NIS2 vlastními silami, nebo s implementační firmou? Porovnání nákladů, času a rizik

Rozhodnutí, zda NIS2 řešit vlastními silami, nebo s implementační firmou, nelze zúžit na porovnání odměny poradce s náklady na práci interního týmu. O výsledku projektu rozhoduje rozsah povinností, dostupnost osob s rozhodovací pravomocí, kvalita údajů o procesech a zdrojích i schopnost organizace přijatá opatření následně udržovat. Varianta, která se na začátku jeví jako nejlevnější, může být ve výsledku nejdražší, pokud vede k nesprávnému posouzení působnosti, opakování analýz nebo vzniku dokumentace, která neodpovídá skutečnému fungování firmy. Nejprve je proto nutné vymezit rozsah a identifikovat mezery, následně porovnat celkové náklady, čas a rizika tří modelů realizace a teprve poté zvolit dodavatele a způsob řízení projektu.

Dodavatele nevybírejte dříve, než vyjasníte své povinnosti

Porovnávat realizaci vlastními silami s podporou externí firmy má smysl až poté, co organizace ověří, zda se na ni vztahují povinnosti vyplývající z NIS2 a z příslušných vnitrostátních předpisů, které tyto požadavky provádějí. Pokud ano, je třeba určit, kterých služeb, organizačních jednotek, lokalit a zdrojů se posouzení týká. Bez této kvalifikace nelze spolehlivě odhadnout rozsah prací, dobu realizace ani náklady. Vedení musí zároveň určit vlastníka projektu s pravomocí koordinovat rozhodnutí mezi provozem, právní funkcí a IT.

Výchozím bodem není nákup sady dokumentů ani IT nástroje, ale popis obchodního a provozního modelu. Je nutné identifikovat poskytované služby, podpůrné procesy, systémy a data, stejně jako dodavatele a závislosti podmiňující kontinuitu provozu. Teprve taková mapa umožní rozhodnout, zda má posouzení zahrnout celou společnost, nebo pouze konkrétní služby a lokality. Výstupem první etapy má být zdokumentované posouzení postavení subjektu, jasně stanovené hranice rozsahu a seznam oblastí vyžadujících hodnocení a nápravná opatření.

Formální působnost právních předpisů je třeba odlišit od obchodní potřeby zvýšit odolnost. Organizace může stát mimo rozsah zákonných povinností, a přesto musí plnit požadavky zákazníků, skupiny, pojišťovny nebo partnerů v dodavatelském řetězci. Takový projekt by neměl být prezentován jako plnění zákonné povinnosti, ale jako reakce na konkrétní smluvní požadavky a provozní rizika.

Příkladem může být výrobní společnost, která používá firewally, zálohování a ochranu koncových stanic, ale nedokáže určit vlastníka procesu reakce na incident. Současně nemá vyhodnoceno, jak by výpadek systému plánování výroby ovlivnil harmonogram zakázek, dostupnost materiálu a včasnost dodávek. Problémem pak není pouze úroveň technického zabezpečení, ale také chybějící odpovědnost a neznalost vazeb mezi informačním systémem a poskytováním služby.

Po popisu činnosti je nutné provést právní posouzení podle sektorových, subjektových a velikostních kritérií aktuálních ke dni zveřejnění. Formální stanovisko by měl schválit orgán nebo osoba oprávněná jednat za organizaci, a to za účasti právní funkce a vlastníků služeb a procesů. IT poskytuje informace o systémech, nemělo by však o kvalifikaci rozhodovat samo. Tématu se podrobněji věnuje článek „Směrnice NIS2 – na koho se vztahuje a které firmy musí splnit nové požadavky?“.

Náklady na implementaci nekončí vystavenou fakturou

Interní realizace není bez nákladů, stejně jako odměna implementační firmy nepředstavuje úplné náklady externí podpory. Kalkulace má zahrnovat práci vedení, vlastníků procesů, IT specialistů, nákupu, personalistiky, právní funkce a představitele systému řízení. Čas těchto osob je nutné ocenit podle interních nákladových sazeb a skutečně odpracovaných hodin, včetně provozních úkolů, které během projektu nebudou schopny vykonávat. Pracnost závisí především na počtu lokalit, procesů, systémů, dodavatelů a společností zahrnutých do rozsahu.

