Otsust, kas rakendada NIS2 nõudeid oma jõududega või konsultatsioonifirma toel, ei saa teha üksnes nõustamistasu ja oma töötajate tööaja maksumust võrreldes. Projekti tulemust mõjutavad kohustuste ulatus, otsustajate kättesaadavus, protsessi- ja varaandmete kvaliteet ning organisatsiooni võime loodud lahendusi hiljem toimivana hoida. Esmapilgul odavaim variant võib osutuda kõige kulukamaks, kui see toob kaasa vale kohaldamisotsuse, analüüside kordamise või dokumendid, mis ei vasta ettevõtte tegelikule töökorraldusele. Seetõttu tuleb kõigepealt määrata kohaldamisala ja puudujäägid, seejärel võrrelda kolme teostusmudeli kogukulu, ajakulu ja riske ning alles pärast seda valida tööde tegija ja korraldus.
Ära vali tööde tegijat enne kohustuste ja ulatuse kindlaksmääramist
Oma jõududega rakendamise ja välise toe võrdlemine on põhjendatud alles pärast seda, kui on kindlaks tehtud, kas organisatsioonile kohalduvad NIS2-st ja selle nõudeid rakendavatest siseriiklikest õigusaktidest tulenevad kohustused. Kohaldumise korral tuleb määrata, milliseid teenuseid, üksusi, tegevuskohti ja varasid analüüs hõlmab. Ilma sellise hinnanguta ei ole võimalik tööde mahtu, kestust ega maksumust usaldusväärselt hinnata. Juhtkond peab nimetama ka projekti omaniku, kellel on volitus kooskõlastada otsuseid põhitegevuse, õigusfunktsiooni ja IT vahel.
Lähtekoht ei ole dokumentide paketi ega IT-lahenduse ostmine, vaid organisatsiooni tegevusmudeli kirjeldamine. Kaardistada tuleb osutatavad teenused, neid toetavad protsessid, süsteemid ja andmed ning tarnijad ja sõltuvused, millest sõltub tegevuse järjepidevus. Alles selline kaart võimaldab otsustada, kas analüüs peab hõlmama kogu ettevõtet või üksnes konkreetseid teenuseid ja tegevuskohti. Esimese etapi tulemusena peaksid valmima dokumenteeritud hinnang nõuete kohaldumise kohta, selgelt määratletud käsitlusala ning hindamist ja parandusmeetmeid vajavate valdkondade loetelu.
Õigusaktide formaalset kohaldumist tuleb eristada ärilisest vajadusest suurendada toimepidevust ja vastupanuvõimet. Organisatsioon võib jääda seadusest tulenevate kohustuste kohaldamisalast välja, kuid peab siiski täitma klientide, kontserni, kindlustusandja või tarneahela partnerite nõudeid. Sellist projekti ei tohiks esitada õigusliku kohustuse täitmisena, vaid vastusena konkreetsetele lepingulistele nõuetele ja tegevusriskidele.
Näiteks võib tootmisettevõttel olla kasutusel tulemüürid, varukoopiad ja tööjaamade kaitse, kuid puududa selgelt määratud infoturbeintsidendile reageerimise protsessi omanik. Samuti ei pruugi olla hinnatud, kuidas tootmise planeerimise süsteemi rike mõjutab tellimuste ajakava, materjalide kättesaadavust ja tarnetähtaegu. Sellisel juhul ei seisne probleem ainult tehniliste turvameetmete tasemes, vaid ka vastutuse määramata jätmises ning IT-süsteemi ja teenuse osutamise vaheliste sõltuvuste analüüsimata jätmises.
Pärast tegevusmudeli kirjeldamist tuleb teha õiguslik hinnang, lähtudes avaldamise ajal kehtivatest valdkonna-, üksuse- ja suuruskriteeriumidest. Ametliku seisukoha peab heaks kiitma organisatsiooni esindusõigusega juhtorgan või isik, kaasates õigusfunktsiooni ning teenuste ja protsesside omanikud. IT annab süsteemide kohta lähteandmed, kuid ei peaks kohaldumist üksi otsustama. Teemat käsitleb põhjalikumalt materjal „NIS2 direktiiv – kellele see kohaldub ja millised ettevõtted peavad uusi nõudeid täitma?”.
