Η επιλογή μεταξύ εσωτερικής υλοποίησης της NIS2 και συνεργασίας με εταιρεία υλοποίησης δεν περιορίζεται στη σύγκριση της αμοιβής του συμβούλου με το κόστος εργασίας της εσωτερικής ομάδας. Το αποτέλεσμα του έργου εξαρτάται από το εύρος των υποχρεώσεων, τη διαθεσιμότητα των υπευθύνων λήψης αποφάσεων, την ποιότητα των δεδομένων για τις διεργασίες και τους πόρους, καθώς και από την ικανότητα του οργανισμού να διατηρήσει στη συνέχεια τις λύσεις που θα υιοθετηθούν. Η φαινομενικά οικονομικότερη επιλογή μπορεί να αποδειχθεί η ακριβότερη, εάν οδηγήσει σε εσφαλμένη υπαγωγή, επανάληψη αναλύσεων ή τεκμηρίωση που δεν ανταποκρίνεται στον πραγματικό τρόπο λειτουργίας της επιχείρησης. Πρώτα, επομένως, απαιτείται σαφής προσδιορισμός του πεδίου εφαρμογής και των αποκλίσεων. Έπειτα πρέπει να συγκριθούν το συνολικό κόστος, ο χρόνος και ο κίνδυνος των τριών μοντέλων υλοποίησης και μόνο τότε να επιλεγούν ο ανάδοχος και ο τρόπος εκτέλεσης του έργου.
Μην επιλέξετε ανάδοχο πριν αποσαφηνίσετε τις υποχρεώσεις
Η σύγκριση μεταξύ εσωτερικής υλοποίησης και εξωτερικής υποστήριξης έχει νόημα μόνο αφού εξακριβωθεί εάν ο οργανισμός υπάγεται στις απαιτήσεις της NIS2 και στην εφαρμοστέα εθνική νομοθεσία που τις ενσωματώνει. Εφόσον υπάγεται, πρέπει να προσδιοριστούν οι υπηρεσίες, οι οργανωτικές μονάδες, οι εγκαταστάσεις και οι πόροι που θα καλύψει η αξιολόγηση. Χωρίς αυτή την κατάταξη δεν είναι δυνατόν να εκτιμηθούν αξιόπιστα το εύρος των εργασιών, το χρονοδιάγραμμα ή το κόστος. Η διοίκηση πρέπει επίσης να ορίσει υπεύθυνο έργου με την απαιτούμενη εξουσιοδότηση, ώστε να συντονίζει αποφάσεις μεταξύ επιχειρησιακών λειτουργιών, νομικής υπηρεσίας και πληροφορικής.
Αφετηρία δεν είναι η αγορά έτοιμης τεκμηρίωσης ή ενός πληροφοριακού εργαλείου, αλλά η αποτύπωση του επιχειρησιακού μοντέλου. Πρέπει να αναγνωριστούν οι παρεχόμενες υπηρεσίες, οι διεργασίες, τα συστήματα και τα δεδομένα που τις υποστηρίζουν, καθώς και οι προμηθευτές και οι εξαρτήσεις από τις οποίες εξαρτάται η επιχειρησιακή συνέχεια. Μόνο αυτή η χαρτογράφηση επιτρέπει να καθοριστεί εάν η αξιολόγηση πρέπει να καλύψει ολόκληρη την εταιρεία ή συγκεκριμένες υπηρεσίες και εγκαταστάσεις. Το πρώτο στάδιο πρέπει να καταλήγει σε τεκμηριωμένη αξιολόγηση υπαγωγής, σαφώς καθορισμένα όρια πεδίου εφαρμογής και κατάλογο των περιοχών που απαιτούν αξιολόγηση και διορθωτικές ενέργειες.