Nejčastěji se podceňuje sběr dat, sjednocení odpovědností, inventarizace aktiv a dodavatelů, příprava důkazů, provedení testů a školení a oprava nekonzistentních interních pravidel. Implementační firma tyto činnosti urychlí pouze tehdy, dokáže-li požadavky promítnout do stávajících procesů, rolí a nástrojů. Předání vzorových politik bez znalosti provozu náklady neodstraní. Pouze je přesune do fáze připomínkování, zavádění a následných aktualizací.

Dokumentace k incidentům může vzniknout rychle, zůstane však pouze formální, pokud nejsou dohodnuty pohotovosti, eskalační cesta, způsob zajišťování důkazů a zastupitelnost. Skutečné náklady se projeví při testu nebo reálné události, kdy bude nutné postup přepracovat. Rozpočet proto musí oddělovat jednorázové a průběžné výdaje a zahrnovat odměnu poradce, technické investice, projektové výpadky, opravy i roční provoz: přezkoumání, testy, školení, aktualizace dokumentace, hodnocení dodavatelů a řešení incidentů.

Fungující systém řízení bezpečnosti informací nebo certifikát může zmenšit rozsah inventarizace, posuzování rizik, řízení dokumentace a auditů, pokud příslušná opatření v posuzované oblasti skutečně fungují. Nenahrazuje však posouzení konkrétních povinností vyplývajících z příslušných právních předpisů ani ověření, zda stávající opatření odpovídají službám, na něž se povinnosti vztahují. Tento vztah vysvětluje článek NIS2 a CSN EN ISO 27001: co přináší certifikát a co stále chybí ke shodě s KSC.

Čas závisí především na připravenosti rozhodovat

Dobu přípravy na požadavky NIS2 jen zřídka určuje rychlost tvorby směrnic. Hlavním omezením bývá dostupnost spolehlivých dat, vlastníků procesů a osob oprávněných schvalovat změny. Harmonogram musí zohledňovat jejich skutečnou kapacitu, četnost jednání řídicího výboru a čas potřebný k meziútvarovým rozhodnutím. Deklarovaný termín předání dokumentace není měřítkem pokroku, pokud organizace neschválila rozsah, odpovědnosti a priority.

Činnosti je nutné řadit podle vzájemných závislostí. Nejprve se stanoví rozsah, role, procesy a aktiva, poté se provede analýza rizik, schválí plán zvládání rizik, zavedou opatření, provedou testy a shromáždí důkazy o fungování. Souběžně lze vykonávat úkoly založené na stejných schválených předpokladech, například inventarizaci smluv a přezkoumání stávajících opatření. Podrobnou analýzu rizik však nelze smysluplně zahájit před určením služeb, procesů, systémů, informací a dodavatelských závislostí, které mají být hodnoceny.

Při stanovení pořadí činností je nutné rozlišit mezery vyžadující nákup, změny smluv, technické integrace nebo testování. Každá z těchto skupin má jiný schvalovací postup a dobu realizace. Externí podpora může urychlit diagnostiku, zefektivnit workshopy a uspořádat jejich výstupy. Poradce však za vedení nerozhodne o akceptaci rizika, pořadí investic ani přijatelné době přerušení služby. Pokud se tato rozhodnutí odkládají na konec projektu, dokumentace předbíhá provozní řešení a některé analýzy je nutné opakovat.

Pokrok je proto vhodné měřit počtem schválených rozhodnutí, uzavřených závislostí a opatření, jejichž účinnost byla ověřena, nikoli počtem vytvořených dokumentů. Ani několikatýdenní harmonogram nebude reálný, pokud organizace nemá aktuální seznam systémů, evidenci smluv s dodavateli nebo dohodnuté vlastníky procesů. Tým pak může popsat deklarovaný stav, ale nedokáže určit odpovědnost za kontinuitu provozu, obnovu služby a dohled nad dodavatelem.

Mapování procesů má podporovat právě tato rozhodnutí, nikoli rozšiřovat dokumentaci bez praktického přínosu. Volbu vhodné úrovně podrobnosti usnadňuje srovnání „BPMN, nebo vývojový diagram – který nástroj je vhodnější pro mapování procesů kvality?“. Pro tento účel je vhodný nástroj, který jednoznačně zobrazuje role, předávací místa, informační vazby a oblasti vyžadující zabezpečení nebo zastupitelnost.

