Každý vážny rámec kybernetickej bezpečnosti začína rovnakým dokumentom: písomnou, manažmentom schválenou politikou informačnej bezpečnosti (ISSP). Smernica NIS2 ju uvádza ako prvé z opatrení na riadenie rizík v článku 21 a norma ISO/IEC 27001 ju robí požiadavkou klauzuly 5.2. Security Policy Express sprevádza európske MSP riadeným online workshopom a vygeneruje štruktúrovanú prvú verziu vo svojom mene: pracovný návrh na preskúmanie vašimi poradcami, nie právne poradenstvo.
Odpoveď za minútu, pre konateľa, ktorý nie je IT špecialista.
Politika informačnej bezpečnosti (skrátene ISSP, vo francúzštine PSSI) je dokument, v ktorom vedenie písomne uvádza, ako firma chráni svoje informácie a IT systémy, kto za čo zodpovedá a aké pravidlá musí každý dodržiavať. V úvode je krátka (vyhlásenie politiky podpísané vedením) a ďalej podrobnejšia (pravidlá pre jednotlivé oblasti a prevádzkové postupy). Nie je to technická príručka: je to rozhodnutie vedenia zapísané na papier, na ktoré sa môže odvolávať zvyšok vašej bezpečnostnej práce.
Norma ISO/IEC 27001 pripisuje politiku „najvyššiemu manažmentu“ a smernica NIS2 v článku 20 žiada orgány riadenia subjektov v pôsobnosti, aby schvaľovali opatrenia na riadenie rizík kybernetickej bezpečnosti a dohliadali na ich plnenie. Váš IT dodávateľ môže pomôcť ju napísať; vlastniť ju však môže iba vaše vedenie.
Zdroje: smernica (EÚ) 2022/2555, čl. 20 · ISO/IEC 27001:2022, klauzula 5Osvedčená prax rozlišuje tri vrstvy. Politika stanovuje zásady a zodpovednosti. Tematické politiky (riadenie prístupu, zálohovanie, kryptografia, dodávatelia...) ich prenášajú do jednotlivých oblastí. Postupy popisujú, kto čo robí, krok za krokom, keď sa niečo stane. Opatrenie 5.1 prílohy A normy ISO/IEC 27001 výslovne spomína politiku aj tematické politiky.
Zdroj: ISO/IEC 27001:2022, príloha A, opatrenie 5.1Žiaden európsky text nevynucuje jednotnú šablónu. Článok 21 ods. 1 smernice NIS2 žiada opatrenia „vhodné a primerané“, pričom zohľadňuje vystavenie subjektu rizikám, jeho veľkosť a pravdepodobnosť a závažnosť incidentov. Výrobca so 40 zamestnancami a nemocnica nenapíšu rovnakú politiku a ani by nemali.
Zdroj: smernica (EÚ) 2022/2555, čl. 21 ods. 1Politika napísaná raz a odložená nechráni nič. Rámce očakávajú, že sa oznámi zamestnancom, že ju potvrdia a že sa preskúma v plánovaných intervaloch a po významných zmenách. Preto by vaša politika mala od prvého dňa obsahovať vlastný cyklus revízie, vlastníka a históriu verzií.
Zdroj: ISO/IEC 27001:2022, klauzula 5.2 a opatrenie 5.1Väčšina malých a stredných firiem už uplatňuje nejaké bezpečnostné pravidlá. Zvyčajne však chýba písomná, schválená a súvislá verzia, ktorú môže regulátor, audítor, poisťovňa alebo veľký zákazník skutočne prečítať.
NIS2 rozširuje pravidlá kybernetickej bezpečnosti EÚ na mnohé stredne veľké firmy v odvetviach ako výroba, potraviny, nakladanie s odpadom, doprava alebo digitálne služby. Pre subjekty v pôsobnosti sú „politiky analýzy rizík a bezpečnosti informačných systémov“ prvým opatrením uvedeným v článku 21 ods. 2.
Článok 21 ods. 2 písm. d) smernice NIS2 vyžaduje, aby subjekty v pôsobnosti riešili bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov vzťahov s priamymi dodávateľmi. Aj keď ste mimo pôsobnosti, väčší zákazníci vás môžu požiadať, aby ste v dotazníkoch pre dodávateľov predložili písomnú bezpečnostnú politiku.
Písanie politiky znamená odpovedať na mnoho otázok naraz: čo sú naše kritické aktíva, kto rozhoduje, čo robíme pri útoku ransomvéru, ako dlho uchovávame zálohy? Bez štruktúry sa táto práca odkladá kvartál za kvartálom.