Η τυπική υπαγωγή στη νομοθεσία πρέπει να διακρίνεται από την επιχειρηματική ανάγκη ενίσχυσης της ανθεκτικότητας. Ένας οργανισμός μπορεί να βρίσκεται εκτός του υποχρεωτικού νομοθετικού πεδίου και, παρ’ όλα αυτά, να δεσμεύεται από απαιτήσεις πελατών, ομίλου εταιρειών, ασφαλιστή ή άλλων μερών της εφοδιαστικής αλυσίδας. Ένα τέτοιο έργο δεν πρέπει να παρουσιάζεται ως εκπλήρωση νομικής υποχρέωσης, αλλά ως ανταπόκριση σε συγκεκριμένες συμβατικές απαιτήσεις και λειτουργικούς κινδύνους.
Χαρακτηριστικό παράδειγμα είναι μια μεταποιητική επιχείρηση που διαθέτει firewalls, αντίγραφα ασφαλείας και προστασία σταθμών εργασίας, αλλά δεν μπορεί να κατονομάσει τον ιδιοκτήτη της διεργασίας αντιμετώπισης περιστατικών. Παράλληλα, δεν έχει αξιολογήσει πώς μια αστοχία του συστήματος προγραμματισμού παραγωγής θα επηρεάσει το πρόγραμμα εντολών, τη διαθεσιμότητα υλικών και την έγκαιρη παράδοση. Το πρόβλημα δεν αφορά τότε μόνο το επίπεδο των τεχνικών μέτρων, αλλά και την απουσία σαφούς ευθύνης και ανάλυσης των εξαρτήσεων μεταξύ του πληροφοριακού συστήματος και της παροχής της υπηρεσίας.
Μετά την αποτύπωση της δραστηριότητας πρέπει να διενεργηθεί νομική αξιολόγηση βάσει των κλαδικών, οργανωτικών και ποσοτικών κριτηρίων που ισχύουν κατά τον χρόνο δημοσίευσης. Η επίσημη θέση πρέπει να εγκρίνεται από το όργανο ή το πρόσωπο που έχει αρμοδιότητα εκπροσώπησης του οργανισμού, με συμμετοχή της νομικής υπηρεσίας και των ιδιοκτητών υπηρεσιών και διεργασιών. Η πληροφορική παρέχει δεδομένα για τα συστήματα, αλλά δεν πρέπει να αποφασίζει μόνη της για την υπαγωγή. Το θέμα αναλύεται περαιτέρω στο άρθρο «Οδηγία NIS2 – ποιους αφορά και ποιες επιχειρήσεις πρέπει να ανταποκριθούν στις νέες απαιτήσεις;».
Το κόστος υλοποίησης δεν εξαντλείται στο τιμολόγιο
Η εσωτερική υλοποίηση δεν είναι δωρεάν, όπως και η αμοιβή της εταιρείας υλοποίησης δεν αποτελεί το συνολικό κόστος της εξωτερικής υποστήριξης. Ο υπολογισμός πρέπει να περιλαμβάνει τον χρόνο της διοίκησης, των ιδιοκτητών διεργασιών, της πληροφορικής, των προμηθειών, του ανθρώπινου δυναμικού, της νομικής υπηρεσίας και του υπευθύνου του συστήματος διαχείρισης. Ο χρόνος αυτών των στελεχών πρέπει να αποτιμάται με βάση το πραγματικό εσωτερικό κόστος και τις ώρες εργασίας, λαμβάνοντας υπόψη και τις επιχειρησιακές εργασίες που δεν θα εκτελέσουν όσο απασχολούνται στο έργο. Ο απαιτούμενος φόρτος εξαρτάται κυρίως από τον αριθμό των εγκαταστάσεων, διεργασιών, συστημάτων, προμηθευτών και εταιρειών που περιλαμβάνονται στο πεδίο εφαρμογής.
Συχνότερα υποεκτιμώνται η συλλογή δεδομένων, η συμφωνία των αρμοδιοτήτων, η απογραφή περιουσιακών στοιχείων και προμηθευτών, η συγκέντρωση τεκμηρίων, η εκτέλεση δοκιμών και εκπαιδεύσεων και η διόρθωση ασυνεπών εσωτερικών κανόνων. Μια εξωτερική εταιρεία μπορεί να επιταχύνει αυτές τις εργασίες μόνο εφόσον είναι σε θέση να ενσωματώσει τις απαιτήσεις στις υφιστάμενες διεργασίες, τους ρόλους και τα εργαλεία. Η παράδοση πρότυπων πολιτικών χωρίς κατανόηση της δραστηριότητας δεν εξαλείφει το κόστος· απλώς το μεταφέρει στη φάση της προσαρμογής, της εφαρμογής και των μελλοντικών επικαιροποιήσεων.
