Częste błędne przekonania o NIS2, które słyszę na rozmowach
Są trzy zdania o NIS2, które słyszę na rozmowach najczęściej. Brzmią rozsądnie, padają z pełnym przekonaniem i wszystkie trzy są nieprawdziwe. Dziś biorę je po kolei, bo każde z nich potrafi kosztować firmę pieniądze, a czasem osobisty portfel członka zarządu.
Pierwsze zdanie brzmi: jesteśmy małą firmą, więc nas to nie dotyczy. Ma w sobie ziarno prawdy, dlatego jest tak groźne. Ustawa o krajowym systemie cyberbezpieczeństwa rzeczywiście opiera się na progach wielkości. Podmiot ważny to co do zasady średni przedsiębiorca, czyli od pięćdziesięciu osób wzwyż, a podmiot kluczowy to duży.
Mikro i mała firma w większości sektorów rzeczywiście zostaje poniżej progu. Tyle że od tej zasady jest cała lista wyjątków. Dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa podlegają ustawie już od progu małego przedsiębiorcy. Dostawcy usług DNS, rejestry domen czy kwalifikowani dostawcy usług zaufania podlegają jej niezależnie od wielkości. Do tego dochodzą podmioty publiczne, a także organ, który może w drodze decyzji uznać firmę za kluczową czy ważną, jeśli świadczy usługę o znaczeniu dla całego sektora.
Jest jeszcze jedno, o czym wiele małych firm zapomina. Nawet jeśli sama nie podlegasz ustawie, możesz być poddostawcą dla kogoś, kto podlega. Taki klient ma obowiązek oceniać ryzyko w swoim łańcuchu dostaw i zacznie to przerzucać na Ciebie w umowie: pytania w ankiecie, klauzule bezpieczeństwa, prawo do kontroli. Formalnie jesteś poza ustawą, a jej wymagania i tak do Ciebie docierają, tylko drogą kontraktową. Dlatego pytanie nie brzmi, czy jestem za mały, tylko jaki mam sektor, co dokładnie robię i dla kogo.
Drugie zdanie: mamy politykę bezpieczeństwa, więc jesteśmy do tego przygotowani. Albo jego bliźniak: zamówimy jeden dokument i będzie po sprawie. Tymczasem ustawa wymaga systemu zarządzania bezpieczeństwem informacji, a to coś zupełnie innego niż plik w folderze. System oznacza, że firma systematycznie szacuje ryzyko i zarządza nim, a środki techniczne i organizacyjne są dobrane do tego, co analiza wykazała. Ustawa wymienia czternaście obszarów, które ten system ma obejmować: od polityk i bezpieczeństwa fizycznego, przez ciągłość działania i kopie zapasowe, po kryptografię, kontrolę dostępu, zarządzanie aktywami i bezpieczeństwo łańcucha dostaw.
Do tego dochodzi dokumentacja, ale nie sama normatywna. Ustawa mówi też o dokumentacji operacyjnej, czyli o zapisach potwierdzających, że opisane czynności się odbywają: logi, rejestry, protokoły. Dokument, który nic nie zostawia po sobie w codziennej pracy, nie obroni się w kontroli. Audytor, kontroler i organ nadzorczy zapytają o dowód, nie o politykę.
Trzecie zdanie, to moje ulubione: za bezpieczeństwo odpowiada dział IT. Słyszę je od prezesów, od właścicieli i od dyrektorów finansowych, zawsze z ulgą w głosie. Tymczasem ustawa mówi wprost, że za wykonywanie obowiązków z zakresu cyberbezpieczeństwa odpowiada kierownik podmiotu. I nie ma tu furtki w postaci delegowania. Nawet jeśli kierownik powierzył te obowiązki innej osobie, odpowiedzialność zostaje przy nim. Jeśli kierownikiem jest organ wieloosobowy i nikt nie został wskazany jako odpowiedzialny, odpowiadają wszyscy jego członkowie.
Co ustawa wymaga od kierownika osobiście? Decyzji o tym, jak wygląda system zarządzania bezpieczeństwem informacji, zaplanowania na to pieniędzy, przydzielenia zadań i nadzoru nad ich wykonaniem. Wymaga też, żeby raz w roku kalendarzowym przeszedł szkolenie i żeby udział w nim został udokumentowany. Za niewykonanie tych obowiązków kierownikowi może grozić kara pieniężna, w przypadku podmiotów prywatnych sięgająca trzystu procent jego wynagrodzenia liczonego jak ekwiwalent za urlop. Dział IT jest od wdrożenia, a decyzja i odpowiedzialność leżą w zarządzie.
Jeśli miałbym z tych trzech mitów wyciągnąć jeden wspólny mianownik, to byłby nim komfort. Każde z tych zdań pozwala odłożyć temat na później. Mała firma może spać spokojnie, jeden dokument załatwia sprawę, a odpowiedzialność jest gdzie indziej. Ustawa każdemu z tych przekonań zaprzecza, i lepiej się o tym dowiedzieć wcześniej niż później z pisma od organu nadzorczego.