Stiahnuté šablóny často opisujú organizáciu s bezpečnostným pracovníkom, centrom bezpečnostných operácií a vyhradeným rozpočtom. Dokument, ktorý nezodpovedá realite, je horší ako žiadny: nebude sa uplatňovať a audítor si všimne rozdiel medzi papierom a praxou.
Ten istý dokument odpovedá na viacero textov naraz. Tu je, čo každý z nich skutočne hovorí, s odkazom na oficiálny zdroj. Každý odkaz smeruje na oficiálny zdroj; vnútroštátne transpozície môžu pridať podrobnosti.
Podstatné a dôležité subjekty musia prijať „vhodné a primerané technické, prevádzkové a organizačné opatrenia“ na riadenie rizík kybernetickej bezpečnosti, založené na prístupe pre všetky riziká. Zoznam v článku 21 ods. 2 začína písmenom „a) politiky analýzy rizík a bezpečnosti informačných systémov“. Článok 20 dopĺňa, že orgány riadenia tieto opatrenia schvaľujú, dohliadajú na ich plnenie a absolvujú školenia.
Klauzula 5.2 vyžaduje, aby najvyššie vedenie stanovilo politiku informačnej bezpečnosti primeranú účelu organizácie, poskytujúcu rámec pre bezpečnostné ciele a obsahujúcu záväzky na plnenie požiadaviek a na neustále zlepšovanie. Musí byť zdokumentovaná, interne oznámená a podľa potreby sprístupnená zainteresovaným stranám. Opatrenie 5.1 prílohy A rozširuje túto požiadavku na tematické politiky, ktoré sú schválené, zverejnené, potvrdené a preskúmané.
Článok 24 ods. 2 uvádza, že ak je to primerané spracovateľským činnostiam, opatrenia prevádzkovateľa zahŕňajú „vykonávanie primeraných politík ochrany údajov“. Článok 32 vyžaduje primerané technické a organizačné opatrenia na zabezpečenie úrovne bezpečnosti primeranej riziku. Bezpečnostná politika je prirodzeným miestom na ich zdokumentovanie.
Pre niektoré digitálne subjekty (napríklad poskytovateľov cloudových služieb, dátových centier a spravovaných služieb) Komisia prijala podrobné technické a metodické požiadavky. Jej príloha sa začína „politikou bezpečnosti sietí a informačných systémov“ a popisuje, ako sa schvaľuje, dokumentuje a preskúmava. Aj keď vaša firma nie je jedným z týchto typov subjektov, príloha je užitočný verejný referenčný dokument na štruktúrovanie politiky.
Pre finančné subjekty DORA vyžaduje, aby vypracovali a zdokumentovali politiku informačnej bezpečnosti, ktorá definuje pravidlá ochrany dostupnosti, autentickosti, integrity a dôvernosti údajov, informačných aktív a aktív IKT. Ak ste dodávateľom IKT pre banku alebo poisťovňu, očakávajte, že sa vás zákazník spýta, ako sa vaša vlastná politika porovnáva.
Národné agentúry pre kybernetickú bezpečnosť zverejňujú bezplatné usmernenia, na ktorých môže politika stavať. Vo Francúzsku príručka ANSSI o hygiene IT uvádza 42 základných opatrení pre osoby zodpovedné za bezpečnosť informačného systému organizácie. ENISA, Agentúra EÚ pre kybernetickú bezpečnosť, zverejňuje usmernenia na podporu implementácie NIS2 v celej Únii.
Článok 21 ods. 2 smernice NIS2 uvádza desať minimálnych opatrení. Písmeno a) je samotná politika, ale dobre zostavená politika je aj miestom, kde ostatných deväť opatrení nájde svojho vlastníka, pravidlo a postup. Takto štruktúrujeme vygenerovaný dokument.
Vyhlásenie politiky, rozsah, roly a metóda, ktorou identifikujete a hodnotíte riziká. Toto je chrbtica dokumentu.
Postup riadenia incidentov: detekcia, posúdenie, eskalácia, obmedzenie, oznámenie a poučenie sa z udalostí.
Správa záloh, obnova po havárii a riadenie krízy, tak ako ich formuluje smernica: kto rozhoduje, čo sa spúšťa ako prvé, ako často sa testujú zálohy.