| Κατηγορία κόστους | Εσωτερική υλοποίηση | Εξωτερική υλοποίηση | Μικτό μοντέλο |
|---|---|---|---|
| Εσωτερική εργασία | Η υψηλότερη· περιλαμβάνει ανάλυση, τεκμηρίωση και συντονισμό | Παραμένει σημαντική· τα δεδομένα και οι αποφάσεις πρέπει να προέρχονται από τον οργανισμό | Εστιάζεται στη γνώση των διεργασιών, στις αποφάσεις και στην παραλαβή των αποτελεσμάτων |
| Συμβουλευτική υποστήριξη | Καμία ή μόνο στοχευμένη υποστήριξη | Η υψηλότερη εξωτερική αμοιβή | Περιορίζεται στα πεδία που απαιτούν εξειδικευμένη γνώση |
| Τεχνολογία | Εξαρτάται από τις αποκλίσεις που θα διαπιστωθούν· η επιλογή μοντέλου υλοποίησης δεν εξαλείφει αυτές τις επενδύσεις | ||
| Διορθώσεις | Κίνδυνος παραλείψεων και επανάληψης αναλύσεων | Κίνδυνος ακατάλληλων προτύπων και υπερβολικών λύσεων | Συνήθως περιορίζονται ευκολότερα μέσω συνεχούς επαλήθευσης |
| Διατήρηση | Πλήρης εσωτερική ευθύνη | Κίνδυνος εξάρτησης από τον ανάδοχο | Η γνώση παραμένει στον οργανισμό και η υποστήριξη μπορεί να παρέχεται περιοδικά |
Η τεκμηρίωση για τη διαχείριση περιστατικών μπορεί να συνταχθεί γρήγορα, αλλά θα παραμείνει προσχηματική εάν δεν έχουν συμφωνηθεί οι ετοιμότητες, η διαδρομή κλιμάκωσης, ο τρόπος διασφάλισης αποδεικτικών στοιχείων και οι αναπληρώσεις. Το πραγματικό κόστος θα εμφανιστεί κατά τη δοκιμή ή σε πραγματικό συμβάν, όταν η διαδικασία θα πρέπει να ανασχεδιαστεί. Ο προϋπολογισμός πρέπει επομένως να διαχωρίζει τις εφάπαξ από τις πάγιες δαπάνες και να καλύπτει την αμοιβή του συμβούλου, τις τεχνικές επενδύσεις, τις καθυστερήσεις του έργου, τις διορθώσεις και την ετήσια διατήρηση: ανασκοπήσεις, δοκιμές, εκπαιδεύσεις, επικαιροποίηση τεκμηρίωσης, αξιολογήσεις προμηθευτών και διαχείριση περιστατικών.
Ένα λειτουργικό σύστημα διαχείρισης ασφάλειας πληροφοριών ή μια πιστοποίηση μπορεί να περιορίσει την απαιτούμενη εργασία για απογραφή, αξιολόγηση κινδύνων, έλεγχο τεκμηρίωσης και επιθεωρήσεις, εφόσον οι σχετικές ρυθμίσεις εφαρμόζονται πράγματι στο εξεταζόμενο πεδίο. Δεν υποκαθιστά όμως την αξιολόγηση των συγκεκριμένων υποχρεώσεων που απορρέουν από την εφαρμοστέα νομοθεσία ούτε την επαλήθευση ότι τα υφιστάμενα μέτρα καλύπτουν τις υπηρεσίες που υπάγονται σε αυτή. Η σχέση αυτή εξηγείται στο άρθρο NIS2 και ELOT EN ISO 27001: τι προσφέρει η πιστοποίηση και τι εξακολουθεί να απαιτείται για συμμόρφωση με το KSC.
