NIS2 z lastnimi viri ali z izvajalcem? Primerjava stroškov, časa in tveganj

Odločitev, ali zahteve NIS2 uvesti z lastnimi viri ali s podporo zunanjega izvajalca, ni le primerjava honorarja svetovalca s stroški dela interne ekipe. Na uspeh projekta vplivajo obseg obveznosti, razpoložljivost odločevalcev, kakovost podatkov o procesih in sredstvih ter sposobnost organizacije, da uvedene rešitve dolgoročno vzdržuje. Na videz najcenejša možnost je lahko na koncu najdražja, če povzroči napačno razvrstitev organizacije, ponavljanje analiz ali pripravo dokumentacije, ki ne odraža dejanskega načina dela. Zato je treba najprej opredeliti obseg in vrzeli, nato primerjati skupne stroške, čas in tveganja treh izvedbenih modelov ter šele zatem izbrati izvajalca in način vodenja projekta.

Izvajalca ne izbirajte, preden opredelite svoje obveznosti

Primerjava izvedbe z lastnimi viri in podpore zunanjega izvajalca je smiselna šele, ko organizacija ugotovi, ali zanjo veljajo obveznosti iz direktive NIS2 in poljskih predpisov, s katerimi se te zahteve prenašajo v nacionalno ureditev. Če je organizacija zavezanec, mora določiti, katere storitve, organizacijske enote, lokacije in sredstva sodijo v obravnavani obseg. Brez takšne razvrstitve ni mogoče zanesljivo oceniti obsega dela, roka izvedbe ali stroškov. Vodstvo mora imenovati tudi lastnika projekta z ustreznimi pooblastili za usklajevanje odločitev med operativnimi funkcijami, pravno službo in informatiko.

Izhodišče ni nakup dokumentacije ali informacijskega orodja, temveč jasen opis poslovnega modela. Organizacija mora prepoznati storitve, podporne procese, sisteme in podatke ter dobavitelje in odvisnosti, ki vplivajo na neprekinjeno poslovanje. Šele takšen zemljevid omogoča odločitev, ali mora analiza zajeti celotno družbo ali le določene storitve in lokacije. Rezultat prve faze naj bodo dokumentirana razvrstitev subjekta, jasno določene meje obsega ter seznam področij, ki zahtevajo oceno in korektivne ukrepe.

Formalno zavezanost predpisom je treba ločiti od poslovne potrebe po večji odpornosti. Organizacija je lahko zunaj področja zakonskih obveznosti, vendar mora kljub temu izpolnjevati zahteve strank, skupine družb, zavarovalnice ali udeležencev dobavne verige. Takšnega projekta ni primerno predstavljati kot izpolnitev zakonske obveznosti, temveč kot odziv na konkretne pogodbene zahteve in operativna tveganja.

Primer je proizvodno podjetje, ki uporablja omrežne požarne pregrade, varnostne kopije in zaščito delovnih postaj, vendar ne zna določiti lastnika procesa odzivanja na incidente. Prav tako ni ocenilo, kako bi izpad sistema za načrtovanje proizvodnje vplival na razpored naročil, razpoložljivost materiala in pravočasnost dobav. Težava zato ni samo v ravni tehničnih zaščitnih ukrepov, temveč tudi v nedoločeni odgovornosti in odsotnosti analize odvisnosti med informacijskim sistemom ter izvajanjem storitve.

Po opisu poslovanja je treba opraviti pravno presojo na podlagi sektorskih meril, meril glede vrste subjekta in velikostnih meril, veljavnih na dan objave. Formalno stališče mora potrditi organ ali oseba, pooblaščena za zastopanje organizacije, pri presoji pa morajo sodelovati pravna služba ter lastniki storitev in procesov. Informatika zagotavlja podatke o sistemih, vendar ne bi smela samostojno odločati o razvrstitvi. To vprašanje podrobneje obravnava prispevek »Direktiva NIS2 – za koga velja in katera podjetja morajo izpolniti nove zahteve?«.

Stroški uvedbe se ne končajo pri računu izvajalca

Izvedba z lastnimi viri ni brezplačna, prav tako honorar izvajalca ne predstavlja celotnega stroška zunanje podpore. Izračun mora vključevati delo vodstva, lastnikov procesov, informatikov, nabave, kadrovske in pravne službe ter predstavnika za sistem vodenja. Čas teh oseb je treba ovrednotiti po internih stroškovnih postavkah in dejansko porabljenih urah, pri čemer je treba upoštevati tudi operativne naloge, ki jih zaradi sodelovanja pri projektu ne bodo opravile. Obseg dela je odvisen predvsem od števila lokacij, procesov, sistemov, dobaviteljev in družb, vključenih v obseg.

