Έλεγχος συμμόρφωσης με NIS2 και KSC: έγγραφα, μητρώα και δοκιμές που πρέπει να συγκροτούν συνεκτική αλυσίδα τεκμηρίων

Ο έλεγχος συμμόρφωσης με τη NIS2 και το KSC δεν περιορίζεται στην επίδειξη πολιτικών και διαδικασιών. Η εποπτική αρχή μπορεί να εξετάσει αν ο οργανισμός έχει οριοθετήσει σωστά τις υποχρεώσεις του, έχει κατανείμει τις αρμοδιότητες, έχει εφαρμόσει μέτρα προστασίας και μπορεί να αποδείξει τη λειτουργία τους με επίκαιρα μητρώα, αποτελέσματα δοκιμών και τεκμηριωμένες διοικητικές αποφάσεις. Επομένως, η προετοιμασία πρέπει να βασίζεται σε μια αδιάλειπτη αλυσίδα τεκμηρίων: από την υποχρέωση και τον κίνδυνο, στον εφαρμοζόμενο μηχανισμό, στο αρχείο εκτέλεσης, στην αξιολόγηση αποτελεσματικότητας και στην αντίδραση σε κάθε απόκλιση.

Ο έλεγχος εξετάζει το σύστημα, όχι τον φάκελο

Αφετηρία δεν αποτελεί ο αριθμός των πολιτικών και των διαδικασιών, αλλά η ορθή οριοθέτηση των υποχρεώσεων. Ο οργανισμός πρέπει να μπορεί να προσδιορίσει ποιες υπηρεσίες, διεργασίες, πληροφοριακά συστήματα, εγκαταστάσεις και εξαρτήσεις από προμηθευτές εμπίπτουν στις απαιτήσεις του KSC, καθώς και τη βάση πάνω στην οποία στηρίχθηκε αυτή η κρίση. Πριν οργανωθεί η τεκμηρίωση, η διοίκηση πρέπει να επιβεβαιώσει το καθεστώς της οντότητας και το πεδίο των παρεχόμενων υπηρεσιών και, στη συνέχεια, να ορίσει υπεύθυνο για τον συντονισμό της προετοιμασίας του ελέγχου.

Ο μεγαλύτερος κίνδυνος ως προς τα τεκμήρια προκύπτει όταν η τεκμηρίωση περιγράφει ρυθμίσεις που ο οργανισμός δεν εφαρμόζει στην πράξη ή δεν μπορεί να επιβεβαιώσει με αρχεία. Αυτό αφορά ιδίως τις ανασκοπήσεις δικαιωμάτων πρόσβασης, τις εκτιμήσεις κινδύνου, τα αντίγραφα ασφαλείας, την εποπτεία προμηθευτών και τις δοκιμές επιχειρησιακής συνέχειας. Το αποδεικτικό υλικό πρέπει να σχηματίζει συνεκτική ακολουθία: απαίτηση ή κίνδυνος, απόφαση, εφαρμοζόμενο μέτρο, αρμοδιότητα, αρχείο εκτέλεσης, αποτέλεσμα αξιολόγησης της αποτελεσματικότητας και αντιμετώπιση της διαπιστωμένης απόκλισης.

Η αρχή μπορεί να ξεκινήσει από ένα έγγραφο ανώτερου επιπέδου και στη συνέχεια να περάσει σε λειτουργική δειγματοληψία. Αν η διαδικασία διαχείρισης περιστατικών καθορίζει τον τρόπο ταξινόμησης και κλιμάκωσης συμβάντων, πρέπει να αναμένεται έλεγχος των αναφορών, των χρόνων απόκρισης, των αποφάσεων, της επικοινωνίας, του κλεισίματος των υποθέσεων και των συμπερασμάτων μετά το περιστατικό. Το πεδίο εφαρμογής του συστήματος δεν τεκμηριώνεται μόνο με μια περιγραφή, αλλά και με χάρτη υπηρεσιών και εξαρτήσεων, κατάλογο πόρων, ορισμό ιδιοκτητών και αντιστοιχία αυτών των πληροφοριών με τα επιχειρησιακά μητρώα.