Ο χρόνος εξαρτάται από την ετοιμότητα λήψης αποφάσεων
Η διάρκεια προετοιμασίας για τις απαιτήσεις της NIS2 σπάνια καθορίζεται από την ταχύτητα σύνταξης διαδικασιών. Οι βασικοί περιορισμοί είναι η διαθεσιμότητα αξιόπιστων δεδομένων, των ιδιοκτητών διεργασιών και των στελεχών που έχουν αρμοδιότητα έγκρισης αλλαγών. Το χρονοδιάγραμμα πρέπει να λαμβάνει υπόψη την πραγματική διαθεσιμότητα αυτών των προσώπων, τη συχνότητα συνεδριάσεων της διοικούσας επιτροπής και τον χρόνο που απαιτείται για τη διευθέτηση διατμηματικών θεμάτων. Η δηλωμένη ημερομηνία παράδοσης της τεκμηρίωσης δεν αποτελεί μέτρο προόδου εάν ο οργανισμός δεν έχει εγκρίνει το πεδίο εφαρμογής, τις αρμοδιότητες και τις προτεραιότητες.
Οι εργασίες πρέπει να προγραμματίζονται βάσει των μεταξύ τους εξαρτήσεων. Πρώτα καθορίζονται το πεδίο εφαρμογής, οι ρόλοι, οι διεργασίες και τα περιουσιακά στοιχεία. Στη συνέχεια εκτελούνται η αξιολόγηση κινδύνων, η έγκριση του σχεδίου αντιμετώπισης κινδύνων, η εφαρμογή των μέτρων, οι δοκιμές και η συλλογή τεκμηρίων λειτουργίας. Παράλληλα μπορούν να εκτελούνται εργασίες που βασίζονται στις ίδιες εγκεκριμένες παραδοχές, όπως η απογραφή συμβάσεων και η ανασκόπηση υφιστάμενων μέτρων. Δεν πρέπει, αντίθετα, να ξεκινά λεπτομερής αξιολόγηση κινδύνων πριν προσδιοριστούν οι υπηρεσίες, οι διεργασίες, τα συστήματα, οι πληροφορίες και οι εξαρτήσεις από προμηθευτές που θα καλύψει η αξιολόγηση.
Κατά τον καθορισμό της σειράς ενεργειών πρέπει να διακρίνονται οι αποκλίσεις που απαιτούν αγορές, τροποποιήσεις συμβάσεων, τεχνικές διασυνδέσεις ή δοκιμές. Κάθε κατηγορία ακολουθεί διαφορετική διαδικασία έγκρισης και έχει διαφορετικό χρόνο υλοποίησης. Η εξωτερική υποστήριξη μπορεί να επιταχύνει τη διάγνωση, να διευκολύνει τα εργαστήρια και να οργανώσει τα αποτελέσματά τους. Ο σύμβουλος όμως δεν μπορεί να αποφασίσει αντί της διοίκησης για την αποδοχή κινδύνου, την προτεραιότητα των επενδύσεων ή τον ανεκτό χρόνο διακοπής των υπηρεσιών. Όταν αυτές οι αποφάσεις αναβάλλονται μέχρι το τέλος του έργου, η τεκμηρίωση προηγείται των λειτουργικών λύσεων και μέρος των αναλύσεων πρέπει να επαναληφθεί.
Η πρόοδος πρέπει συνεπώς να μετράται με βάση τις εγκεκριμένες αποφάσεις, τις εξαρτήσεις που έχουν διευθετηθεί και τα μέτρα των οποίων η λειτουργία έχει επαληθευτεί — όχι με τον αριθμό των εγγράφων. Ακόμη και ένα χρονοδιάγραμμα λίγων εβδομάδων είναι ανέφικτο όταν ο οργανισμός δεν διαθέτει ενημερωμένο κατάλογο συστημάτων, μητρώο συμβάσεων με προμηθευτές ή συμφωνημένους ιδιοκτήτες διεργασιών. Σε μια τέτοια περίπτωση η ομάδα μπορεί να περιγράψει τη δηλωμένη κατάσταση, αλλά δεν μπορεί να καθορίσει αξιόπιστα τις ευθύνες για τη συνέχεια λειτουργίας, την αποκατάσταση υπηρεσιών και την εποπτεία προμηθευτών.
