Směrnice NIS2 – Cílem této směrnice je zvýšit ochranu kritických a digitálních služeb, a tím i odolnost evropské infrastruktury proti kybernetickým hrozbám. Pro mnoho organizací představuje NIS2 nové výzvy, zejména pokud jde o splnění jejích požadavků na bezpečnost a správu rizik. Zde přichází do hry ISO 27001, což je mezinárodně uznávaná norma pro systém řízení bezpečnosti informací (ISMS), která může výrazně zjednodušit cestu k implementaci směrnice NIS2.
ISO 27001: Základ pro kybernetickou bezpečnost
ISO 27001 stanovuje rámec pro řízení bezpečnosti informací v organizaci. Tato norma pokrývá široké spektrum bezpečnostních opatření, od řízení rizik a fyzické bezpečnosti až po školení zaměstnanců a ochranu před kybernetickými útoky. Certifikace ISO 27001 poskytuje organizacím jasné a strukturované postupy pro identifikaci, hodnocení a řízení bezpečnostních rizik.
Vzhledem k tomu, že NIS2 klade důraz na zajištění odpovídající kybernetické ochrany, implementace ISO 27001 představuje logický krok pro organizace, které chtějí splnit nové požadavky bez nutnosti vytvářet procesy od nuly. Norma ISO 27001 již obsahuje mnoho prvků, které jsou součástí požadavků NIS2, čímž může výrazně urychlit a zjednodušit celý proces.
Některé z klíčových požadavků, které se objevují jak v normě ISO 27001, tak i v novele českého zákona o kybernetické bezpečnosti, zahrnují následující oblasti:
- Posouzení rizik: ISO 27001 i novela kybernetického zákona vyžadují, aby organizace s vyššími povinnostmi pravidelně hodnotily a řídily rizika a vytvářely analýzy rizik za účelem identifikace a minimalizace hrozeb pro své informační systémy.
- Ochrana přístupu: Implementace opatření pro řízení přístupu, což zahrnuje správu uživatelských oprávnění a ověřování identity, je klíčovým prvkem v obou předpisech.
- Řízení incidentů: Organizace musí mít zavedené postupy pro řešení bezpečnostních incidentů, včetně jejich identifikace a hlášení příslušným orgánům.
- Kontinuita činnosti: ISO 27001 i novela kybernetického zákona vyžadují plány na zajištění kontinuity podnikání, zejména pro klíčové služby, aby byla zajištěna stabilita provozu i při výskytu bezpečnostních incidentů.
- Školení a povědomí: ISO 27001 i novela kybernetického zákona zdůrazňují význam pravidelného školení zaměstnanců i vedení firmy v oblasti kybernetické bezpečnosti, čímž zvyšují celkové povědomí a připravenost na bezpečnostní hrozby.
- Zabezpečení dodavatelského řetězce: ISO 27001 a novela zákona zahrnují požadavky na zabezpečení externích dodavatelů a partnerů, jejich hodnocení, aby rizika spojená s třetími stranami byla minimalizována.
- Pravidelné audity a monitorování: Obě normy vyžadují, aby organizace s vyššími povinnostmi dle NZKB pravidelně absolvovaly audity, a dále vyžadují monitoring bezpečnostních opatření a revize souladu s předpisy, aby bylo zajištěno jejich trvalé dodržování.
Splnění těchto požadavků organizaci nejen chrání před kybernetickými hrozbami, ale také zajistí souladu s právními předpisy a mezinárodními standardy.
Má vaše firma ISO27001, nebo uvažuje o jejím zavedení? A je to dostačující?
Společnosti, které mají implementován systém řízení bezpečnosti informací dle normy ISO 27001, tím plní přibližně 70 % požadavků směrnice NIS2, což platí pro organizační opatření a významně usnadňuje jejich celkovou shodu s touto legislativou. U technických požadavků bych se to neodvážil hodnotit takto vysoko.
Ne pro všechny podniky. Pro průmyslové podniky a sektory je vhodnější implementovat normu IEC 62443 (je mezinárodní standard zaměřený na kybernetickou bezpečnost systémů průmyslové automatizace a řízení (ICS), často označovaných jako OT (Operational Technology). OT zahrnuje hardware a software, který řídí průmyslové procesy, jako jsou výrobní linky, energetické systémy nebo dopravní infrastruktura. Ještě jste o ní neslyšeli? Nevadí!
Sledujte nás i nadále, protože se této normě budeme věnovat v připravovaném článku. Norma IEC 62443 pomáhá zabezpečit OT kritické systémy před kybernetickými hrozbami, což je klíčové zejména pro průmyslové podniky a sektory, které musí splňovat specifické bezpečnostní požadavky, jako je NIS2. Společnosti, které mají implementovanou tuto normu poté splňují požadavky NIS2 ve vyšších povinnostech až na 80 %.
Závěr
Pokud vaše společnost potřebuje zajistit kybernetickou bezpečnost a splnit požadavky ISO 27001 či směrnice NIS2, neváhejte nás kontaktovat ZDE. Nabízíme kompletní podporu při implementaci ISO 27001, včetně interních auditů, přípravy dokumentace a celkového zajištění souladu s normami. Jsme tu, abychom vás provedli celým procesem a pomohli splnit všechny požadavky včas a efektivně.
