Проверка за съответствие с NIS2 и KSC: документи, регистри и тестове в единна доказателствена следа

Проверката за съответствие с NIS2 и KSC не се изчерпва с представяне на политики и процедури. Надзорният орган може да провери дали организацията правилно е определила обхвата на задълженията, разпределила е отговорностите, внедрила е необходимите мерки и може да докаже тяхното действие чрез актуални регистри, резултати от тестове и управленски решения. Затова подготовката трябва да следва ясна доказателствена верига: от задължението и риска, през приложената мярка, до записа за изпълнение, оценката на ефективността и реакцията при отклонение.

Проверката оценява системата, а не папката с документи

Отправната точка не е броят на политиките и процедурите, а правилното определяне на обхвата на задълженията. Организацията трябва да може да посочи кои услуги, процеси, информационни системи, местоположения и зависимости от доставчици попадат под изискванията на KSC и на какво основание е взето това решение. Преди документацията да бъде подредена, ръководството следва да потвърди статута на организацията и обхвата на предоставяните услуги, а след това да определи лице, което да координира подготовката за проверката.

Най-същественият доказателствен риск възниква, когато документацията описва мерки, които организацията реално не прилага или не може да потвърди със записи. Това се отнася особено за прегледите на правата за достъп, оценките на риска, резервните копия, контрола върху доставчиците и тестовете за непрекъсваемост на дейността. Доказателствата трябва да образуват последователна верига: изискване или риск, решение, приложена мярка, отговорност, запис за изпълнение, резултат от оценката на ефективността и реакция при установено отклонение.

Надзорният орган може да започне от рамков документ и след това да премине към оперативна извадка. Ако процедурата за управление на инциденти определя начина за класифициране и ескалиране на събитията, следва да се очаква проверка на подадените сигнали, времето за реакция, взетите решения, комуникацията, приключването на случаите и изводите след инцидента. Обхватът на системата се доказва не само с описание, а и с карта на услугите и зависимостите, регистър на активите, определени собственици и съответствие на тази информация с оперативните регистри.

Документацията по NIS2 и KSC преди проверка: какви политики, регистри и доказателства действително са необходими трябва да отразява работещ механизъм за управление, а не каталог с образци. Проверката от надзорния орган трябва да се разграничава от одита на система за управление. Двете дейности могат да използват сходни доказателства, но проверката оценява изпълнението на задълженията, произтичащи от приложимите разпоредби и обхвата на надзора, докато одитът оценява съответствието и ефективността на системата спрямо определени критерии. Положителният резултат от едната дейност не заменя другата.

Обхватът и отговорностите под проверка

Първата група доказателства трябва да обяснява защо организацията попада под конкретни задължения и къде са границите на контролираната среда. Органът може да изиска обосновка за класификацията на организацията, идентификация на услугите в регулаторния обхват и посочване на свързаните процеси, информационни активи, системи, местоположения и доставчици. Обхватът не бива да се описва единствено чрез наименованието на дейността. Той трябва да позволява проследяване на предоставянето на услугата от бизнес процеса, през поддържащите го активи, до външните зависимости.

Основата на подготовката е актуално описание на обхвата, одобрено от ръководството и допълнено с карта на услугите и процесите, регистър на критичните активи и структура на отговорностите. Документите, с които се определят ролите, трябва да посочват не само длъжностите, но и правомощията за приемане на риск, задействане на аварийни действия, ескалиране на инциденти и вземане на решения спрямо доставчици. Собствениците на услуги, активи и рискове трябва да бъдат определени в съответствие с реалното разпределение на компетенциите.

Типично несъответствие възниква, когато регистърът посочва формален собственик на риска, но решението за неговото приемане е взето от друго лице без съответните правомощия и без запис. Същият проблем се среща при отклоненията от мерките за сигурност, непрекъсваемостта на дейността и одобряването на доставчици. Протоколите от заседания, решенията, одобренията на оценките на риска, бюджетните решения и прегледите от ръководството трябва да показват, че ръководството познава съществените рискове, решава въпросите извън оперативните правомощия и следи изпълнението на взетите решения.