Najpogosteje so podcenjeni zbiranje podatkov, uskladitev odgovornosti, popis sredstev in dobaviteljev, priprava dokazil, izvedba preizkusov in usposabljanj ter odpravljanje neskladij med internimi pravili. Zunanji izvajalec lahko ta opravila skrajša le, če zna zahteve smiselno vključiti v obstoječe procese, vloge in orodja. Predaja vzorčnih politik brez razumevanja poslovanja stroška ne odpravi, ampak ga prestavi v fazo usklajevanja, uvajanja in poznejšega posodabljanja.

Dokumentacijo za obravnavanje incidentov je mogoče pripraviti hitro, vendar bo ostala le formalnost, če niso dogovorjeni dežurstva, poti eskalacije, način zavarovanja dokazov in nadomeščanje. Dejanski strošek se pokaže pri preizkusu ali dogodku, ko je treba postopek preoblikovati. Proračun mora zato ločevati enkratne in stalne izdatke ter zajeti honorar svetovalca, tehnične naložbe, projektne zastoje, popravke in letno vzdrževanje: preglede, preizkuse, usposabljanja, posodabljanje dokumentacije, ocenjevanje dobaviteljev in obravnavanje incidentov.

Delujoč sistem upravljanja informacijske varnosti ali certifikat lahko zmanjša obseg popisa, ocenjevanja tveganj, obvladovanja dokumentacije in presoj, če rešitve v obravnavanem področju dejansko delujejo. Ne nadomesti pa presoje konkretnih obveznosti iz veljavnih predpisov niti preverjanja, ali obstoječi zaščitni ukrepi ustrezajo storitvam, za katere veljajo te obveznosti. Povezavo pojasnjuje prispevek NIS2 in SIST EN ISO 27001: kaj zagotavlja certifikat in kaj še vedno manjka za skladnost s KSC.

Čas izvedbe je odvisen od pripravljenosti za odločanje

Časa za pripravo na zahteve NIS2 praviloma ne določa hitrost pisanja postopkov. Ključne omejitve so razpoložljivost zanesljivih podatkov, lastnikov procesov in oseb, pooblaščenih za potrjevanje sprememb. Časovni načrt mora upoštevati njihovo dejansko razpoložljivost, pogostost sej usmerjevalnega odbora in čas, potreben za medoddelčne odločitve. Napovedani datum predaje dokumentacije ni ustrezno merilo napredka, če organizacija še ni potrdila obsega, odgovornosti in prednostnih nalog.

Delo mora slediti logičnemu zaporedju odvisnosti. Najprej je treba določiti obseg, vloge, procese in sredstva, nato izvesti oceno tveganj, potrditi načrt obravnave tveganj, uvesti zaščitne ukrepe, opraviti preizkuse in zbrati dokaze o delovanju. Vzporedno je mogoče izvajati naloge, ki temeljijo na istih potrjenih predpostavkah, na primer popis pogodb in pregled obstoječih zaščitnih ukrepov. Podrobne ocene tveganj pa ni smiselno začeti, dokler niso določene storitve, procesi, sistemi, informacije in odvisnosti od dobaviteljev, vključene v presojo.

Pri določanju zaporedja ukrepov je treba razlikovati med vrzelmi, ki zahtevajo nakupe, spremembe pogodb, tehnične integracije ali preizkuse. Vsaka skupina ima drugačen postopek potrjevanja in drugačen čas izvedbe. Zunanja podpora lahko pospeši diagnozo, izboljša izvedbo delavnic in strukturira rezultate, vendar svetovalec namesto vodstva ne more odločiti o sprejemu tveganja, prednostnem vrstnem redu naložb ali dopustnem trajanju prekinitve storitev. Če se takšne odločitve prelagajo do konca projekta, dokumentacija prehiti operativne rešitve, del analiz pa je treba ponoviti.

Napredek je zato treba meriti s številom potrjenih odločitev, razrešenih odvisnosti in zaščitnih ukrepov, katerih delovanje je bilo preverjeno, ne pa s številom pripravljenih dokumentov. Tudi večtedenski časovni načrt ni izvedljiv, če organizacija nima posodobljenega seznama sistemov, registra pogodb z dobavitelji ali dogovorjenih lastnikov procesov. Projektna skupina lahko v takšnem primeru opiše deklarirano stanje, ne more pa zanesljivo določiti odgovornosti za neprekinjeno poslovanje, obnovitev storitve in nadzor dobaviteljev.

Procesno modeliranje mora podpirati prav takšne odločitve, ne pa ustvarjati dodatne dokumentacije. Pri izbiri ustrezne ravni podrobnosti pomaga primerjava »BPMN ali diagram poteka – katero orodje je primernejše za modeliranje procesov kakovosti?«. V tem primeru je ustrezno orodje tisto, ki jasno prikaže vloge, mesta prenosa odgovornosti, informacijske odvisnosti ter področja, ki zahtevajo zaščito ali nadomeščanje.