Η τεκμηρίωση NIS2 και KSC πριν από τον έλεγχο: ποιες πολιτικές, ποια μητρώα και ποια τεκμήρια απαιτούνται πραγματικά πρέπει να αποτυπώνει έναν λειτουργικό μηχανισμό διαχείρισης και όχι έναν κατάλογο υποδειγμάτων. Παράλληλα, ο έλεγχος της εποπτικής αρχής πρέπει να διακρίνεται από τον έλεγχο ενός συστήματος διαχείρισης. Οι δύο διαδικασίες μπορεί να αξιοποιούν παρόμοια τεκμήρια, όμως ο εποπτικός έλεγχος αξιολογεί την εκπλήρωση υποχρεώσεων που απορρέουν από την εφαρμοστέα νομοθεσία και το πεδίο εποπτείας, ενώ ο έλεγχος συστήματος αξιολογεί τη συμμόρφωση και την αποτελεσματικότητα βάσει καθορισμένων κριτηρίων. Το θετικό αποτέλεσμα της μίας διαδικασίας δεν υποκαθιστά την άλλη.

Πεδίο εφαρμογής και αρμοδιότητες υπό εξέταση

Η πρώτη ομάδα τεκμηρίων πρέπει να εξηγεί γιατί ο οργανισμός υπάγεται σε συγκεκριμένες υποχρεώσεις και πού βρίσκονται τα όρια του εποπτευόμενου περιβάλλοντος. Η αρχή μπορεί να ζητήσει αιτιολόγηση της κατάταξης της οντότητας, προσδιορισμό των υπηρεσιών που καλύπτονται από το κανονιστικό πλαίσιο και αναφορά των συνδεδεμένων διεργασιών, πληροφοριακών πόρων, συστημάτων, εγκαταστάσεων και προμηθευτών. Το πεδίο εφαρμογής δεν πρέπει να περιγράφεται μόνο με την ονομασία της δραστηριότητας. Πρέπει να επιτρέπει την ιχνηλάτηση της παροχής υπηρεσίας από την επιχειρησιακή διεργασία, στα περιουσιακά στοιχεία που την υποστηρίζουν και στις εξωτερικές εξαρτήσεις.

Βάση της προετοιμασίας αποτελεί μια επίκαιρη περιγραφή του πεδίου εφαρμογής, εγκεκριμένη από τη διοίκηση και συμπληρωμένη με χάρτη υπηρεσιών και διεργασιών, κατάλογο κρίσιμων περιουσιακών στοιχείων και σαφή δομή αρμοδιοτήτων. Τα έγγραφα καθορισμού ρόλων πρέπει να προσδιορίζουν όχι μόνο τις ονομασίες των θέσεων, αλλά και τις εξουσίες αποδοχής κινδύνου, ενεργοποίησης έκτακτων ενεργειών, κλιμάκωσης περιστατικών και λήψης αποφάσεων για προμηθευτές. Οι ιδιοκτήτες υπηρεσιών, περιουσιακών στοιχείων και κινδύνων πρέπει να ορίζονται σύμφωνα με την πραγματική κατανομή αρμοδιοτήτων.

Συνήθης ασυνέπεια παρατηρείται όταν το μητρώο αναφέρει έναν τυπικό ιδιοκτήτη κινδύνου, αλλά η αποδοχή του κινδύνου αποφασίζεται από άλλο πρόσωπο χωρίς την απαιτούμενη εξουσιοδότηση και χωρίς σχετική καταγραφή. Το ίδιο πρόβλημα αφορά τις εξαιρέσεις από μέτρα προστασίας, την επιχειρησιακή συνέχεια και την έγκριση προμηθευτών. Τα πρακτικά συνεδριάσεων, οι αποφάσεις, οι εγκρίσεις εκτιμήσεων κινδύνου, οι αποφάσεις προϋπολογισμού και οι διοικητικές ανασκοπήσεις πρέπει να αποδεικνύουν ότι η διοίκηση γνωρίζει τους ουσιώδεις κινδύνους, αποφασίζει για ζητήματα που υπερβαίνουν τις επιχειρησιακές αρμοδιότητες και παρακολουθεί την υλοποίηση των αποφάσεών της.

