Pakiet gotowości na NIS2: weryfikacja zakresu, raport luk względem dziesięciu środków bezpieczeństwa z art. 21 i wstępne polityki, przygotowane na podstawie twoich odpowiedzi w ciągu 10 dni roboczych

Dostawcy usług przetwarzania w chmurze, dostawcy usług centrów danych, dostawcy usług zarządzanych i dostawcy zarządzanych usług bezpieczeństwa są wymienieni w załączniku I, a dyrektywa wskazuje oprogramowanie jako usługę (SaaS) wśród modeli usług przetwarzania w chmurze. W przypadku tych dostawców nadzoruje cię kraj, w którym podejmuje się głównie decyzje dotyczące środków cyberbezpieczeństwa. Sprawdzenie zakresu zestawia twoje usługi z tymi definicjami.

Może być. Zgodnie z art. 21 ust. 2 lit. d firmy objęte NIS2 muszą zarządzać bezpieczeństwem swojego łańcucha dostaw, w tym bezpośrednich dostawców, więc przekazują wymagania bezpieczeństwa także dostawcom, których dyrektywa nie obejmuje. Sprawdzenie zakresu może wykazać, że nie podlegasz dyrektywie. Wtedy pakiet staje się zestawem dowodów, o który proszą ci klienci: pisemnymi politykami i raportem luk, który możesz im pokazać.

Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych; obsługa incydentów; ciągłość działania, w tym kopie zapasowe i odtwarzanie po awarii, oraz zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów, w tym obsługa i ujawnianie podatności; ocena skuteczności środków; podstawowa cyberhigiena i szkolenia; kryptografia i, w stosownych przypadkach, szyfrowanie; bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami; a także uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja, w stosownych przypadkach.

Zgodnie z art. 23 poważny incydent zgłasza się do zespołu CSIRT lub organu krajowego etapami: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania informacji o incydencie, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu. Procedura w pakiecie wskazuje, kto decyduje, kto zgłasza i co zawiera każde zgłoszenie. Jeśli chcesz mieć pełny plan reagowania na incydenty, napisany, a potem sprawdzony z twoim zespołem, zapewnia to plan reagowania na incydenty z ćwiczeniem tabletop za 690 €, płatne jednorazowo.

Zgodnie z art. 20 zatwierdza on środki bezpieczeństwa, nadzoruje ich wdrożenie i może ponosić odpowiedzialność za naruszenia, a jego członkowie muszą przechodzić szkolenia. Jednostronicowe podsumowanie przekazuje mu wynik sprawdzenia zakresu i główne luki, a polityka szkoleń obejmuje jego własne szkolenia.

To zależy od twojego kraju, a sprawdzenie zakresu podaje kroki dla twojego. We Włoszech, zgodnie z dekretem ustawodawczym 138/2024, firmy rejestrują się na platformie Krajowej Agencji Cyberbezpieczeństwa (ACN) co roku między 1 stycznia a 28 lutego. W Niemczech ustawa o BSI wymaga rejestracji w Federalnym Urzędzie ds. Bezpieczeństwa Informacji (BSI) w ciągu trzech miesięcy od pierwszego spełnienia kryteriów, za pośrednictwem portalu BSI.

Kraje UE miały przyjąć przepisy do 17 października 2024 roku i stosować je od 18 października 2024 roku, ale zrobiły to w różnym czasie. W dniu dostawy sprawdzamy przepisy obowiązujące w twoim kraju i strony jego organu, a sprawdzenie zakresu się na nie powołuje. Jeśli przepisy krajowe jeszcze nie weszły w życie, sprawdzenie zakresu informuje o tym i opiera się na dyrektywie.

Za naruszenie art. 21 lub 23 każdy kraj musi dopuszczać kary dla podmiotów kluczowych w wysokości co najmniej do 10 mln euro lub 2% całkowitego rocznego obrotu światowego, zależnie od tego, która kwota jest wyższa, a dla podmiotów ważnych co najmniej do 7 mln euro lub 1,4%, zależnie od tego, która kwota jest wyższa. Dokładne kwoty określa prawo krajowe.

Nie. Sprawdzenie zakresu i dokumenty przygotowujemy na podstawie twoich odpowiedzi i opublikowanych tekstów. Nie jesteśmy kancelarią prawną, nie testujemy twoich systemów i niczego nie certyfikujemy. Ostatnie słowo w sprawie zakresu ma twój własny prawnik lub organ krajowy, a sam pakiet nie sprawia, że spełniasz wymogi.

Twoje odpowiedzi czytają modele AI, których dostawcy mają siedzibę w Stanach Zjednoczonych, na warunkach komercyjnych, w których dostawca nie trenuje na nich modeli. AIGROW również nie trenuje modeli AI na twoich danych. Te przekazania odbywają się na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską w 2021 r., które zawiera nasza umowa powierzenia przetwarzania danych. Usuwamy twoje odpowiedzi, dokumenty i nasze pliki robocze 30 dni po dostarczeniu, a na twoją prośbę także wcześniej.

W ciągu 10 dni roboczych od otrzymania kompletnych odpowiedzi. Jeśli organ lub klient potrzebuje pakietu szybciej, napisz na hello@aigrow.gg przed zapłatą, a powiemy ci, czy zdążymy na ten termin.