Dokument „Mapowanie zgodności z wymaganiami NIS2 (Compliance Mapping)” powinien pomóc organizacji zrozumieć, jak jej procesy, polityki, i systemy spełniają wymagania Dyrektywy NIS2, identyfikując luki i obszary do poprawy. Oto kluczowe elementy, które powinien zawierać:

1. Wprowadzenie

• Cel dokumentu: Wyjaśnienie, dlaczego mapowanie zgodności jest istotne (np. zapewnienie zgodności z NIS2, identyfikacja luk, wdrożenie środków zaradczych).
• Zakres: Określenie, które systemy, procesy, jednostki organizacyjne lub lokalizacje są objęte mapowaniem.
• Regulacje i standardy: Odniesienie do NIS2 i innych powiązanych przepisów (np. RODO, ISO 27001).

2. Podsumowanie wymagań NIS2

• Lista kluczowych wymagań dyrektywy NIS2, np.:
  • Zarządzanie ryzykiem bezpieczeństwa cybernetycznego.
  • Zgłaszanie incydentów.
  • Ochrona sieci i systemów informacyjnych.
  • Odpowiedzialność kadry zarządzającej.
  • Współpraca transgraniczna.

3. Struktura mapowania

• Kategorie wymagań: Podział na obszary tematyczne, takie jak zarządzanie ryzykiem, zgłaszanie incydentów, ochrona danych itp.
• Tabela mapowania: Stworzenie tabeli, która przedstawia:
  • Wymaganie NIS2: Dokładne odniesienie do konkretnego artykułu lub sekcji.
  • Zgodność: Informacja, czy wymaganie jest spełnione (Tak/Nie/Częściowo).
  • Dowody zgodności: Linki do polityk, procedur, raportów, dokumentów audytowych.
  • Luki: Identyfikacja obszarów, w których organizacja nie spełnia wymagań.
  • Rekomendacje: Propozycje działań naprawczych.

Przykład tabeli:

Wymaganie NIS2	Zgodność (Tak/Nie/Częściowo)	Dowody zgodności	Luka	Rekomendacje
Art. 18: Zarządzanie ryzykiem	Częściowo	ISO 27001, polityka ryzyka	Brak formalnego planu naprawczego	Stworzyć i wdrożyć plan zarządzania ryzykiem

4. Szczegółowe mapowanie
4.1. Zarządzanie ryzykiem bezpieczeństwa

• Wymaganie: Implementacja środków zarządzania ryzykiem.
• Obecne praktyki: Opis istniejących polityk i procedur.
• Luki: Przykład: Brak regularnych przeglądów ryzyka.
• Rekomendacje: Wdrożenie corocznego przeglądu i aktualizacji oceny ryzyka.

4.2. Zgłaszanie incydentów

• Wymaganie: Obowiązek zgłaszania incydentów w ciągu 24 godzin.
• Obecne praktyki: Proces zgłaszania incydentów do zespołu CERT.
• Luki: Brak pełnej automatyzacji zgłaszania incydentów.
• Rekomendacje: Udoskonalenie systemu zgłaszania i raportowania.

4.3. Odpowiedzialność kadry zarządzającej

• Wymaganie: Świadomość i zaangażowanie zarządu w sprawy cyberbezpieczeństwa.
• Obecne praktyki: Szkolenia dla zarządu raz w roku.
• Luki: Niska częstotliwość i szczegółowość szkoleń.
• Rekomendacje: Wprowadzenie kwartalnych sesji szkoleniowych.

5. Ocena ryzyka i luki w zgodności

• Podsumowanie luk: Kluczowe obszary, w których organizacja nie spełnia wymagań.
• Ocena ryzyka: Jakie ryzyka wiążą się z lukami w zgodności.
• Priorytetyzacja działań: Klasyfikacja luk wg ich znaczenia (np. wysokie, średnie, niskie ryzyko).

6. Plan działań naprawczych

• Lista działań: Konkretne kroki do poprawy zgodności.
• Terminy: Harmonogram realizacji działań.
• Odpowiedzialność: Przypisanie osób lub zespołów odpowiedzialnych za wdrożenie poprawek.

Przykład:

Luka	Działanie naprawcze	Termin realizacji	Odpowiedzialny
Brak planu zarządzania ryzykiem	Stworzenie planu zarządzania ryzykiem	31.03.2024	Zespół ds. ryzyka

7. Mechanizmy monitorowania i przeglądu

• Cykliczność przeglądów: Regularna aktualizacja mapowania zgodności (np. co kwartał).
• Systemy monitorowania: Wykorzystanie narzędzi do śledzenia postępów w realizacji działań naprawczych.
• Raportowanie: Informowanie kadry zarządzającej o stanie zgodności z NIS2.

8. Szkolenia i świadomość

• Program szkoleń: Organizacja szkoleń dotyczących wymagań NIS2.
• Edukacja pracowników: Podnoszenie świadomości w zakresie roli każdego działu w spełnianiu wymagań.