Ο τρόπος κατάταξης, η καταχώριση στον αρμόδιο κατάλογο και οι αρμοδιότητες της αρχής πρέπει να εξακριβώνονται κάθε φορά με βάση το ισχύον νομικό πλαίσιο και την ιδιαίτερη κατάσταση της οντότητας. Πρακτική ανάπτυξη του θέματος παρέχει το άρθρο NIS2: αυτοαξιολόγηση και εγγραφή στον Κατάλογο KSC – τι πρέπει να κάνει μια μεταποιητική επιχείρηση; Αν ο οργανισμός έχει καθεστώς βασικής οντότητας, η αξιολόγηση του πεδίου πρέπει επίσης να συνδεθεί με το υλικό Υποχρεωτικός έλεγχος KSC: ποιες βασικές οντότητες πρέπει να προετοιμαστούν για την πρώτη αξιολόγηση συμμόρφωσης. Ωστόσο, το καθεστώς της οντότητας δεν αποδεικνύει από μόνο του ότι η διοίκηση έχει εγκρίνει τα όρια αρμοδιοτήτων και έχει διασφαλίσει την περιοδική ανασκόπησή τους.

Τα μητρώα αποτυπώνουν την πραγματική λειτουργία

Ένα μητρώο αποτελεί τεκμήριο διαρκούς διαχείρισης μόνο όταν αποτυπώνει τις αποφάσεις και τις ενέργειες που εκτελούνται στις διεργασίες και δεν λειτουργεί ως παράρτημα μιας διαδικασίας που ενημερώνεται περιστασιακά. Πριν επιλεγεί το εργαλείο, πρέπει να καθοριστούν τα απαιτούμενα πεδία, οι πηγές δεδομένων, οι ιδιοκτήτες των αρχείων και οι κανόνες έγκρισης αλλαγών. Ένα υπολογιστικό φύλλο μπορεί να είναι επαρκές, εφόσον εξασφαλίζει έλεγχο πρόσβασης, ιστορικό αλλαγών, σαφή αρμοδιότητα και προστασία από μη εξουσιοδοτημένη τροποποίηση. Ακόμη και ένα προηγμένο εργαλείο δεν εγγυάται την αξιοπιστία των δεδομένων, αν δεν είναι γνωστό ποιος ενημερώνει το μητρώο, πότε και με βάση ποιο συμβάν.

Το μητρώο κινδύνων πρέπει να συνδέει τα σενάρια απειλών με υπηρεσίες και περιουσιακά στοιχεία, να αναφέρει τον ιδιοκτήτη, τα υφιστάμενα μέτρα, το αποτέλεσμα της αξιολόγησης, την απόφαση αντιμετώπισης και την κατάσταση υλοποίησης των ενεργειών. Η αρχή μπορεί να εξετάσει αν ένας κίνδυνος που έχει χαρακτηριστεί προς μετριασμό διαθέτει υπεύθυνο έργου, προθεσμία και τεκμήριο ολοκλήρωσης, ενώ ένας αποδεκτός κίνδυνος διαθέτει έγκριση από πρόσωπο με την κατάλληλη εξουσιοδότηση. Χρήσιμοι διοικητικοί δείκτες είναι ο αριθμός των ανοικτών κινδύνων, των μη ολοκληρωμένων ενεργειών και των αποφάσεων που αναμένουν επανεξέταση. Πρόκειται για δείκτες που καθορίζει ο οργανισμός και όχι για νομοθετικά όρια.

Το μητρώο περιστατικών και συμβάντων πρέπει να επιτρέπει την ανασύνθεση όλων των σταδίων: εντοπισμός, ταξινόμηση περιστατικού, κλιμάκωση, απόφαση αναφοράς, επικοινωνία, αποκατάσταση λειτουργίας και επίσημο κλείσιμο με τα σχετικά συμπεράσματα. Στα συνδεδεμένα τεκμήρια περιλαμβάνονται μητρώα ευπαθειών, ενημερώσεων ασφαλείας και εγκεκριμένων εξαιρέσεων, ανασκοπήσεων δικαιωμάτων πρόσβασης, δημιουργίας και επαναφοράς αντιγράφων ασφαλείας, αλλαγών διαμόρφωσης, ενεργειών διαχειριστών, εκπαιδεύσεων και ασκήσεων.