Начинът на класификация, вписването в съответния регистър и правомощията на органа трябва винаги да се определят според актуалната правна уредба и конкретното положение на организацията. Практическо продължение на темата е NIS2: самооценка и вписване в регистъра на KSC – какво трябва да направи производственото предприятие? Ако организацията има статут на ключов субект, оценката на обхвата трябва да бъде свързана и с материала Задължителен одит по KSC: кои ключови субекти трябва да се подготвят за първата оценка на съответствието. Самият статут обаче не доказва, че ръководството е одобрило границите на отговорност и е осигурило техния периодичен преглед.

Регистрите показват реалната практика

Регистърът е доказателство за непрекъснато управление само когато отразява решенията и действията, извършвани в процесите, а не представлява приложение към процедура, попълвано от време на време. Преди да бъде избран инструмент, трябва да се определят задължителните полета, източниците на данни, собствениците на записите и правилата за одобряване на промени. Електронна таблица може да бъде достатъчна, ако осигурява контрол на достъпа, история на промените, еднозначна отговорност и защита срещу неразрешена промяна. Дори сложен софтуерен инструмент няма да гарантира надеждност на данните, ако не е ясно кой, кога и въз основа на какво събитие актуализира регистъра.

Регистърът на рисковете трябва да свързва сценариите на заплахи с услугите и активите, да посочва собственика, съществуващите мерки, резултата от оценката, решението за третиране на риска и статуса на действията. Органът може да провери дали за риск, определен за ограничаване, има задача, срок и доказателство за изпълнение, а за приет риск — одобрение от лице със съответните правомощия. Полезни управленски показатели са броят на отворените рискове, незавършените действия и решенията, очакващи повторен преглед. Това са показатели, определени от организацията, а не законово установени прагове.

Регистърът на инцидентите и събитията трябва да позволява възстановяване на последователността от действия: откриване, класифициране на инцидента, ескалация, решение за уведомяване, комуникация, възстановяване на работата и формално приключване заедно с изводите. Свързаните материали включват регистри на уязвимости, корекции и одобрени изключения, прегледи на правата за достъп, създаване и възстановяване на резервни копия, конфигурационни промени, действия на администратори, обучения и учения.

Отлагането на корекция трябва да може да бъде проследено от идентифицираната уязвимост, през оценката на въздействието и решението за изключение, до въвеждането на компенсиращи мерки, срока за повторна оценка и потвърждението за приключване. Самият списък с просрочени корекции не показва дали забавянето е под контрол.

Същата последователност е необходима и при контрола на веригата за доставки. Списъкът с договори не заменя класификацията на доставчиците, оценката на зависимостта на услугите и активите от външни страни, определянето на изисквания за сигурност, записите от прегледите или решенията относно неприемливите пропуски. Регистърът трябва да показва кой е одобрил доставчика, какви отклонения са приети и кога ще се извърши повторна оценка. Особено внимание трябва да се отделя на доставчиците без актуална оценка и на неизпълнените действия след преглед. Темата остава важна и при изпълнение на програмата Внедряване на NIS2 след вписване в регистъра на KSC – план за действие до 3 април 2027 г.

Правилата за съхранение, достъп и одобряване на промени трябва да се определят според вида на записа, доказателствената му стойност, правните и договорните изисквания и потребностите при анализ на инциденти. Не следва да се приема един и същ срок за съхранение за всички регистри без такава оценка. Сроковете за уведомяване за инциденти и начинът за запазване на доказателствата трябва всеки път да се проверяват спрямо действащите разпоредби и указанията на компетентния орган. По-широкият набор от материали е разгледан в „Документацията по NIS2 и KSC преди проверка: какви политики, регистри и доказателства действително са необходими“. Оперативната зрялост обаче се доказва от записите, създавани в ежедневната работа, и от видимата връзка между изискването, резултата от контрола и коригиращото действие.