Tveganje izhaja predvsem iz napačnih predpostavk

Za uspešno pripravo na zahteve NIS2 je pravilnost predpostavk pogosto pomembnejša od števila izvedenih nalog. Pri izvedbi z lastnimi viri so največja tveganja napačna razlaga obsega, spregled poslovnih odvisnosti in obravnavanje kibernetske varnosti kot izključne odgovornosti informatike. Organizacija lahko zato izpusti proizvodne procese, logistiko, vzdrževanje, neprekinjenost dobav ali obveznosti do odjemalcev. Manjka tudi neodvisen pogled na prakse, ki se interno štejejo za ustrezne zgolj zato, ker doslej niso povzročile opazne motnje.

Zunanja podpora teh nevarnosti ne odpravi samodejno. Tveganje poveča izvajalec, ki brez razumevanja storitev, procesov in odvisnosti organizacije zagotovi enoten paket dokumentov, ne vključi lastnikov procesov ali ne prenese znanja, potrebnega za vzdrževanje uvedenih rešitev. Tako nastane sistem, odvisen od avtorja dokumentacije, namesto od oseb, odgovornih za vsakodnevno delovanje.

Zato je smiselno izvedbo projekta ločiti od neodvisne končne presoje, zlasti kadar je isti izvajalec opredelil obseg, ocenjeval tveganja in izbiral zaščitne ukrepe. Odločitev o sprejemu preostalega tveganja mora ostati v pristojnosti odgovornega vodstva.

Navidezna skladnost se pokaže v razkoraku med zapisanim in dejanskim ravnanjem: politika opisuje drugačen način dela kot resnični proces, register tveganj ne vpliva na prednostne naloge in naložbe, postopek obravnavanja incidentov pa ni bil preizkušen. Dokumentacijska vrzel pomeni, da zahtevani zapis manjka ali je neskladen. Operativna vrzel obstaja, kadar organizacija ne zna izvesti dejavnosti, določiti odgovornosti ali predložiti dokaza o njeni učinkovitosti. Dopolnitev obrazca lahko odpravi prvo vrzel, ne more pa nadomestiti preizkusa, odločitve ali spremembe načina dela.

Primer je obrat s potrjenim postopkom prijavljanja incidentov, kjer zaposleni v proizvodnji ne vedo, kako prijaviti nedostopnost krmilnega ali načrtovalnega sistema. Hkrati z dobaviteljem storitve niso dogovorjeni pot eskalacije, kontaktne osebe niti način ukrepanja zunaj delovnega časa. Dokument sicer obstaja, vendar se ob motnji prve minute izgubijo za ugotavljanje odgovornosti. Takšno vrzel odkrije šele vaja, v katero so vključeni uporabnik, lastnik procesa, informatika, vodstvo in dobavitelj.

Presoja pripravljenosti mora preverjati sposobnost ukrepanja in predložitve verodostojnih dokazov, ne le popolnosti dokumentacije. Uporabna merila so število neizvedenih ukrepov iz preteklih presoj in preizkusov, rezultati preizkusov obnovitve, ugotovitve pregledov incidentov in motenj ter delež ključnih dobaviteljev, za katere so bile izvedene ocene in dogovorjene zahteve — vedno na podlagi podatkov organizacije. Način takšnega preverjanja podrobneje predstavlja prispevek »Presoja NIS2 v proizvodnem podjetju – kako preveriti pripravljenost organizacije na nove obveznosti«.

Kombinirani model praviloma omogoča najboljši nadzor

Izbira načina uvedbe mora temeljiti na dejanski sposobnosti organizacije za izvedbo projekta, ne zgolj na primerjavi svetovalnih tarif. Samostojna izvedba je smiselna, kadar ima projekt usposobljenega lastnika, so procesi upravljanja tveganj dovolj zreli, popisi sredstev in odvisnosti posodobljeni, ključni zaposleni pa imajo dovolj časa in znajo razlagati zahteve. Obsežnejša zunanja podpora je upravičena ob večjem pomanjkanju kompetenc, razpršeni strukturi, pomembnih tehnoloških odvisnostih, kratkem roku ali odsotnosti urejenega sistema vodenja.

Najboljši nadzor nad stroški, časom in tveganji praviloma omogoča kombinirani model. Organizacija ohrani odgovornost za odločitve, izvorne podatke, lastništvo tveganj in izvedbo operativnih ukrepov. Svetovalec je odgovoren za diagnozo, metodologijo, vodenje delavnic, analize, ki zahtevajo specialistično znanje, in nadzor kakovosti rezultatov.