Η αναβολή μιας ενημέρωσης ασφαλείας πρέπει να είναι ιχνηλάσιμη από την εντοπισμένη ευπάθεια και την αξιολόγηση επιπτώσεων έως την απόφαση εξαίρεσης, τη θέσπιση αντισταθμιστικών μέτρων, την ημερομηνία επανεξέτασης και την επιβεβαίωση κλεισίματος. Ένας κατάλογος εκκρεμών ενημερώσεων δεν αρκεί για να αποδείξει ότι η καθυστέρηση παραμένει υπό έλεγχο.

Η εποπτεία της εφοδιαστικής αλυσίδας απαιτεί την ίδια συνοχή. Ένας κατάλογος συμβάσεων δεν υποκαθιστά την ταξινόμηση προμηθευτών, την αξιολόγηση της εξάρτησης υπηρεσιών και περιουσιακών στοιχείων από εξωτερικά μέρη, τον καθορισμό απαιτήσεων ασφάλειας, τα αρχεία ανασκόπησης ή τις αποφάσεις για μη αποδεκτές ελλείψεις. Το μητρώο πρέπει να δείχνει ποιος ενέκρινε τον προμηθευτή, ποιες αποκλίσεις έγιναν αποδεκτές και πότε θα πραγματοποιηθεί η επόμενη αξιολόγηση. Ιδιαίτερη παρακολούθηση απαιτούν οι προμηθευτές χωρίς επίκαιρη αξιολόγηση και οι ενέργειες που παραμένουν ανοικτές μετά από ανασκόπηση. Το ζήτημα παραμένει κρίσιμο και κατά την υλοποίηση του προγράμματος Εφαρμογή της NIS2 μετά την εγγραφή στον Κατάλογο KSC – σχέδιο ενεργειών έως τις 3 Απριλίου 2027.

Οι κανόνες διατήρησης, πρόσβασης και έγκρισης αλλαγών πρέπει να διαφοροποιούνται ανάλογα με το είδος του αρχείου, την αποδεικτική του σημασία, τις νομικές και συμβατικές απαιτήσεις και τις ανάγκες διερεύνησης περιστατικών. Δεν πρέπει να καθορίζεται μία ενιαία περίοδος διατήρησης για όλα τα μητρώα χωρίς προηγούμενη ανάλυση. Οι προθεσμίες αναφοράς περιστατικών και ο τρόπος διασφάλισης των αποδεικτικών στοιχείων πρέπει κάθε φορά να επαληθεύονται βάσει της ισχύουσας νομοθεσίας και των κατευθυντήριων οδηγιών της αρμόδιας αρχής. Ευρύτερο κατάλογο υλικού παρουσιάζει το άρθρο Τεκμηρίωση NIS2 και KSC πριν από τον έλεγχο: ποιες πολιτικές, ποια μητρώα και ποια τεκμήρια απαιτούνται πραγματικά. Ωστόσο, την επιχειρησιακή ωριμότητα αποδεικνύουν τα αρχεία που δημιουργούνται στην καθημερινή λειτουργία και η ορατή διαδρομή από την απαίτηση έως το αποτέλεσμα του ελέγχου και τη διορθωτική ενέργεια.