Rakendamise kogukulu ei piirdu konsultandi arvega
Oma jõududega rakendamine ei ole tasuta ning konsultatsioonifirma tasu ei moodusta kogu välise toe maksumust. Arvestus peab hõlmama juhtkonna, protsessiomanike, IT, ostu-, personali- ja õigusfunktsiooni ning juhtimissüsteemi eest vastutava isiku tööd. Nende inimeste aeg tuleb hinnata sisemiste kulumäärade ja tegelike töötundide alusel, arvestades ka tegevusülesandeid, mis jäävad projekti ajal tegemata. Töömaht sõltub eelkõige käsitlusalasse kuuluvate tegevuskohtade, protsesside, süsteemide, tarnijate ja äriühingute arvust.
Kõige sagedamini alahinnatakse andmete kogumist, vastutuse kooskõlastamist, varade ja tarnijate inventeerimist, tõendusmaterjali ettevalmistamist, testide ja koolituste läbiviimist ning vastuoluliste kordade parandamist. Konsultatsioonifirma saab neid töid kiirendada ainult siis, kui suudab nõuded siduda organisatsiooni olemasolevate protsesside, rollide ja töövahenditega. Tüüppoliitikate üleandmine ilma tegevust tundma õppimata ei kõrvalda kulusid, vaid lükkab need kooskõlastamise, rakendamise ja hilisema ajakohastamise etappi.
| Kulukategooria | Oma jõududega mudel | Välise toe mudel | Kombineeritud mudel |
|---|---|---|---|
| Sisemine tööpanus | Kõige suurem; hõlmab analüüsi, dokumentatsiooni ja koordineerimist | Endiselt oluline; andmed ja otsused peavad tulema organisatsioonist | Keskendub protsessiteadmistele, otsustele ja tulemuste vastuvõtmisele |
| Nõustamine | Puudub või kasutatakse üksikutes küsimustes | Kõige suurem välise toe kulu | Piirdub eriteadmisi nõudvate valdkondadega |
| Tehnoloogia | Sõltub tuvastatud puudujääkidest; rakendusmudeli valik neid investeeringuid iseenesest ei kõrvalda | ||
| Parandused ja ümbertöö | Puuduste märkamata jäämise ja analüüside kordamise risk | Sobimatute tüüplahenduste ja liigsete meetmete risk | Üldjuhul lihtsam jooksva kontrolli abil piirata |
| Haldamine | Kogu vastutus jääb organisatsioonile | Oht sõltuda teenuseosutajast | Teadmised jäävad organisatsiooni ja välist tuge saab kasutada perioodiliselt |
Intsidentide käsitlemise dokumendid saab koostada kiiresti, kuid need jäävad formaalseks, kui ei ole kokku lepitud valvekorraldust, eskalatsiooniteed, tõendite säilitamise viisi ja asendusi. Tegelik kulu ilmneb testi või sündmuse ajal, kui kord tuleb ümber teha. Eelarves tuleb seetõttu eristada ühekordseid ja püsikulusid ning arvestada konsultandi tasu, tehniliste investeeringute, projekti tõttu tekkiva tööseisaku, paranduste ja iga-aastase haldamisega: ülevaatused, testid, koolitused, dokumentide ajakohastamine, tarnijate hindamine ja intsidentide käsitlemine.
Toimiv infoturbe juhtimissüsteem või sertifikaat võib vähendada inventeerimise, riskihindamise, dokumendiohje ja auditite töömahtu, kui need lahendused käsitletavas valdkonnas tegelikult toimivad. See ei asenda siiski asjakohastest õigusaktidest tulenevate konkreetsete kohustuste hindamist ega kontrolli, kas olemasolevad meetmed vastavad hõlmatud teenustele. Seost selgitab materjal NIS2 ja EVS EN ISO 27001: mida sertifikaat annab ning mis on KSC nõuete täitmisest veel puudu.
Ajagraafiku määrab organisatsiooni otsustusvõime
NIS2 nõueteks valmistumise kestust määrab harva protseduuride koostamise kiirus. Peamised piirangud on usaldusväärsete andmete, protsessiomanike ja muudatuste kinnitamiseks volitatud isikute kättesaadavus. Ajakava peab arvestama nende tegelikku töökoormust, juhtrühma koosolekute sagedust ja osakondadevaheliste otsuste tegemiseks vajalikku aega. Dokumentide üleandmise lubatud kuupäev ei näita tegelikku edenemist, kui organisatsioon ei ole kinnitanud käsitlusala, vastutust ega prioriteete.