9. Podsumowanie i wnioski

• Status zgodności: Ogólny poziom zgodności z wymaganiami NIS2.
• Kluczowe obszary do poprawy: Wskazanie priorytetowych działań.
• Rekomendacje dla zarządu: Sugerowane decyzje i inwestycje.

Dobrze opracowany dokument „Mapowanie zgodności z wymaganiami NIS2” pozwala organizacji na skuteczne zarządzanie ryzykiem i zgodnością, a także ułatwia wdrażanie niezbędnych działań naprawczych.

Oto lista kluczowych wymagań Dyrektywy NIS2, które organizacje powinny zaadresować w celu zapewnienia zgodności:

1. Zarządzanie ryzykiem bezpieczeństwa
1.1. Wdrażanie systematycznych procesów zarządzania ryzykiem. 1.2. Ocena zagrożeń związanych z bezpieczeństwem sieci i systemów informacyjnych. 1.3. Ustalanie procedur minimalizacji ryzyka i przeciwdziałania skutkom incydentów.

2. Polityki bezpieczeństwa
2.1. Opracowanie, wdrożenie i utrzymanie polityk bezpieczeństwa informacyjnego. 2.2. Regularne przeglądy i aktualizacje polityk w celu uwzględnienia nowych zagrożeń. 2.3. Zintegrowanie polityk bezpieczeństwa z procesami zarządzania organizacją.

3. Ochrona sieci i systemów informacyjnych
3.1. Zapewnienie ochrony przed atakami cybernetycznymi (np. ransomware, DDoS). 3.2. Wdrażanie systemów wykrywania i reagowania na zagrożenia. 3.3. Stosowanie kontroli dostępu do krytycznych zasobów. 3.4. Szyfrowanie danych w tranzycie i w spoczynku.

4. Zarządzanie incydentami
4.1. Wdrożenie procedur wykrywania, zgłaszania i zarządzania incydentami. 4.2. Zgłaszanie incydentów do odpowiednich organów w czasie 24 godzin od ich wykrycia. 4.3. Dokumentowanie incydentów oraz wyciąganie wniosków na przyszłość.

5. Odporność operacyjna
5.1. Zapewnienie ciągłości działania systemów krytycznych. 5.2. Tworzenie planów odzyskiwania danych i systemów po awarii (Disaster Recovery Plan). 5.3. Testowanie planów ciągłości działania i odzyskiwania.

6. Zarządzanie łańcuchem dostaw
6.1. Identyfikacja i ocena ryzyk związanych z dostawcami i podwykonawcami. 6.2. Wprowadzenie wymagań bezpieczeństwa dla dostawców. 6.3. Monitorowanie bezpieczeństwa w łańcuchu dostaw.

7. Szkolenia i świadomość
7.1. Regularne szkolenia dla pracowników z zakresu cyberbezpieczeństwa. 7.2. Podnoszenie świadomości zarządu i pracowników o zagrożeniach. 7.3. Wdrażanie programów szkoleniowych w odpowiedzi na zmieniające się ryzyka.

8. Odpowiedzialność kadry zarządzającej
8.1. Kadra zarządzająca musi być świadoma swoich obowiązków w zakresie cyberbezpieczeństwa. 8.2. Włączenie cyberbezpieczeństwa do procesów decyzyjnych na poziomie zarządu. 8.3. Odpowiedzialność zarządu za zgodność z wymogami NIS2.

9. Współpraca międzynarodowa i krajowa
9.1. Utrzymywanie kanałów komunikacji z odpowiednimi organami i instytucjami (np. CSIRT, ENISA). 9.2. Współpraca z innymi podmiotami w celu wymiany informacji o zagrożeniach. 9.3. Stosowanie się do krajowych strategii i planów dotyczących cyberbezpieczeństwa.

10. Zgłaszanie i monitorowanie
10.1. Regularne raportowanie do krajowego organu nadzorczego o stanie zgodności. 10.2. Prowadzenie rejestrów działań bezpieczeństwa, incydentów i audytów. 10.3. Stosowanie się do wymagań w zakresie przejrzystości wobec regulatorów.

11. Ochrona danych osobowych
11.1. Zapewnienie zgodności z RODO w kontekście przetwarzania danych osobowych. 11.2. Minimalizacja ryzyka wycieku danych osobowych w wyniku incydentów. 11.3. Zgłaszanie naruszeń danych osobowych zgodnie z przepisami NIS2 i RODO.

12. Audyt i przegląd zgodności
12.1. Regularne audyty zgodności z wymaganiami NIS2. 12.2. Dokumentowanie i weryfikacja wdrożonych środków bezpieczeństwa. 12.3. Identyfikowanie i usuwanie luk w zgodności.

Te punkty są wytycznymi do opracowania kompleksowego planu zgodności z NIS2, umożliwiając organizacji efektywne zarządzanie ryzykiem i spełnienie wymagań dyrektywy.