Κάθε δοκιμή πρέπει να καταλήγει σε απόφαση

Η εποπτική αρχή μπορεί να ζητήσει όχι μόνο το σχέδιο επιχειρησιακής συνέχειας, τη διαδικασία απόκρισης σε περιστατικά ή την επιβεβαίωση δημιουργίας αντιγράφων ασφαλείας. Κρίσιμα είναι επίσης τα τεκμήρια ότι οι ρυθμίσεις αυτές έχουν δοκιμαστεί υπό συνθήκες που ανταποκρίνονται στις πραγματικές υπηρεσίες, τεχνολογίες και εξαρτήσεις από προμηθευτές. Το πρόγραμμα δοκιμών πρέπει να προκύπτει από την εκτίμηση κινδύνου, την κρισιμότητα της υπηρεσίας, τις αλλαγές στο περιβάλλον και τις νομικές και συμβατικές απαιτήσεις. Δεν υπάρχει μία κατάλληλη συχνότητα για όλα τα μέτρα. Συχνότερα πρέπει να ελέγχονται οι περιοχές με υψηλές επιπτώσεις, τα ταχέως μεταβαλλόμενα περιβάλλοντα και οι μηχανισμοί στους οποίους προηγούμενες δοκιμές ανέδειξαν ουσιώδεις αποκλίσεις.

Πριν από κάθε δοκιμή πρέπει να καθορίζονται το αντικείμενο και τα κριτήρια επιτυχίας. Το αρχείο πρέπει να περιλαμβάνει το πεδίο, το σενάριο, τους συμμετέχοντες, το περιβάλλον, τα κριτήρια επιτυχίας και τις επιτρεπόμενες ανοχές και, μετά την εκτέλεση, το αποτέλεσμα, τις αποκλίσεις και την πραγματική ή δυνητική επίπτωση στην υπηρεσία. Όταν εντοπίζονται ελλείψεις, το αποδεικτικό υλικό πρέπει να αναφέρει τις διορθωτικές ενέργειες, τους ιδιοκτήτες τους, τις προθεσμίες και την ημερομηνία επαλήθευσης.

Χρήσιμοι δείκτες είναι ο πραγματικός χρόνος αποκατάστασης, το επιτευχθέν σημείο αποκατάστασης, ο χρόνος κλιμάκωσης και το ποσοστό ενεργειών που έκλεισαν μετά τη δοκιμή. Το σοβαρότερο οργανωτικό σφάλμα είναι η επαναλαμβανόμενη διενέργεια δοκιμών χωρίς κριτήρια επιτυχίας ή χωρίς κλείσιμο των αποκλίσεων που εντοπίστηκαν.

Στις βασικές δοκιμές περιλαμβάνονται η επαναφορά δεδομένων από αντίγραφα ασφαλείας, η μετάπτωση σε εφεδρικές λύσεις, οι ασκήσεις απόκρισης σε περιστατικά, οι δοκιμές επικοινωνίας σε κρίση, οι ανασκοπήσεις δικαιωμάτων πρόσβασης, η επαναφορά διαμορφώσεων και οι τεχνικοί έλεγχοι ευπαθειών, όπως οι σαρώσεις και —ανάλογα με τον κίνδυνο— οι δοκιμές διείσδυσης. Ένα αποτέλεσμα που παρέχει προμηθευτής μπορεί να αποτελεί μέρος των τεκμηρίων, αλλά δεν υποκαθιστά τη δοκιμή από τον ίδιο τον οργανισμό, όταν δεν καλύπτει τις δικές του διεργασίες, διασυνδέσεις, αρμοδιότητες και επιχειρησιακές συνθήκες.

Μετά από κάθε δοκιμή, ο ιδιοκτήτης της υπηρεσίας πρέπει να λάβει τεκμηριωμένη απόφαση: να αποδεχθεί το αποτέλεσμα, να εφαρμόσει διόρθωση, να θεσπίσει αντισταθμιστικό μέτρο, να επαναλάβει τη δοκιμή ή να αποδεχθεί τον κίνδυνο στο πλαίσιο των εξουσιοδοτήσεών του.