Tööd tuleb järjestada sõltuvuste alusel. Kõigepealt tuleb määrata käsitlusala, rollid, protsessid ja varad, seejärel teha riskianalüüs, kinnitada riskide käsitlemise plaan, rakendada meetmed, teha testid ning koguda toimivust tõendavad andmed. Paralleelselt saab teha töid, mis põhinevad samadel kinnitatud eeldustel, näiteks inventeerida lepinguid ja vaadata üle olemasolevaid turvameetmeid. Põhjalikku riskianalüüsi ei tohiks siiski alustada enne, kui on kindlaks määratud hindamisega hõlmatud teenused, protsessid, süsteemid, teave ja tarnijasõltuvused.
Tegevuste järjekorra määramisel tuleb eristada puudujääke, mille kõrvaldamine eeldab hankeid, lepingumuudatusi, tehnilisi integratsioone või teste. Igal rühmal on erinev kinnitamisprotsess ja teostusaeg. Väline tugi võib kiirendada olukorra hindamist, muuta töötoad tõhusamaks ja korrastada nende tulemused, kuid konsultant ei otsusta juhtkonna eest riskide aktsepteerimist, investeeringute järjekorda ega teenusekatkestuse talutavat kestust. Kui need otsused lükatakse projekti lõppu, liigub dokumentatsioon operatiivsetest lahendustest ette ja osa analüüse tuleb korrata.
Seetõttu tuleb edenemist mõõta kinnitatud otsuste, kõrvaldatud sõltuvusprobleemide ja kontrollitud meetmete arvu, mitte koostatud dokumentide hulga järgi. Isegi mõnenädalane ajakava ei ole teostatav, kui organisatsioonil puudub ajakohane süsteemide loetelu, tarnijalepingute register või kokkulepitud protsessiomanikud. Sellisel juhul saab meeskond kirjeldada deklareeritud olukorda, kuid mitte määrata vastutust tegevuse järjepidevuse, teenuse taastamise ega tarnijate järelevalve eest.
Protsesside kaardistamine peab toetama just selliseid otsuseid, mitte suurendama dokumentatsiooni mahtu. Sobiva detailsusastme valikut aitab hinnata võrdlus „BPMN või vooskeem – kumb sobib paremini kvaliteediprotsesside kaardistamiseks?”. Selles kasutuses on sobiv töövahend see, mis näitab üheselt rolle, vastutuse üleandmise kohti, infosõltuvusi ning kaitse- või asendusmeetmeid vajavaid valdkondi.
Peamised riskid tulenevad valedest eeldustest
NIS2 nõueteks valmistumise edu sõltub sagedamini eelduste õigsusest kui tehtud ülesannete arvust. Oma jõududega mudelis on suurimad riskid käsitlusala vale tõlgendamine, äriliste sõltuvuste tähelepanuta jätmine ja küberturvalisuse käsitlemine üksnes IT-osakonna vastutusena. Nii võivad analüüsist välja jääda tootmisprotsessid, logistika, hooldus, tarnekindlus või kohustused klientide ees. Puudub ka sõltumatu vaade praktikatele, mida peetakse organisatsioonis piisavaks ainult seetõttu, et need ei ole seni nähtavat häiret põhjustanud.
Väline tugi ei kõrvalda neid ohte automaatselt. Riski suurendab teenuseosutaja, kes annab üle ühetaolise dokumendipaketi ilma organisatsiooni teenuseid, protsesse ja sõltuvusi analüüsimata, ei kaasa protsessiomanikke või ei anna edasi loodud lahenduste haldamiseks vajalikke teadmisi. Tulemuseks on süsteem, mis sõltub dokumentide autorist, mitte igapäevase tegevuse eest vastutavatest inimestest.
Seetõttu tasub tööde teostamine ja sõltumatu lõpphindamine teineteisest eraldada, eriti kui sama teenuseosutaja määras käsitlusala, hindas riske ja valis meetmed. Jääkriski aktsepteerimise otsus peab jääma pädevale juhtkonnale.