V organizaciji morajo ostati najmanj:

• določitev pomena procesov in storitev;
• imenovanje lastnikov tveganj;
• sprejem preostalega tveganja;
• določitev prednostnih naložb;
• potrditev, da zaščitni ukrepi delujejo v praksi.

Vodstvo odgovornosti za odpornost organizacije ne more prenesti na izvajalca.

Podjetje z več obrati lahko samo zbere podatke o storitvah, sredstvih, dobaviteljih in posledicah motenj, saj njihova zanesljiva ocena zahteva operativno znanje. Zunanji strokovnjak lahko nato strukturira metodo ocenjevanja, opozori na nedoslednosti, vodi medoddelčne delavnice in preveri popolnost dokazil. Stroškovno učinkovitost takšne delitve določa število in usposobljenost oseb, ki jih je mogoče dejansko vključiti v projekt, ne formalna sestava projektne skupine.

Ponudbe je treba primerjati na podlagi enakega obsega rezultatov in meril za prevzem. Reference izvajalca je smiselno ocenjevati glede na podobnost sektorja, velikosti, procesov in tehnološkega okolja, ne zgolj glede na število izvedenih projektov. Pogodba mora jasno določati rezultate projekta, merila za prevzem, obveznost prilagoditve rešitev dejanskim procesom, prenos znanja, pravila zaupnosti in dostopa do občutljivih podatkov, odgovornost za popravke ter obseg podpore po uvedbi. Model plačila ne bi smel nagrajevati količine dokumentacije, temveč doseganje dogovorjenih in preverljivih rezultatov.

Praktične meje odgovornosti vodstva, lastnikov procesov in podpornih funkcij podrobneje obravnava prispevek NIS2 v praksi vodenja: kako zahteve pretvoriti v odločitve, odgovornost in dejansko odpornost organizacije.

Odločitev utemeljite z dokazi in sposobnostjo vzdrževanja sistema

Pred izbiro modela uvedbe je treba izvesti kratko organizacijsko diagnozo. Potrditi je treba obseg projekta, imenovati njegovega lastnika, oceniti razpoložljive kompetence, popisati obstoječe dokaze o delovanju in oceniti najpomembnejše vrzeli. Šele nato je mogoče določiti, katere naloge bo organizacija izvedla sama in pri katerih bo vključitev strokovnjaka zmanjšala tveganje napačne razlage, spregledov ali ponavljanja dela.

Odločitev vodstva naj primerja tri možnosti: izvedbo z lastnimi viri, kombinirani model in obsežnejšo zunanjo podporo. Za vse je treba uporabiti enaka merila:

• skupne stroške, vključno z delom zaposlenih, popravki in vzdrževanjem;
• čas, potreben za vzpostavitev operativne sposobnosti;
• tveganje napak in ponavljanja dela;
• dejansko razpoložljivost kompetenc;
• sposobnost organizacije, da rešitve samostojno vzdržuje.

Sklep oziroma odločitev vodstva mora določati izbrani model, razmejitev odgovornosti, lastnika projekta, vire, način poročanja, merila za prevzem in kazalnike uspešnosti, ki izhajajo iz procesov organizacije, ne iz splošnih pragov brez ustreznega konteksta.

Uvedbe ni primerno prevzeti na podlagi števila pripravljenih politik. Rezultat mora biti ponovljiv način delovanja: določene vloge, dokumentirane odločitve o tveganjih, uvedeni zaščitni ukrepi, preizkušeni odzivi na motnje in incidente, nadzor nad dobavitelji ter verodostojni zapisi. Potrjen postopek odzivanja še ne dokazuje pripravljenosti, če preizkus pokaže zastarele kontaktne podatke, nejasno pot eskalacije ali odsotnost osebe, pooblaščene za odločanje.

Merila za prevzem morajo zajeti skladnost dokumentacije z dejansko prakso, odpravo dogovorjenih vrzeli, rezultate preizkusov, prenos znanja in jasen načrt nadaljnjega izboljševanja, vključno z načrtom notranjih presoj. Dokazila za prevzem lahko vključujejo odobritve, registre, rezultate preizkusov, zapisnike usposabljanj, odločitve o tveganjih in potrditve izvedenih ukrepov. Pripravo in vzdrževanje takšnih dokazil podrobneje obravnava prispevek Dokumentacija NIS2 in KSC pred nadzorom: katere politike, registre in dokaze je dejansko treba imeti.

Trajnost rešitve je mogoče oceniti šele, ko se sodelovanje svetovalca zmanjša. Lastniki procesov morajo takrat samostojno posodabljati registre, sprejemati odločitve o tveganjih, analizirati rezultate preizkusov in sprožati korektivne ukrepe. Če sistem deluje izključno zaradi znanja izvajalca, projekt ni zaključen: organizacija je prejela dokumentacijo, ni pa razvila sposobnosti za njeno vzdrževanje.