Η επιτυχής δημιουργία αντιγράφου ασφαλείας μιας βάσης δεδομένων δεν αποδεικνύει από μόνη της την ικανότητα αποκατάστασης της υπηρεσίας. Κατά τη δοκιμή μπορεί να διαπιστωθεί ότι η εφαρμογή απαιτεί μη τεκμηριωμένη έκδοση διαμόρφωσης, ότι ο μηχανισμός ταυτοποίησης δεν λειτουργεί στο εφεδρικό περιβάλλον, ότι τα κλειδιά δεν είναι διαθέσιμα ή ότι το μοναδικό πρόσωπο που γνωρίζει τη σειρά εκκίνησης των επιμέρους στοιχείων δεν συμμετέχει στην αποκατάσταση. Μόνο η δοκιμή ολόκληρης της αλυσίδας εξαρτήσεων επιτρέπει τη σύγκριση του πραγματικού χρόνου και σημείου αποκατάστασης με τα καθορισμένα κριτήρια, την αξιολόγηση της επίπτωσης στην υπηρεσία και τη λήψη απόφασης για την ετοιμότητα ή την ανάγκη βελτίωσης.

Αυτός ο τρόπος τεκμηρίωσης των δοκιμών είναι σημαντικός ανεξαρτήτως κλάδου, μεταξύ άλλων και κατά την ανάλυση του θέματος NIS2 για μεταποιητικές επιχειρήσεις: ποιους αφορά, ποιες υποχρεώσεις εισάγει και πώς προετοιμάζεται ο οργανισμός χωρίς να περιορίζει το θέμα αποκλειστικά στην πληροφορική. Το εύρος των αναμενόμενων τεκμηρίων πρέπει να συνδέεται με τις υποχρεώσεις που ισχύουν για τον συγκεκριμένο οργανισμό, τις υπηρεσίες του και το εκάστοτε ισχύον νομικό πλαίσιο. Κρίσιμη παραμένει η συνεκτική ακολουθία: αναγνωρισμένος κίνδυνος, προγραμματισμένη δοκιμή, μετρήσιμο κριτήριο, τεκμηριωμένο αποτέλεσμα, απόφαση του ιδιοκτήτη και επιβεβαίωση αποτελεσματικού κλεισίματος των ενεργειών.

Οι ασυνέπειες αυξάνουν το κόστος του ελέγχου

Ακόμη και τυπικά πλήρης τεκμηρίωση χάνει την αξία της όταν δεν ανταποκρίνεται στην πραγματική κατάσταση. Η αρχή μπορεί να συγκρίνει τις δηλώσεις των πολιτικών με τις διαμορφώσεις των συστημάτων, τα αρχεία αιτημάτων, τις συμβάσεις, τους καταλόγους πρόσβασης, τα αποτελέσματα σαρώσεων, τα πρακτικά δοκιμών και τις εξηγήσεις των ιδιοκτητών διεργασιών. Το ζητούμενο δεν είναι η λεκτική ομοιομορφία, αλλά η δυνατότητα ιχνηλάτησης κάθε απόφασης από την αναγνωρισμένη υποχρέωση και τον κίνδυνο έως το εφαρμοζόμενο μέτρο, το αρχείο λειτουργίας του και την αντιμετώπιση της απόκλισης.

Η εσωτερική προσομοίωση ελέγχου πριν από την έναρξη των ενεργειών της αρχής πρέπει να βασίζεται σε στοχευμένο δείγμα υπηρεσιών, περιστατικών, προμηθευτών και δικαιωμάτων πρόσβασης και στη συνέχεια να ακολουθεί τη διαδρομή από την τεκμηρίωση έως τα πρωτογενή δεδομένα. Έτσι μπορούν να εντοπιστούν μη επίκαιροι κατάλογοι περιουσιακών στοιχείων, διαφορετικές ονομασίες της ίδιας υπηρεσίας σε επιμέρους έγγραφα, κίνδυνοι χωρίς ιδιοκτήτη, περιστατικά που δεν καταχωρίστηκαν στο μητρώο, προμηθευτές χωρίς τεκμηριωμένη αξιολόγηση και διορθωτικές ενέργειες που έκλεισαν χωρίς έλεγχο αποτελεσματικότητας. Οι αποκλίσεις πρέπει να αντιμετωπίζονται με αποσαφήνιση της πραγματικής κατάστασης και του ιδιοκτήτη του αρχείου και όχι με πρόχειρη εναρμόνιση των εγγράφων.