Pravidlá pre výber, zmluvné zabezpečenie a monitorovanie IT dodávateľov a poskytovateľov služieb vrátane bezpečnostných doložiek, ktoré od nich očakávate.
Ako sa vyberajú a konfigurujú nové systémy, ako sa aplikujú aktualizácie a ako sa riešia a zverejňujú zraniteľnosti.
Politiky a postupy, ktoré overujú, že opatrenia fungujú: ukazovatele, interné kontroly, cvičenia a preskúmanie vedením.
Každodenné pravidlá (heslá, aktualizácie, povedomie o phishingu) a plán školení vrátane vedenia, ako to vyžaduje článok 20 ods. 2 pre orgány riadenia.
Kedy sa majú údaje šifrovať (notebooky, zálohy, prenosy), ktoré protokoly sú prijateľné a kto spravuje kľúče.
Nástup, presun a odchod zamestnancov; kto dostane aký prístup a kto ho schváli; inventár aktív s ich vlastníkmi.
Kde sa vyžaduje viacfaktorové alebo priebežné overenie a ako sa zabezpečuje hlasová, video, textová a núdzová komunikácia.
Odkazy na ISO/IEC 27001 sú orientačné zhody, ktoré sme vypracovali na pomoc pri orientácii, nie oficiálne mapovanie zverejnené ISO ani Európskou komisiou. Zdroj desiatich opatrení: smernica (EÚ) 2022/2555, čl. 21 ods. 2.
Vygenerovaný dokument nasleduje štruktúru, ktorú audítor, poisťovňa alebo zákazník spoznajú. Každá kapitola sa vypĺňa z odpovedí zadaných vo workshope, takže opisuje vašu firmu, a nie fiktívnu.
Záväzok vedenia, v niekoľkých odsekoch, podpísaný a datovaný.
Kto rozhoduje, kto implementuje, kto kontroluje, aj keď je IT outsourcované.
Jednoduchý, opakovateľný spôsob identifikácie, hodnotenia a riešenia rizík.
Vedieť, čo chránite, skôr než rozhodnete, ako to robiť.
Kto môže k čomu pristupovať a ako sa to preukazuje.
Technický základ, napísaný zrozumiteľne.
Kde sa vyžaduje šifrovanie a ako sa spravuje.
Bezpečnosť vo vzťahoch s IT dodávateľmi a cloudovými službami.
Ľudská stránka, od nástupu po odchod.
Priestory, serverovne a zariadenia mimo kancelárie.
Zásady, podrobne opísané v postupoch nižšie.
Ako politika zostáva živá a pravdivá.
Politika hovorí, čo sa má stať; postup hovorí, kto to urobí, v akom poradí a s akým záznamom. Týchto štyroch sa zákazníci a audítori pýtajú najčastejšie a sú najdôležitejšie v deň, keď sa niečo pokazí.
Od prvého upozornenia po záverečnú správu: ako zamestnanci nahlasujú podozrivú udalosť, kto ju posúdi, kto izoluje dotknuté systémy, kto kontaktuje vášho IT dodávateľa, poisťovňu a orgány a ako sa zachovávajú dôkazy.
Ako sa účet žiada, schvaľuje, vytvára, mení a odstraňuje. Postup pokrýva nástupy, zmeny rolí a odchody, správcovské účty, zdieľané a servisné účty a pravidelné preskúmanie, pri ktorom vedúci potvrdí, že každá osoba ešte potrebuje prístup, ktorý má.
Ako sa opisuje, posudzuje riziko, schvaľuje, testuje, vykonáva a v prípade potreby vracia späť zmena produkčného systému (nová aplikácia, pravidlo firewallu, veľká aktualizácia). V malej firme môže byť postup ľahký: stačí krátky formulár a záznam, ak existujú a používajú sa.
Čo sa zálohuje, ako často, kde, ako dlho a predovšetkým ako sa testuje obnova. Postup spája zálohy s cieľmi obnovy pre každú kritickú činnosť a popisuje krízovú organizáciu: kto rozhoduje, kto komunikuje, ktoré systémy sa spúšťajú ako prvé.
Politika je napísaná pre vedenie a IT. Politika prijateľného používania (AUP) je napísaná pre všetkých ostatných: krátky, čitateľný súbor pravidiel, ktorý každý zamestnanec, dočasný pracovník alebo dodávateľ prijme pred použitím IT firmy.
Používanie účtov a hesiel, e-mail a komunikácia, prístup na internet, osobné používanie tolerované alebo nie, mobilné zariadenia a práca na diaľku, vymeniteľné médiá, cloudové služby a nástroje generatívnej umelej inteligencie, dôvernosť, hlásenie incidentov a to, čo môže spoločnosť monitorovať a prečo.