Всеки тест трябва да завършва с решение

Надзорният орган може да поиска не само план за непрекъсваемост на дейността, процедура за реагиране при инциденти или потвърждение за създаване на резервни копия. Съществени са и доказателствата, че тези решения са проверени при условия, съответстващи на реалните услуги, технологии и зависимости от доставчици. Програмата за изпитвания трябва да произтича от оценката на риска, критичността на услугата, промените в средата и приложимите правни и договорни изисквания. Няма една правилна честота за всички мерки. По-често трябва да се проверяват областите с голямо въздействие, бързо променящата се среда и мерките, при които предходни тестове са установили съществени отклонения.

Преди всеки тест трябва да се определят неговият предмет и критериите за успешно изпълнение. Записът следва да обхваща обхвата, сценария, участниците, средата, критериите за успех и допустимите отклонения, а след изпълнението — резултата, установените несъответствия и действителното или потенциалното въздействие върху услугата. При пропуски доказателственият материал трябва да посочва коригиращите действия, техните собственици, сроковете за изпълнение и датата за повторна проверка.

Подходящи показатели са действителното време за възстановяване, постигнатата точка на възстановяване, времето за ескалация и делът на приключените действия след теста. Най-сериозната организационна грешка е периодичното тестване без критерии за успех или без приключване на установените несъответствия.

Ключовите изпитвания включват възстановяване на данни от резервни копия, преминаване към аварийни решения, учения за реагиране при инциденти, тестове на кризисната комуникация, прегледи на правата за достъп, възстановяване на конфигурации и технически проверки за уязвимости, включително сканиране и — според риска — тестове за проникване. Резултатът от доставчик може да бъде част от доказателствата, но не заменя изпитването от страна на организацията, ако не обхваща нейните процеси, интеграции, отговорности и оперативни условия.

След всеки тест собственикът на услугата трябва да вземе документирано решение: да приеме резултата, да приложи корекция, да въведе компенсираща мярка, да повтори теста или да приеме риска в рамките на предоставените му правомощия.

Успешното създаване на резервно копие на база данни все още не доказва способност за възстановяване на услугата. По време на теста може да се установи, че приложението изисква недокументирана версия на конфигурацията, механизмът за идентификация не работи в аварийната среда, ключовете не са достъпни или единственият човек, който познава последователността за стартиране на компонентите, не участва във възстановяването. Само проверката на цялата верига от зависимости позволява действителното време и точка на възстановяване да бъдат сравнени с приетите критерии, да се оцени въздействието върху услугата и да се вземе решение за готовност или необходимост от подобрение.

Този начин на документиране на тестовете е приложим независимо от сектора, включително при анализа на темата NIS2 за производствени предприятия: кого обхваща, какви задължения въвежда и как организацията да се подготви, без темата да се свежда единствено до ИТ. Обхватът на очакваните доказателства трябва да се съобразява със задълженията на конкретната организация, нейните услуги и актуалната правна уредба. Най-важна остава последователната връзка: идентифициран риск, планиран тест, измерим критерий, документиран резултат, решение на собственика и потвърждение за ефективното приключване на действията.

Несъответствията увеличават разхода и натоварването при проверка

Формално пълната документация губи стойност, когато не съответства на действителното състояние. Органът може да сравни декларациите в политиките с конфигурацията на системите, записите за сигнали, договорите, списъците с достъпи, резултатите от сканирания, протоколите от тестове и обясненията на собствениците на процеси. Целта не е редакционно съвпадение, а възможност решенията да бъдат проследени от идентифицираното задължение и риск до внедрената мярка, записа за нейното действие и реакцията при отклонение.

Предварителната контролна проверка преди действията на органа трябва да се основава на целенасочено подбрана извадка от услуги, инциденти, доставчици и права за достъп, след което да проследи документацията до изходните данни. Това позволява да бъдат установени неактуални регистри на активите, различни наименования на една и съща услуга в отделни документи, рискове без собственик, инциденти, пропуснати в регистъра, доставчици без документирана оценка и коригиращи действия, приключени без проверка на ефективността. Разминаванията трябва да се отстраняват чрез установяване на фактическото състояние и собственика на записа, а не чрез формално уеднаквяване на документите в последния момент.

