które zbudują spójny system zarządzania ryzykiem obejmujący relacje z dostawcami, raportowanie incydentów oraz regularną ocenę skuteczności zabezpieczeń, będą lepiej przygotowane nie tylko na kontrole związane z NIS2. Te same mechanizmy okażą się fundamentem, na którym łatwiej będzie budować zgodność z przyszłymi europejskimi regulacjami dotyczącymi cyberbezpieczeństwa i odporności cyfrowej.

NIS2 zmienia zatem sposób, w jaki regulator patrzy na dojrzałość organizacji. Firma nie musi dowodzić, że jest w stanie odeprzeć każdy możliwy cyberatak. Musi jednak wykazać, że potrafi na bieżąco zarządzać ryzykiem, sprawnie reagować na zagrożenia i przedstawić wiarygodne dowody na to, że jej procesy naprawdę działają. To właśnie stanie się głównym kryterium oceny.