Η χαρτογράφηση διεργασιών πρέπει να υποστηρίζει αυτές τις αποφάσεις και όχι να διογκώνει την τεκμηρίωση. Η σύγκριση «BPMN ή διάγραμμα ροής – ποιο εργαλείο είναι καταλληλότερο για τη χαρτογράφηση διεργασιών ποιότητας;» βοηθά στην επιλογή του κατάλληλου επιπέδου λεπτομέρειας. Στη συγκεκριμένη εφαρμογή, κατάλληλο είναι το εργαλείο που αποτυπώνει με σαφήνεια τους ρόλους, τα σημεία μεταβίβασης ευθύνης, τις πληροφοριακές εξαρτήσεις και τα πεδία που απαιτούν προστασία ή πρόβλεψη αναπλήρωσης.
Ο κίνδυνος προκύπτει κυρίως από λανθασμένες παραδοχές
Η επιτυχία της προετοιμασίας για τη NIS2 εξαρτάται συχνότερα από την ορθότητα των παραδοχών παρά από τον αριθμό των ολοκληρωμένων εργασιών. Στην εσωτερική υλοποίηση, οι σημαντικότεροι κίνδυνοι σχετίζονται με την εσφαλμένη ερμηνεία του πεδίου εφαρμογής, την παράλειψη επιχειρησιακών εξαρτήσεων και την αντιμετώπιση της κυβερνοασφάλειας ως αποκλειστικής ευθύνης της πληροφορικής. Ο οργανισμός μπορεί έτσι να παραβλέψει την παραγωγή, τα logistics, τη συντήρηση εξοπλισμού, τη συνέχεια εφοδιασμού ή τις δεσμεύσεις προς τους πελάτες. Απουσιάζει επίσης μια ανεξάρτητη αξιολόγηση πρακτικών που θεωρούνται επαρκείς εσωτερικά μόνο επειδή μέχρι σήμερα δεν προκάλεσαν εμφανή διαταραχή.
Η εξωτερική υποστήριξη δεν εξαλείφει αυτομάτως αυτούς τους κινδύνους. Τους αυξάνει όταν ο ανάδοχος παραδίδει ένα ενιαίο πακέτο εγγράφων χωρίς να κατανοεί τις υπηρεσίες, τις διεργασίες και τις εξαρτήσεις του οργανισμού, δεν εμπλέκει τους ιδιοκτήτες διεργασιών ή δεν μεταφέρει τη γνώση που απαιτείται για τη διατήρηση των λύσεων. Τότε δημιουργείται ένα σύστημα που εξαρτάται από τον συντάκτη της τεκμηρίωσης και όχι από τα πρόσωπα που είναι υπεύθυνα για την καθημερινή λειτουργία.
Είναι επομένως σκόπιμο να διαχωρίζεται η εκτέλεση των εργασιών από την ανεξάρτητη τελική αξιολόγηση, ιδίως όταν ο ίδιος φορέας έχει σχεδιάσει το πεδίο εφαρμογής, αξιολογήσει τους κινδύνους και επιλέξει τα μέτρα. Η απόφαση αποδοχής του υπολειπόμενου κινδύνου πρέπει να παραμένει στην αρμόδια διοίκηση.
Η προσχηματική συμμόρφωση φαίνεται στην απόκλιση μεταξύ τεκμηρίωσης και πράξης: η πολιτική περιγράφει διαφορετική λειτουργία από την πραγματική διεργασία, το μητρώο κινδύνων δεν επηρεάζει τις προτεραιότητες και τις επενδύσεις και η διαδικασία διαχείρισης περιστατικών δεν έχει δοκιμαστεί. Απόκλιση τεκμηρίωσης σημαίνει ότι μια αναγκαία καταγραφή απουσιάζει ή είναι ασυνεπής. Λειτουργική απόκλιση υπάρχει όταν ο οργανισμός δεν μπορεί να εκτελέσει μια ενέργεια, να αναθέσει σαφή ευθύνη ή να παρουσιάσει τεκμήρια αποτελεσματικότητας. Η συμπλήρωση ενός εντύπου μπορεί να διορθώσει την πρώτη απόκλιση, αλλά δεν αντικαθιστά μια δοκιμή, μια διοικητική απόφαση ή την αλλαγή του τρόπου εργασίας.