Riziko vzniká především z chybných předpokladů

O úspěchu přípravy na požadavky NIS2 častěji rozhoduje správnost předpokladů než počet splněných úkolů. U interního modelu je největším rizikem nesprávný výklad rozsahu, opomenutí obchodních a provozních vazeb a omezení kybernetické bezpečnosti pouze na odpovědnost IT. Organizace pak může přehlédnout výrobní procesy, logistiku, údržbu, kontinuitu dodávek nebo závazky vůči odběratelům. Zároveň chybí nezávislý pohled na postupy, které jsou interně považovány za dostatečné jen proto, že dosud nezpůsobily viditelné narušení.

Ani externí podpora tato rizika automaticky neodstraní. Zvyšuje je dodavatel, který předá jednotný balíček dokumentů bez znalosti služeb, procesů a závislostí organizace, nezapojí vlastníky procesů nebo nepředá znalosti potřebné pro udržování zavedených řešení. Výsledkem je systém závislý na autorovi dokumentace, nikoli na osobách odpovědných za každodenní provoz.

Je proto vhodné oddělit provedení prací od nezávislého závěrečného posouzení, zejména pokud stejný subjekt navrhl rozsah, hodnotil rizika a vybíral opatření. Rozhodnutí o akceptaci zbytkového rizika musí zůstat v odpovědnosti příslušného vedení.

Formální shoda se projeví rozporem mezi dokumentací a praxí: politika popisuje jiný postup, než jaký se skutečně používá, registr rizik neovlivňuje priority ani investice a postup řešení incidentů nebyl procvičen. Dokumentační mezera znamená chybějící nebo nekonzistentní potřebný záznam. Provozní mezera nastává tehdy, když organizace nedokáže činnost provést, přiřadit odpovědnost nebo předložit důkaz o její účinnosti. Doplnění formuláře může odstranit první typ mezery, nenahradí však test, rozhodnutí ani změnu pracovního postupu.

Příkladem je závod se schváleným postupem hlášení incidentů, kde pracovníci výroby nevědí, jak oznámit nedostupnost řídicího nebo plánovacího systému. S poskytovatelem služby současně není dohodnuta eskalační cesta, kontaktní osoby ani postup mimo pracovní dobu. Dokument existuje, při narušení se však první minuty ztrácejí zjišťováním odpovědností. Takovou mezeru odhalí až cvičení zahrnující uživatele, vlastníka procesu, IT, vedení a dodavatele.

Audit připravenosti má ověřovat schopnost jednat a předložit důvěryhodné důkazy, nikoli pouze úplnost dokumentace. Užitečnými ukazateli jsou počet nesplněných opatření z předchozích auditů a testů, výsledky zkoušek obnovy, závěry z přezkoumání incidentů a narušení a podíl klíčových dodavatelů zahrnutých do hodnocení a dohodnutých požadavků — vždy na základě dat organizace. Způsob takového ověřování podrobněji popisuje článek „Audit NIS2 ve výrobní společnosti – jak ověřit připravenost organizace na nové povinnosti“.

Kombinovaný model obvykle poskytuje nejlepší kontrolu

Volba způsobu implementace musí vycházet ze skutečné schopnosti organizace vykonat potřebné práce, nikoli pouze z porovnání poradenských sazeb. Interní realizace je racionální, pokud má projekt kompetentního vlastníka, procesy řízení rizik jsou vyspělé, evidence zdrojů a závislostí aktuální a klíčoví pracovníci mají čas i schopnost interpretovat požadavky. Rozsáhlejší externí podpora je vhodná při významném nedostatku kompetencí, decentralizované struktuře, zásadních technologických závislostech, krátkém termínu přípravy nebo absenci uspořádaného systému řízení.

Nejlepší kontrolu nad náklady, časem a riziky zpravidla poskytuje kombinovaný model. Organizace si ponechává odpovědnost za rozhodování, zdrojová data, vlastnictví rizik a realizaci provozních opatření. Poradce zajišťuje diagnostiku, metodiku, vedení workshopů, analýzy vyžadující odborné znalosti a kontrolu kvality výstupů.

V organizaci musí zůstat přinejmenším:

• určení významu procesů a služeb;
• jmenování vlastníků rizik;
• akceptace zbytkového rizika;
• stanovení investičních priorit;
• potvrzení, že opatření v praxi fungují.

