Konsultanci zgodności z NIS2 i audytorzy bezpieczeństwa

Konsultanci zgodności z NIS2 dołączają do zespołu, aby ocenić obowiązki wynikające z właściwych przepisów krajowych i rozpoznać luki w zabezpieczeniach. Uzgadniają z obsługą prawną kwestie zakresu regulacji, w tym klasyfikację podmiotu i odpowiedzialność transgraniczną.

Przygotowują ocenę względem wymagań art. 21 NIS2, ze wskazaniem właścicieli kontroli i priorytetów działań naprawczych. Mogą mapować istniejące zabezpieczenia ISO/IEC 27001:2022 na te wymagania oraz wskazywać brakujące dowody. Opracowują też materiały dla zarządu dotyczące obowiązków nadzorczych.

Inżynierowie bezpieczeństwa usuwają luki techniczne rozpoznane podczas oceny zgodności z NIS2. Zakres może obejmować kontrolę tożsamości i usuwanie podatności. Dokumentacja wdrożonych zmian pozwala później zweryfikować wykonane działania.

• Zarządzanie dostępem i podatnościami: Konfigurują uwierzytelnianie wieloskładnikowe oraz kontrolę dostępu uprzywilejowanego. Ustalają odpowiedzialność za poprawki i obsługę wyjątków dla systemów, których nie można od razu zaktualizować.
• Bezpieczeństwo łańcucha dostaw: Oceniają dostęp dostawców oraz wymagania bezpieczeństwa w umowach. Określają wymagane dowody i działania naprawcze wobec dostawców, których usługi wpływają na istotne procesy biznesowe.

Specjaliści reagowania na incydenty przekładają obowiązki zgłoszeniowe na procedury stosowane podczas zdarzenia. Określają progi eskalacji i odpowiedzialność za zgłoszenia zgodnie z właściwymi przepisami krajowymi. W razie potrzeby uzgadniają procedury z obsługą prawną.

• Gotowość na incydenty: Opracowują scenariusze reagowania i szablony zgłoszeń. Prowadzą ćwiczenia symulacyjne sprawdzające podejmowanie decyzji pod presją czasu.
• Ciągłość i odtwarzanie: Weryfikują analizy wpływu na działalność oraz plany odtworzenia. Testują przywracanie danych z kopii zapasowych względem uzgodnionych celów odtworzeniowych, a po nieudanych lub niepełnych testach dokumentują działania naprawcze.

Audytorzy bezpieczeństwa sprawdzają, czy udokumentowane kontrole działają zgodnie z założeniami. Badają próbki dowodów i rozmawiają z właścicielami kontroli. W ustaleniach rozróżniają braki dokumentacji oraz błędy wdrożenia, a priorytety napraw wiążą z ryzykiem biznesowym.

W ramach bieżącego wsparcia konsultanci NIS2 utrzymują rejestry kontroli i monitorują działania naprawcze przy zmianach systemów lub dostawców. Przygotowują dowody na potrzeby ocen klientów lub zapytań organów nadzoru oraz ponownie sprawdzają zamknięte ustalenia audytowe. Przegląd gotowości nie stanowi zatwierdzenia przez organ nadzoru ani uniwersalnej certyfikacji NIS2.