В производствено предприятие прегледът не трябва да приключва с офисната ИТ среда. За избрана услуга той може да обхване техническата поддръжка, автоматизацията, отдалечения сервизен достъп, управлението на конфигурациите и зависимостите между производствените системи. Например списъкът с достъпи може да не съдържа акаунт, използван от сервизен специалист, въпреки че договорът, записът на връзката и конфигурацията на устройството потвърждават неговото съществуване. Значението на тези зависимости е разгледано по-подробно в материала „NIS2 за производствени предприятия: кого обхваща, какви задължения въвежда и как организацията да се подготви, без темата да се свежда единствено до ИТ“.

Сертификатът за система за управление може да внесе ред в управлението на риска, контрола на документацията, одитите и коригиращите действия, но не заменя анализа на правния обхват или доказателствата за изпълнение на задълженията по KSC. Тази граница е разгледана в NIS2 и BDS EN ISO 27001: какво осигурява сертификатът и какво все още е необходимо за съответствие с KSC. Липсата на отделен запис не означава автоматично несъответствие, но изисква оценка на значимостта на доказателството, причината за пропуска и възможността действието на мярката да бъде потвърдено чрез други надеждни записи.

Разходът и натоварването при проверка нарастват най-вече когато доказателствата са разпръснати, правомощията са неясни и никой не координира отговорите и одобряването на предоставяните материали. Тогава екипите започват ръчно да съгласуват противоречиви данни още по време на проверката. Предварителното определяне на координатор, собственици на отделните доказателства и правила за решаване на разминаванията ограничава необходимите усилия и риска пред органа да бъдат представени непоследователни обяснения.

Готовността се изгражда чрез симулация на проверка

Вътрешната симулация на проверка трябва да започне с потвърждаване на статута на организацията, обхвата на услугите, попадащи под задълженията, и отговорностите на ръководството и собствениците на процеси. След това координаторът за контакт с органа трябва да подготви матрица на съответствието, която свързва всяко задължение с неговия собственик и съответното доказателство. Едва на тази основа се проверяват извадки от записи, провеждат се разговори с отговорните лица и се възстановява ходът на избран инцидент или тест. Ролята на координатор е подходящо да бъде възложена на лице с достъп до ръководството и възможност да разрешава разминавания, без да замества съдържателните собственици на доказателствата.

Всеки собственик на задължение трябва да може да посочи:

• рамковия документ, който определя начина на работа,
• записа, потвърждаващ изпълнението на задължението,
• показателя за ефективност на приложената мярка,
• последното решение, взето в резултат от прегледа.

Липсата на който и да е от тези елементи прекъсва доказателствената верига. Процедурата за реагиране при инциденти не е достатъчна, ако организацията не може да представи запис за събитието, времето за реакция, оценката на последствията, резултата от анализа на причините и решението за промяна на мерките за сигурност. Възстановяването на конкретен случай показва и дали обясненията на служителите съответстват на записите и на действителния ход на действията.

Симулацията трябва да обхваща и логистиката на проверката: приемане и регистриране на искането, определяне на срок и собственик на отговора, одобряване на материалите, защита на чувствителната информация, обозначаване на предоставените версии и документиране на договореното с органа. Полезно е да се разиграе ситуация, при която изисканият запис съдържа данни извън предмета на проверката или се нуждае от контекстуално обяснение. Така се установява кой взема решение за обхвата на разкриването и как организацията съхранява следа за предаването на материалите.

Планът за отстраняване на пропуските трябва да ги приоритизира според въздействието върху услугата, правната експозиция, вероятността да бъдат установени и времето, необходимо за получаване на надеждно доказателство за ефективност — а не според това колко лесно може да бъде написана още една процедура. Ръководството одобрява приоритетите, ресурсите и допустимото ниво на риск. Действието може да бъде приключено едва след повторна проверка на механизма.

Графикът трябва да се определя въз основа на действителния статут на организацията, кореспонденцията с органа и действащите разпоредби. След определяне на статута анализът може да бъде допълнен с „NIS2: самооценка и вписване в регистъра на KSC – какво трябва да направи производственото предприятие?“ и „Внедряване на NIS2 след вписване в регистъра на KSC – план за действие до 3 април 2027 г.“ Посочените в тези материали дати и задължения трябва всеки път да бъдат потвърждавани спрямо актуалната правна уредба.