Ένα χαρακτηριστικό παράδειγμα είναι εγκατάσταση με εγκεκριμένη διαδικασία αναφοράς περιστατικών, όπου οι εργαζόμενοι στην παραγωγή δεν γνωρίζουν πώς να αναφέρουν τη μη διαθεσιμότητα του συστήματος ελέγχου ή προγραμματισμού. Παράλληλα, δεν έχουν συμφωνηθεί με τον πάροχο υπηρεσιών η διαδρομή κλιμάκωσης, τα πρόσωπα επικοινωνίας και οι κανόνες ανταπόκρισης εκτός ωραρίου. Το έγγραφο υπάρχει, αλλά σε περίπτωση διαταραχής τα κρίσιμα πρώτα λεπτά χάνονται στην αναζήτηση του αρμοδίου. Μόνο μια άσκηση που περιλαμβάνει τον χρήστη, τον ιδιοκτήτη διεργασίας, την πληροφορική, τη διοίκηση και τον προμηθευτή μπορεί να αναδείξει αυτή την απόκλιση.
Ο έλεγχος ετοιμότητας πρέπει να εξετάζει την ικανότητα δράσης και παρουσίασης αξιόπιστων τεκμηρίων, όχι μόνο την πληρότητα των εγγράφων. Χρήσιμοι δείκτες είναι οι εκκρεμείς ενέργειες από προηγούμενες επιθεωρήσεις και δοκιμές, τα αποτελέσματα δοκιμών αποκατάστασης, τα συμπεράσματα από ανασκοπήσεις περιστατικών και διαταραχών και το ποσοστό κρίσιμων προμηθευτών που έχουν αξιολογηθεί και για τους οποίους έχουν συμφωνηθεί απαιτήσεις — πάντοτε με βάση τα δεδομένα του οργανισμού. Η μεθοδολογία μιας τέτοιας επαλήθευσης αναπτύσσεται στο άρθρο «Έλεγχος NIS2 σε μεταποιητική επιχείρηση – πώς αξιολογείται η ετοιμότητα του οργανισμού για τις νέες υποχρεώσεις».
Το μικτό μοντέλο προσφέρει συνήθως τον καλύτερο έλεγχο
Η επιλογή του μοντέλου υλοποίησης πρέπει να βασίζεται στην πραγματική ικανότητα του οργανισμού να εκτελέσει τις απαιτούμενες εργασίες και όχι μόνο στη σύγκριση αμοιβών συμβούλων. Η εσωτερική υλοποίηση είναι εύλογη όταν το έργο διαθέτει κατάλληλο και αρμόδιο υπεύθυνο, οι διεργασίες διαχείρισης κινδύνων είναι ώριμες, οι απογραφές πόρων και εξαρτήσεων παραμένουν ενημερωμένες και τα βασικά στελέχη διαθέτουν χρόνο και ικανότητα ερμηνείας των απαιτήσεων. Εκτενέστερη εξωτερική υποστήριξη δικαιολογείται όταν υπάρχει σημαντικό κενό τεχνογνωσίας, αποκεντρωμένη δομή, κρίσιμες τεχνολογικές εξαρτήσεις, περιορισμένος χρόνος προετοιμασίας ή απουσία οργανωμένου συστήματος διαχείρισης.
Στις περισσότερες περιπτώσεις, το μικτό μοντέλο παρέχει τον καλύτερο έλεγχο κόστους, χρόνου και κινδύνου. Ο οργανισμός διατηρεί την ευθύνη για τις αποφάσεις, τα πρωτογενή δεδομένα, την ιδιοκτησία των κινδύνων και την εκτέλεση των λειτουργικών ενεργειών. Ο σύμβουλος αναλαμβάνει τη διάγνωση, τη μεθοδολογία, τον συντονισμό εργαστηρίων, τις αναλύσεις που απαιτούν εξειδικευμένη γνώση και τον ποιοτικό έλεγχο των αποτελεσμάτων.