Vedení nemůže na dodavatele přenést odpovědnost za odolnost organizace.

Společnost s několika závody může vlastními silami shromáždit informace o službách, zdrojích, dodavatelích a dopadech narušení, protože jejich spolehlivé posouzení vyžaduje provozní znalost. Externí specialista poté může strukturovat metodu hodnocení, zpochybnit nesrovnalosti, vést meziútvarové workshopy a ověřit úplnost důkazů. O efektivitě takového rozdělení rozhoduje počet a odborná úroveň osob, které lze skutečně uvolnit pro projekt, nikoli formální složení projektového týmu.

Nabídky je nutné porovnávat podle totožného rozsahu výstupů a přejímacích kritérií. Reference dodavatele je vhodné hodnotit podle podobnosti odvětví, velikosti, procesů a technologického prostředí, nikoli pouze podle počtu realizací. Smlouva má jednoznačně vymezit výstupy, přejímací kritéria, povinnost vztahovat řešení ke skutečným procesům, předání znalostí, pravidla důvěrnosti a přístupu k citlivým údajům, odpovědnost za opravy a rozsah podpory po implementaci. Model odměňování by neměl zvýhodňovat množství dokumentů, ale dosažení dohodnutých a ověřitelných výsledků.

Praktické hranice odpovědnosti vedení, vlastníků procesů a podpůrných funkcí podrobněji rozebírá článek NIS2 v manažerské praxi: jak převést požadavky do rozhodování, odpovědností a skutečné odolnosti organizace.

Rozhodujte na základě důkazů a schopnosti systém udržovat

Volbě implementačního modelu má předcházet stručná organizační diagnostika. Je nutné potvrdit rozsah projektu, určit jeho vlastníka, posoudit dostupnost kompetencí, zmapovat existující důkazy o fungování a odhadnout nejvýznamnější mezery. Teprve poté lze rozhodnout, které práce organizace provede vlastními silami a kde zapojení specialisty sníží riziko nesprávného výkladu, opomenutí nebo opakování činností.

Rozhodnutí vedení má porovnat tři varianty: interní realizaci, kombinovaný model a rozsáhlejší externí podporu. Pro všechny je nutné použít stejná kritéria:

• celkové náklady včetně práce zaměstnanců, oprav a udržování;
• čas potřebný k dosažení provozní způsobilosti;
• riziko chyby a nutnosti opakovat práce;
• skutečnou dostupnost kompetencí;
• schopnost organizace samostatně udržovat zavedená řešení.

Usnesení nebo rozhodnutí vedení má určit zvolenou variantu, rozdělení odpovědností, vlastníka projektu, zdroje, způsob reportování, přejímací kritéria a ukazatele účinnosti vycházející z procesů organizace, nikoli z univerzálních prahových hodnot bez kontextu.

Implementaci nelze převzít podle počtu vytvořených politik. Výsledkem má být opakovatelný způsob práce: přidělené role, zdokumentovaná rozhodnutí o rizicích, zavedená opatření, otestované reakce na narušení a incidenty, dohled nad dodavateli a důvěryhodné záznamy. Schválený postup reakce nepotvrzuje připravenost, pokud test odhalí neaktuální kontakty, nejasnou eskalační cestu nebo absenci osoby oprávněné rozhodnout.

Přejímací kritéria mají zahrnovat soulad dokumentace s praxí, uzavření dohodnutých mezer, výsledky testů, předání znalostí a jednoznačný plán dalšího zlepšování včetně plánu interních auditů. Mezi přejímací důkazy mohou patřit schválení, registry, výsledky testů, záznamy o školení, rozhodnutí o rizicích a potvrzení o splnění opatření. Způsob přípravy a udržování těchto důkazů popisuje článek Dokumentace NIS2 a KSC před kontrolou: které politiky, registry a důkazy je skutečně nutné mít.

Udržitelnost řešení lze vyhodnotit až po omezení účasti poradce. Vlastníci procesů by poté měli samostatně aktualizovat registry, přijímat rozhodnutí o rizicích, vyhodnocovat výsledky testů a iniciovat nápravná opatření. Jestliže systém funguje pouze díky znalostem dodavatele, projekt není ukončen: organizace získala dokumentaci, ale nevybudovala schopnost ji udržovat.