Σε μια μεταποιητική επιχείρηση, η ανασκόπηση δεν πρέπει να σταματά στο εταιρικό περιβάλλον πληροφορικής. Για μια επιλεγμένη υπηρεσία μπορεί να καλύπτει τη συντήρηση, τον αυτοματισμό, την απομακρυσμένη πρόσβαση τεχνικής υποστήριξης, τη διαχείριση διαμόρφωσης και τις εξαρτήσεις μεταξύ συστημάτων παραγωγής. Για παράδειγμα, ο κατάλογος πρόσβασης μπορεί να μην περιλαμβάνει λογαριασμό που χρησιμοποιείται από τεχνικό υποστήριξης, παρότι η σύμβαση, το αρχείο σύνδεσης και η διαμόρφωση της συσκευής επιβεβαιώνουν την ύπαρξή του. Η σημασία αυτών των εξαρτήσεων παρουσιάζεται αναλυτικότερα στο άρθρο NIS2 για μεταποιητικές επιχειρήσεις: ποιους αφορά, ποιες υποχρεώσεις εισάγει και πώς προετοιμάζεται ο οργανισμός χωρίς να περιορίζει το θέμα αποκλειστικά στην πληροφορική.

Η πιστοποίηση ενός συστήματος διαχείρισης μπορεί να ενισχύσει τη δομή της διαχείρισης κινδύνων, του ελέγχου τεκμηρίωσης, των εσωτερικών ελέγχων και των διορθωτικών ενεργειών, αλλά δεν υποκαθιστά την ανάλυση του νομικού πεδίου ούτε τα τεκμήρια εκπλήρωσης των ειδικών υποχρεώσεων του KSC. Η διάκριση αυτή αναλύεται στο άρθρο NIS2 και ELOT EN ISO 27001: τι προσφέρει το πιστοποιητικό και τι εξακολουθεί να απαιτείται για τη συμμόρφωση με το KSC. Η απουσία ενός μεμονωμένου αρχείου δεν συνεπάγεται αυτομάτως μη συμμόρφωση, απαιτεί όμως αξιολόγηση της σημασίας του τεκμηρίου, της αιτίας του κενού και της δυνατότητας επιβεβαίωσης της λειτουργίας του μηχανισμού μέσω άλλων αξιόπιστων αρχείων.

Το κόστος του ελέγχου αυξάνεται κυρίως όταν τα τεκμήρια είναι διάσπαρτα, οι εξουσιοδοτήσεις ασαφείς και κανείς δεν συντονίζει τις απαντήσεις και την έγκριση του υλικού που διαβιβάζεται. Τότε οι ομάδες αναγκάζονται να συμφωνήσουν χειροκίνητα αντικρουόμενα δεδομένα ενώ ο έλεγχος βρίσκεται ήδη σε εξέλιξη. Ο έγκαιρος ορισμός συντονιστή, ιδιοκτητών των επιμέρους τεκμηρίων και κανόνων επίλυσης διαφορών περιορίζει τον φόρτο εργασίας και τον κίνδυνο υποβολής ασυνεπών εξηγήσεων στην αρχή.

Η ετοιμότητα χτίζεται με προσομοίωση ελέγχου

Η εσωτερική προσομοίωση ελέγχου πρέπει να ξεκινά με την επιβεβαίωση του καθεστώτος της οντότητας, του πεδίου των υπηρεσιών που καλύπτονται από τις υποχρεώσεις και των αρμοδιοτήτων της διοίκησης και των ιδιοκτητών διεργασιών. Στη συνέχεια, ο συντονιστής επικοινωνίας με την αρχή πρέπει να καταρτίσει πίνακα συμμόρφωσης που συνδέει κάθε υποχρέωση με τον υπεύθυνο και το αντίστοιχο τεκμήριο. Μόνο σε αυτή τη βάση εξετάζονται δείγματα αρχείων, πραγματοποιούνται συνεντεύξεις με τους αρμόδιους και ανασυντίθεται η εξέλιξη ενός επιλεγμένου περιστατικού ή μιας δοκιμής. Ο ρόλος του συντονιστή είναι σκόπιμο να ανατίθεται σε πρόσωπο που έχει πρόσβαση στη διοίκηση και δυνατότητα επίλυσης διαφορών, χωρίς όμως να υποκαθιστά τους ουσιαστικούς ιδιοκτήτες των τεκμηρίων.