Στον οργανισμό πρέπει να παραμένουν τουλάχιστον:
- ο καθορισμός της κρισιμότητας των διεργασιών και των υπηρεσιών·
- ο ορισμός ιδιοκτητών κινδύνου·
- η αποδοχή του υπολειπόμενου κινδύνου·
- ο καθορισμός επενδυτικών προτεραιοτήτων·
- η επιβεβαίωση ότι τα μέτρα λειτουργούν στην πράξη.
Η διοίκηση δεν μπορεί να μεταβιβάσει στον ανάδοχο την ευθύνη για την ανθεκτικότητα του οργανισμού.
Μια εταιρεία με περισσότερες εγκαταστάσεις μπορεί να συλλέξει εσωτερικά πληροφορίες για υπηρεσίες, πόρους, προμηθευτές και επιπτώσεις διαταραχών, καθώς η αξιόπιστη αξιολόγησή τους απαιτεί επιχειρησιακή γνώση. Ο εξωτερικός ειδικός μπορεί στη συνέχεια να οργανώσει τη μέθοδο αξιολόγησης, να αμφισβητήσει ασυνέπειες, να συντονίσει διατμηματικά εργαστήρια και να ελέγξει την πληρότητα των τεκμηρίων. Η οικονομική αποδοτικότητα αυτού του καταμερισμού εξαρτάται από τον πραγματικό αριθμό και τις ικανότητες των προσώπων που μπορούν να διατεθούν στο έργο — όχι από την τυπική σύνθεση της ομάδας έργου.
Οι προσφορές πρέπει να συγκρίνονται βάσει ίδιου αντικειμένου παραδοτέων και κοινών κριτηρίων αποδοχής. Οι συστάσεις και η εμπειρία του αναδόχου πρέπει να αξιολογούνται με βάση την ομοιότητα κλάδου, κλίμακας, διεργασιών και τεχνολογικού περιβάλλοντος και όχι μόνο τον αριθμό προηγούμενων έργων. Η σύμβαση πρέπει να καθορίζει με σαφήνεια τα παραδοτέα, τα κριτήρια αποδοχής, την υποχρέωση προσαρμογής των λύσεων στις πραγματικές διεργασίες, τη μεταφορά γνώσης, τους κανόνες εμπιστευτικότητας και πρόσβασης σε ευαίσθητα δεδομένα, την ευθύνη για διορθώσεις και το εύρος υποστήριξης μετά την υλοποίηση. Το μοντέλο αμοιβής δεν πρέπει να επιβραβεύει τον αριθμό των εγγράφων, αλλά την επίτευξη συμφωνημένων και επαληθεύσιμων αποτελεσμάτων.
Τα πρακτικά όρια ευθύνης της διοίκησης, των ιδιοκτητών διεργασιών και των υποστηρικτικών λειτουργιών αναλύονται στο άρθρο Η NIS2 στη διοικητική πρακτική: πώς μετατρέπονται οι απαιτήσεις σε αποφάσεις, ευθύνες και πραγματική οργανωσιακή ανθεκτικότητα.
Βασίστε την απόφαση σε τεκμήρια και στην ικανότητα διατήρησης του συστήματος
Πριν επιλεγεί το μοντέλο υλοποίησης πρέπει να προηγηθεί μια σύντομη οργανωτική διάγνωση. Χρειάζεται να επιβεβαιωθεί το πεδίο εφαρμογής του έργου, να οριστεί ο υπεύθυνός του, να αξιολογηθεί η διαθεσιμότητα των απαιτούμενων ικανοτήτων, να απογραφούν τα υφιστάμενα τεκμήρια λειτουργίας και να εκτιμηθούν οι σημαντικότερες αποκλίσεις. Μόνο τότε μπορεί να αποφασιστεί ποιες εργασίες θα εκτελέσει ο οργανισμός εσωτερικά και σε ποια σημεία η συμμετοχή ειδικού θα περιορίσει τον κίνδυνο εσφαλμένης ερμηνείας, παραλείψεων ή επανάληψης εργασιών.
