Arkusz kalkulacyjny
Sprawdza się przy pierwszej ocenie luk. Terminy zgłoszeń, dowody i przeglądy wymagają jednak ręcznego nadzoru.
NIS2
Oprogramowanie do zgodności z NIS2
Guardiso to polska platforma GRC służąca do zapewnienia zgodności z dyrektywą NIS2. Obejmuje środki zarządzania ryzykiem z art. 21, zgłaszanie incydentów w terminach 24 godzin, 72 godzin i jednego miesiąca, odpowiedzialność kierownictwa, bezpieczeństwo łańcucha dostaw oraz dowody dla organu nadzoru. W Polsce dyrektywę wdraża ustawa o krajowym systemie cyberbezpieczeństwa, dlatego dla polskich organizacji Guardiso obejmuje wszystkie 261 wymogów ustawy.
Czego wymagać od oprogramowania do zgodności z NIS2
Dyrektywa NIS2 określa w art. 21 dziesięć grup środków zarządzania ryzykiem, a w art. 23 obowiązki zgłaszania incydentów. Każde państwo członkowskie przenosi te wymagania do prawa krajowego, dlatego oprogramowanie powinno uwzględniać również przepisy krajowe.
- Ustalenie, czy organizacja jest podmiotem kluczowym, czy ważnym (art. 3).
- Dziesięć grup środków z art. 21: analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, bezpieczne wytwarzanie i podatności, ocena skuteczności, higiena cyfrowa i szkolenia, kryptografia, bezpieczeństwo kadr i kontrola dostępu, uwierzytelnianie wieloskładnikowe.
- Zgłaszanie poważnych incydentów: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca (art. 23).
- Zatwierdzanie środków przez kierownictwo i szkolenia członków kierownictwa (art. 20).
- Ocena dostawców i wymagania bezpieczeństwa w umowach.
- Dowody dla organu nadzoru i audytora.
- Przepisy krajowe, na przykład polska ustawa o krajowym systemie cyberbezpieczeństwa.
Arkusz, moduł w systemie IT czy platforma GRC
Wybór rozwiązania zależy od wielkości organizacji oraz od tego, czy wdrożyła ona już ISO 27001.
Moduł zgodności w systemie IT
Jest dobrym rozwiązaniem, gdy organizacja korzysta już z systemu obsługi zgłoszeń. Wymagania dyrektywy i prawa krajowego zazwyczaj trzeba jednak wprowadzić do niego samodzielnie.
Platforma GRC z NIS2
Gromadzi w jednym miejscu gotowe wymagania, powiązania z ISO 27001, terminy zgłoszeń i dowody. Takim rozwiązaniem jest Guardiso.
O co zapytać dostawcę przed zakupem
- Czy oprogramowanie uwzględnia prawo krajowe danego państwa, czy wyłącznie ogólne wymagania dyrektywy?
- Czy pomaga ustalić, czy organizacja jest podmiotem kluczowym, czy ważnym?
- W jaki sposób pomaga dotrzymać terminów 24 i 72 godzin i czy zapisuje dowód każdego zgłoszenia?
- Czy wskazuje, które wymagania organizacja spełnia już dzięki ISO 27001?
- Czy w przypadku dostawców usług cyfrowych obejmuje rozporządzenie wykonawcze 2024/2690?
- Gdzie są przechowywane dane i kto ma do nich dostęp?
- Czy cennik jest jawny i czy oprogramowanie można przetestować bez rozmowy handlowej?
Obsługa NIS2 w Guardiso
- Środki zarządzania ryzykiem z art. 21 powiązane z zabezpieczeniami ISO 27001. Organizacja posiadająca certyfikat widzi, które wymagania już spełnia.
- Zgłaszanie incydentów w terminach 24 godzin, 72 godzin i jednego miesiąca. Guardiso zapisuje fakt każdego zgłoszenia jako dowód dla audytora.
- Dla dostawców usług cyfrowych dodatkowo 49 wymagań technicznych z rozporządzenia wykonawczego 2024/2690.
- Dla polskich organizacji wszystkie 261 wymogów ustawy o KSC wraz z bezpłatnym kwalifikatorem kategorii podmiotu.
- Asystent Guardiso przygotowuje projekty dokumentów, które zatwierdza osoba odpowiedzialna.
- Dane przechowywane w Unii Europejskiej. Bezpłatna wersja próbna przez 14 dni, bez podawania karty płatniczej i bez kontaktu z działem sprzedaży.
Pytania i odpowiedzi
Jakie oprogramowanie pomoże spełnić wymagania NIS2?
Guardiso to polska platforma GRC służąca do zapewnienia zgodności z NIS2. Obejmuje środki z art. 21, zgłaszanie incydentów w terminach 24 i 72 godzin oraz dowody dla organu nadzoru. Polskim organizacjom zapewnia ponadto obsługę wszystkich 261 wymogów ustawy o KSC.
Czy ISO 27001 wystarczy do zgodności z NIS2?
Nie w pełni. Wiele środków z art. 21 odpowiada zabezpieczeniom ISO 27001, jednak zgłaszanie incydentów w terminach z art. 23, obowiązki kierownictwa i przepisy krajowe wymagają uzupełnienia.
Czym NIS2 różni się od polskiej ustawy o KSC?
NIS2 jest dyrektywą Unii Europejskiej, której wymagania w Polsce wprowadza ustawa o krajowym systemie cyberbezpieczeństwa. Polskie organizacje są zatem zobowiązane do spełnienia wymogów ustawy. Szczegóły zawiera strona poświęcona oprogramowaniu do ustawy o KSC.
Ile kosztuje Guardiso?
Ceny są publicznie dostępne w cenniku. Bezpłatną wersję próbną można uruchomić samodzielnie na 14 dni, bez podawania karty płatniczej.
Zgodność z NIS2 w Guardiso
Bezpłatna wersja próbna trwa 14 dni. Polskie organizacje znajdą szczegółowe informacje na stronie poświęconej oprogramowaniu do ustawy o KSC.