Κάθε ιδιοκτήτης υποχρέωσης πρέπει να μπορεί να υποδείξει:

• το έγγραφο ανώτερου επιπέδου που καθορίζει τον τρόπο λειτουργίας,
• το αρχείο που επιβεβαιώνει την εκτέλεση της υποχρέωσης,
• τον δείκτη αποτελεσματικότητας του εφαρμοζόμενου μηχανισμού,
• την τελευταία απόφαση που λήφθηκε ως αποτέλεσμα της ανασκόπησης.

Η απουσία οποιουδήποτε από αυτά τα στοιχεία δημιουργεί κενό στην αλυσίδα τεκμηρίων. Μια διαδικασία απόκρισης σε περιστατικά δεν επαρκεί, αν ο οργανισμός δεν μπορεί να παρουσιάσει την καταγραφή του συμβάντος, τον χρόνο απόκρισης, την αξιολόγηση επιπτώσεων, το αποτέλεσμα της ανάλυσης αιτίων και την απόφαση τροποποίησης των μέτρων προστασίας. Η ανασύνθεση μιας υπόθεσης αποκαλύπτει επίσης αν οι εξηγήσεις των εργαζομένων συμφωνούν με τα αρχεία και την πραγματική εξέλιξη των ενεργειών.

Η προσομοίωση πρέπει να καλύπτει και την εφοδιαστική του ελέγχου: παραλαβή και καταχώριση του αιτήματος, ορισμό προθεσμίας και ιδιοκτήτη απάντησης, έγκριση του υλικού, προστασία ευαίσθητων πληροφοριών, σήμανση των εκδόσεων που διαβιβάζονται και καταγραφή των συμφωνηθέντων με την αρχή. Είναι χρήσιμο να ασκηθεί και το σενάριο στο οποίο το ζητούμενο αρχείο περιέχει δεδομένα που υπερβαίνουν το αντικείμενο του ελέγχου ή απαιτεί επεξήγηση του πλαισίου. Έτσι αποσαφηνίζεται ποιος αποφασίζει για την έκταση της κοινοποίησης και πώς διατηρείται το ίχνος διαβίβασης του υλικού.

Το σχέδιο αποκατάστασης πρέπει να ιεραρχεί τα κενά βάσει της επίπτωσης στην υπηρεσία, της νομικής έκθεσης, της πιθανότητας εντοπισμού και του χρόνου που απαιτείται για την απόκτηση αξιόπιστου τεκμηρίου αποτελεσματικότητας — όχι βάσει του πόσο εύκολο είναι να συνταχθεί ακόμη μία διαδικασία. Η διοίκηση εγκρίνει τις προτεραιότητες, τους πόρους και το αποδεκτό επίπεδο κινδύνου. Μια ενέργεια μπορεί να κλείσει μόνο μετά από επανέλεγχο του μηχανισμού.

Το χρονοδιάγραμμα πρέπει να προκύπτει από το πραγματικό καθεστώς της οντότητας, την αλληλογραφία με την αρχή και την ισχύουσα νομοθεσία. Μετά την επιβεβαίωση του καθεστώτος, η ανάλυση μπορεί να συμπληρωθεί από τα άρθρα NIS2: αυτοαξιολόγηση και εγγραφή στον Κατάλογο KSC – τι πρέπει να κάνει μια μεταποιητική επιχείρηση; και Εφαρμογή της NIS2 μετά την εγγραφή στον Κατάλογο KSC – σχέδιο ενεργειών έως τις 3 Απριλίου 2027. Οι ημερομηνίες και οι υποχρεώσεις που αναφέρονται σε αυτά τα άρθρα πρέπει κάθε φορά να επιβεβαιώνονται βάσει του εκάστοτε ισχύοντος νομικού πλαισίου.