Norma ISO/IEC 27001, opatrenie 5.10, žiada, aby sa pravidlá prijateľného používania informácií a ostatných súvisiacich aktív identifikovali, dokumentovali a zaviedli. Ich udržanie v samostatnej prílohe uľahčuje čítanie, podpis, aktualizáciu a priloženie k pracovným dokumentom.
Ak AUP spomína zaznamenávanie udalostí alebo monitorovanie činnosti zamestnancov, uplatňuje sa právo ochrany údajov: zamestnanci musia byť informovaní (GDPR čl. 13) a členské štáty môžu prijať špecifickejšie pravidlá pre pracovné vzťahy (GDPR čl. 88). Orgány ochrany údajov, ako napríklad francúzska CNIL, zverejňujú usmernenia o tom, čo je prijateľné.
Záväznosť AUP voči zamestnancom môže vyžadovať vnútroštátne formality. Vo Francúzsku sa napríklad (na potvrdenie s vaším poradcom podľa Zákonníka práce) takéto pravidlá bežne prikladajú k vnútornému predpisu (règlement intérieur), ktorý sa riadi postupom stanoveným Zákonníkom práce vrátane konzultácie so zástupcami zamestnancov. Pravidlá svojej krajiny overte so svojím poradcom.
Zdroje: ISO/IEC 27001:2022, A.5.10 · nariadenie (EÚ) 2016/679, čl. 13, 88 · CNIL · Légifrance, francúzsky Zákonník práce, čl. L1321-4 a L1321-5.
Politika opisuje firmu, ktorá sa mení: noví zamestnanci, nový softvér, noví dodávatelia, nové hrozby. Rámce, ktoré citujeme, spravidla očakávajú, že sa bude udržiavať aktuálna. Vygenerovaný dokument obsahuje vlastný kalendár revízií, vlastníka a tabuľku verzií.
Prvá verzia je schválená vedením, datovaná a verzovaná. Podľa NIS2 čl. 20 ods. 1 orgány riadenia subjektov v pôsobnosti schvaľujú opatrenia na riadenie rizík kybernetickej bezpečnosti; podľa ISO/IEC 27001 klauzuly 5.2 politiku stanovuje najvyššie vedenie.
Politika sa zverejní interne; politiku prijateľného používania potvrdí každý používateľ. ISO/IEC 27001 opatrenie 5.1 očakáva, že politiky budú oznámené relevantnému personálu a zainteresovaným stranám a ním potvrdené.
ISO/IEC 27001 opatrenie 5.1 žiada revíziu v plánovaných intervaloch a pri významných zmenách. Ročná revízia je pre MSP rozumný predvolený postup; vykonávacie nariadenie (EÚ) 2024/2690 tiež upravuje revíziu politiky pre digitálne typy subjektov, na ktoré sa vzťahuje.
Vážny incident, fúzia, nová prevádzka, presun do cloudu alebo nový predpis sú dôvody na otvorenie dokumentu bez čakania na výročie. Poučenia z incidentov vstupujú do ďalšej verzie.
Tabuľka verzií, záznam o schválení, zoznam zmien, potvrdenia. V deň, keď sa audítor, poisťovňa alebo zákazník spýta, táto história ukazuje, že politika sa uplatňuje, a nie je len napísaná. Norma ISO/IEC 27001 klauzula 7.5 upravuje túto zdokumentovanú informáciu.
Security Policy Express je navrhnutý ako samoobslužný nástroj. Obsah máte pod kontrolou; nástroj poskytuje štruktúru, otázky a odkazy.
Krátky test sa pýta na váš sektor, veľkosť, činnosti a zákazníkov a povie vám, či je pravdepodobné, že sa na vás vzťahuje NIS2, aké ďalšie texty môžu byť relevantné a ktoré časti politiky sú vo vašej situácii najdôležitejšie. Na záväznú odpoveď vás nasmeruje na oficiálne nástroje vášho národného orgánu.
Odpovedáte vlastnými slovami na sériu vedených otázok kapitolu po kapitole: vaša organizácia, vaše kritické činnosti, váš IT dodávateľ, vaše zálohy, ako riešite odchody, čo by ste urobili v prípade ransomvéru. Každá otázka vysvetľuje, prečo sa kladie a ku ktorému článku alebo opatreniu sa vzťahuje. Kedykoľvek môžete prerušiť a pokračovať.