Η απόφαση της διοίκησης πρέπει να συγκρίνει τρία μοντέλα: εσωτερική υλοποίηση, μικτό μοντέλο και εκτενέστερη εξωτερική υποστήριξη. Για κάθε επιλογή πρέπει να εφαρμόζονται τα ίδια κριτήρια:
- συνολικό κόστος, συμπεριλαμβανομένης της εργασίας του προσωπικού, των διορθώσεων και της διατήρησης·
- χρόνος που απαιτείται για την επίτευξη λειτουργικής ικανότητας·
- κίνδυνος σφάλματος και ανάγκης επανάληψης εργασιών·
- πραγματική διαθεσιμότητα των απαιτούμενων ικανοτήτων·
- ικανότητα του οργανισμού να διατηρεί αυτόνομα τις λύσεις.
Η απόφαση ή το σχετικό πρακτικό της διοίκησης πρέπει να αναφέρει το επιλεγμένο μοντέλο, την κατανομή αρμοδιοτήτων, τον υπεύθυνο έργου, τους πόρους, τον τρόπο αναφοράς, τα κριτήρια αποδοχής και τους δείκτες αποτελεσματικότητας που προκύπτουν από τις διεργασίες του οργανισμού — όχι από γενικά όρια χωρίς επιχειρησιακό πλαίσιο.
Η υλοποίηση δεν πρέπει να παραλαμβάνεται βάσει του αριθμού των πολιτικών που συντάχθηκαν. Το αποτέλεσμα πρέπει να είναι επαναλήψιμη λειτουργία: σαφώς ανατεθειμένοι ρόλοι, τεκμηριωμένες αποφάσεις για τους κινδύνους, εφαρμοσμένα μέτρα, δοκιμασμένη απόκριση σε διαταραχές και περιστατικά, εποπτεία προμηθευτών και αξιόπιστες καταγραφές. Μια εγκεκριμένη διαδικασία αντιμετώπισης περιστατικών δεν αποδεικνύει ετοιμότητα εάν η δοκιμή αποκαλύψει παρωχημένα στοιχεία επικοινωνίας, ασαφή διαδρομή κλιμάκωσης ή απουσία προσώπου εξουσιοδοτημένου να λάβει απόφαση.
Τα κριτήρια αποδοχής πρέπει να περιλαμβάνουν την ευθυγράμμιση της τεκμηρίωσης με την πρακτική, το κλείσιμο των συμφωνημένων αποκλίσεων, τα αποτελέσματα δοκιμών, τη μεταφορά γνώσης και ένα σαφές σχέδιο περαιτέρω βελτίωσης, συμπεριλαμβανομένου προγράμματος εσωτερικών επιθεωρήσεων. Τα τεκμήρια παραλαβής μπορούν να περιλαμβάνουν εγκρίσεις, μητρώα, αποτελέσματα δοκιμών, πρακτικά εκπαίδευσης, αποφάσεις για κινδύνους και επιβεβαιώσεις ολοκλήρωσης ενεργειών. Η προετοιμασία και η διατήρηση αυτών των τεκμηρίων αναλύονται στο άρθρο Τεκμηρίωση NIS2 και KSC πριν από έλεγχο: ποιες πολιτικές, μητρώα και αποδείξεις χρειάζονται πραγματικά.
Η βιωσιμότητα της λύσης μπορεί να αξιολογηθεί μόνο αφού περιοριστεί η συμμετοχή του συμβούλου. Τότε οι ιδιοκτήτες διεργασιών πρέπει να μπορούν να επικαιροποιούν αυτόνομα τα μητρώα, να λαμβάνουν αποφάσεις για τους κινδύνους, να αναλύουν τα αποτελέσματα των δοκιμών και να κινούν διορθωτικές ενέργειες. Εάν το σύστημα λειτουργεί αποκλειστικά χάρη στη γνώση του αναδόχου, το έργο δεν έχει ολοκληρωθεί: ο οργανισμός παρέλαβε τεκμηρίωση, αλλά δεν απέκτησε την ικανότητα να τη διατηρεί.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