Näiline vastavus ilmneb dokumentide ja praktika lahknevusena: poliitika kirjeldab teistsugust tegevust kui tegelik protsess, riskiregister ei mõjuta prioriteete ega investeeringuid ning intsidendikäsitluse korda ei ole harjutatud. Dokumentatsiooni puudujääk tähendab vajaliku kirje või dokumendi puudumist või vastuolulisust. Operatiivne puudujääk esineb siis, kui organisatsioon ei suuda tegevust teha, vastutust määrata või selle tulemuslikkuse kohta tõendeid esitada. Vormipõhja täitmine võib kõrvaldada esimese puudujäägi, kuid ei asenda testi, juhtimisotsust ega töökorralduse muutmist.
Näiteks võib ettevõttel olla kinnitatud intsidentidest teatamise kord, kuid tootmistöötajad ei tea, kuidas teatada juhtimis- või planeerimissüsteemi kättesaamatusest. Samal ajal ei ole teenuseosutajaga kokku lepitud eskalatsiooniteed, kontaktisikuid ega töövälisel ajal tegutsemise põhimõtteid. Dokument on olemas, kuid häire esimesed minutid kuluvad vastutaja väljaselgitamisele. Sellise puudujäägi avastab alles õppus, millesse on kaasatud kasutaja, protsessiomanik, IT, juhtkond ja teenuseosutaja.
Valmisoleku audit peab kontrollima organisatsiooni tegutsemisvõimet ja usaldusväärsete tõendite olemasolu, mitte üksnes dokumentide täielikkust. Kasulikud mõõdikud on varasemate auditite ja testide järel lõpetamata tegevuste arv, taastetestide tulemused, intsidentide ja häirete ülevaatustest tehtud järeldused ning hinnatud ja kokkulepitud nõuetega hõlmatud võtmetarnijate osakaal — alati organisatsiooni enda andmete alusel. Sellise kontrolli läbiviimist käsitleb põhjalikumalt materjal „NIS2 audit tootmisettevõttes – kuidas hinnata organisatsiooni valmisolekut uuteks kohustusteks”.
Kombineeritud mudel annab tavaliselt parima kontrolli
Rakendusmudel tuleb valida organisatsiooni tegeliku teostusvõime, mitte üksnes nõustamistasude võrdluse põhjal. Oma jõududega rakendamine on mõistlik, kui projektil on pädev omanik, riskijuhtimise protsessid on küpsed, varade ja sõltuvuste inventuurid ajakohased ning võtmetöötajatel on piisavalt aega ja oskus nõudeid tõlgendada. Ulatuslikum väline tugi on põhjendatud suure kompetentsilünga, hajutatud struktuuri, oluliste tehnoloogiliste sõltuvuste, lühikese ettevalmistusaja või korrastatud juhtimissüsteemi puudumise korral.
Kõige sagedamini annab kulude, aja ja riskide üle parima kontrolli kombineeritud mudel. Organisatsioon säilitab vastutuse otsuste, lähteandmete, riskide omanikurolli ja operatiivsete tegevuste elluviimise eest. Konsultant vastutab olukorra hindamise, metoodika, töötubade juhtimise, eriteadmisi nõudvate analüüside ja tulemuste kvaliteedikontrolli eest.
Organisatsiooni enda vastutusse peavad jääma vähemalt:
- protsesside ja teenuste olulisuse määramine;
- riskiomanike nimetamine;
- jääkriski aktsepteerimine;
- investeerimisprioriteetide kehtestamine;
- kinnitus, et meetmed toimivad praktikas.
Juhtkond ei saa anda vastutust organisatsiooni vastupanuvõime eest teenuseosutajale üle.
Mitme tootmiskohaga ettevõte saab ise koguda andmed teenuste, varade, tarnijate ja häirete mõju kohta, sest nende usaldusväärseks hindamiseks on vaja operatiivseid teadmisi. Väline spetsialist saab seejärel korrastada hindamismetoodika, juhtida tähelepanu vastuoludele, korraldada osakondadevahelisi töötubasid ja kontrollida tõendusmaterjali täielikkust. Sellise tööjaotuse tasuvuse määravad inimeste arv ja pädevus, keda saab tegelikult projekti kaasata, mitte projektimeeskonna formaalne koosseis.