Nástroj vygeneruje politiku, štyri postupy a prílohu o prijateľnom používaní v mene vašej firmy z vašich odpovedí. Ak chýba odpoveď, dokument to výslovne uvedie namiesto vyplnenia medzery všeobecným textom. Výsledkom je pracovný návrh, ktorý musia preskúmať a overiť vlastní poradcovia (advokát, IT dodávateľ, zodpovedná osoba pre ochranu údajov) pred schválením vedením.
Ak chcete pomoc pri kritickom preskúmaní odpovedí, prispôsobení dokumentu konkrétnemu kontextu alebo príprave auditu, môžete požiadať o podporu partnerského konzultanta. Tento krok je voliteľný: samoobslužná cesta je úplná aj bez neho.
Dôležité: vygenerovaný dokument je pracovný základ. Nepredstavuje právne poradenstvo a sám osebe nespôsobí, že vaša firma bude v súlade s NIS2, normou ISO/IEC 27001, GDPR ani žiadnym vnútroštátnym predpisom. Súlad závisí od toho, čo skutočne zavediete, a zostáva vašou zodpovednosťou.
Tri časti, vygenerované spoločne z rovnakého workshopu. Dostupnosť a podmienky budú oznámené pri spustení.
Hlavný dokument, podpísaný vedením.
To, čo politiku robí operatívnou.
Aby ste sa vyznali v textoch.
Treba rozlišovať dve situácie: zákonnú povinnosť pre firmy v pôsobnosti NIS2 (alebo DORA) a silne odporúčanú osvedčenú prax pre všetkých ostatných.
NIS2 sa vo všeobecnosti vzťahuje na verejné alebo súkromné subjekty typu uvedeného v jej prílohe I alebo II, ktoré sú stredne veľkými podnikmi alebo prekračujú hornú hranicu pre stredné podniky podľa odporúčania Komisie 2003/361/ES (čl. 2 ods. 1). Niektoré typy subjektov sú pokryté bez ohľadu na veľkosť (čl. 2 ods. 2). Subjekty sa potom klasifikujú ako „podstatné“ alebo „dôležité“ (čl. 3), čo ovplyvňuje dohľad a sankcie, ale obe musia uplatňovať článok 21.
Príloha I (odvetvia s vysokou kritickosťou): energetika, doprava, bankovníctvo, infraštruktúry finančného trhu, zdravotníctvo, pitná voda, odpadová voda, digitálna infraštruktúra, riadenie služieb IKT (B2B), verejná správa a vesmír. Príloha II (iné kritické odvetvia): poštové a kuriérske služby, nakladanie s odpadom, chemikálie, potraviny, výroba (vrátane zdravotníckych pomôcok, elektroniky, elektrických zariadení, strojov a vozidiel), digitálni poskytovatelia a výskum.
NIS2 je smernica: členské štáty ju museli transponovať do 17. októbra 2024 a uplatňovať opatrenia od 18. októbra 2024 (čl. 41). Stav a podrobnosti transpozície sa v jednotlivých krajinách líšia a vnútroštátne právo môže obsah opatrení spresniť. Vždy overte zákon a oficiálne nástroje na posúdenie oprávnenosti vo svojej krajine.
Mimo týchto rozsahov žiadne všeobecné európske právo nevyžaduje od MSP prijatie dokumentu s názvom „politika informačnej bezpečnosti“. GDPR sa však uplatňuje takmer na každú firmu, sa zákazníci čoraz častejšie pýtajú dodávateľov na bezpečnosť a písomná politika je prvým krokom každého uznávaného rámca. Je to voľba opatrnosti, nie právny postih.
Zdroje: smernica (EÚ) 2022/2555, čl. 2, 3, 41 a prílohy I a II · odporúčanie Komisie 2003/361/ES · Európska komisia, stránka o smernici NIS2 · Francúzsko: ANSSI, stránka NIS 2 (MesServicesCyber).
Každé regulačné alebo normatívne tvrdenie vyššie odkazuje na jeden z týchto zdrojov. Odkazy smerujú na oficiálneho vydavateľa.
Táto stránka je poskytnutá na informačné účely. Nepredstavuje právne poradenstvo. Texty sú citované v znení zverejnenom na EUR-Lex; vnútroštátne transpozície a usmernenia orgánov môžu pridať požiadavky.
Samoobslužný workshop je v príprave. Otázky medzitým: contact@syaga.eu.