Pakkumisi tuleb võrrelda samade tulemite ja vastuvõtukriteeriumide alusel. Teenuseosutaja referentse tuleb hinnata sektori, organisatsiooni suuruse, protsesside ja tehnoloogilise keskkonna sarnasuse, mitte üksnes projektide arvu järgi. Lepingus tuleb üheselt määratleda töö tulemused, vastuvõtukriteeriumid, kohustus siduda lahendused tegelike protsessidega, teadmussiire, konfidentsiaalsuse ja tundlikele andmetele juurdepääsu põhimõtted, vastutus paranduste eest ning rakendusjärgse toe ulatus. Tasumudel ei tohiks premeerida dokumentide arvu, vaid kokkulepitud ja kontrollitavate tulemuste saavutamist.
Juhtkonna, protsessiomanike ja tugifunktsioonide vastutuse praktilisi piire käsitleb materjal NIS2 juhtimispraktikas: kuidas muuta nõuded otsusteks, vastutuseks ja organisatsiooni tegelikuks vastupanuvõimeks.
Otsus peab põhinema tõenditel ja süsteemi haldamise võimekusel
Enne rakendusmudeli valimist tuleb teha lühike organisatsiooniline eelhindamine. Kinnitada tuleb projekti käsitlusala, nimetada projekti omanik, hinnata pädevuste kättesaadavust, inventeerida olemasolevad toimivust tõendavad andmed ja määrata olulisemad puudujäägid. Alles seejärel saab otsustada, millised tööd teeb organisatsioon ise ja millistes valdkondades vähendab spetsialisti kaasamine vale tõlgendamise, tähelepanuta jätmise või ümbertöö riski.
Juhtkonna otsuses tuleb võrrelda kolme varianti: rakendamist oma jõududega, kombineeritud mudelit ja ulatuslikumat välist tuge. Kõigi variantide suhtes tuleb kasutada samu kriteeriume:
- kogukulu, sealhulgas töötajate tööpanus, parandused ja haldamine;
- operatiivse võimekuse saavutamiseks vajalik aeg;
- vigade ja tööde kordamise risk;
- pädevuste tegelik kättesaadavus;
- organisatsiooni võime lahendusi iseseisvalt hallata ja ajakohastada.
Juhtkonna otsus peab määrama valitud mudeli, vastutuse jaotuse, projekti omaniku, ressursid, aruandluskorra, vastuvõtukriteeriumid ning organisatsiooni protsessidest tulenevad tulemuslikkuse mõõdikud, mitte kontekstita universaalsed piirmäärad.
Rakendust ei tohiks vastu võtta koostatud poliitikate arvu alusel. Tulemuseks peab olema korratav ja toimiv töökorraldus: määratud rollid, dokumenteeritud riskiotsused, rakendatud meetmed, testitud reageerimine häiretele ja intsidentidele, tarnijate järelevalve ning usaldusväärsed tõendid. Kinnitatud reageerimiskord ei tõenda valmisolekut, kui test näitab aegunud kontakte, ebaselget eskalatsiooniteed või otsustusõigusega isiku puudumist.
Vastuvõtukriteeriumid peaksid hõlmama dokumentide vastavust tegelikule praktikale, kokkulepitud puudujääkide kõrvaldamist, testitulemusi, teadmussiiret ja selget edasise parendamise plaani, sealhulgas siseauditite kava. Vastuvõtutõenditeks võivad olla kinnitused, registrid, testitulemused, koolitusprotokollid, riskiotsused ja tegevuste lõpetamise tõendid. Selliste tõendite ettevalmistamist ja haldamist käsitleb materjal NIS2 ja KSC dokumentatsioon enne kontrolli: milliseid poliitikaid, registreid ja tõendeid on tegelikult vaja.
Lahenduse kestlikkust saab hinnata alles pärast konsultandi osaluse vähendamist. Protsessiomanikud peavad siis suutma registreid iseseisvalt ajakohastada, riskiotsuseid teha, testitulemusi analüüsida ja parandusmeetmeid algatada. Kui süsteem toimib ainult teenuseosutaja teadmiste toel, ei ole projekt lõppenud: organisatsioon on saanud dokumendid, kuid ei ole loonud võimekust neid toimivana hoida.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
