NIS2 saját erőből vagy bevezetési tanácsadóval? Költség-, idő- és kockázat-összehasonlítás

A „NIS2 saját erőből vagy bevezetési tanácsadóval” kérdés nem dönthető el pusztán a tanácsadói díj és a belső csapat munkaköltségének összevetésével. A projekt eredményét a kötelezettségek terjedelme, a döntéshozók rendelkezésre állása, a folyamatokra és erőforrásokra vonatkozó adatok minősége, valamint a kialakított megoldások hosszú távú működtethetősége határozza meg. A látszólag legolcsóbb változat bizonyulhat a legdrágábbnak, ha téves besoroláshoz, az elemzések megismétléséhez vagy a szervezet tényleges működésétől elszakadó dokumentációhoz vezet. Ezért először a hatókört és a hiányosságokat kell azonosítani, majd három megvalósítási modell teljes költségét, időigényét és kockázatát érdemes összehasonlítani. A közreműködő és a munkamódszer csak ezt követően választható ki megalapozottan.

A kötelezettségek tisztázása előtt ne válasszon közreműködőt

A saját erőből történő megvalósítás és a külső támogatás érdemi összevetésének előfeltétele annak tisztázása, hogy a szervezet a NIS2 és az azt átültető, rá irányadó nemzeti szabályozás hatálya alá tartozik-e. Ha igen, meg kell határozni, mely szolgáltatásokra, szervezeti egységekre, telephelyekre és erőforrásokra terjedjen ki az értékelés. E besorolás nélkül sem a munkaterjedelem, sem a határidő, sem a költség nem becsülhető megbízhatóan. A felső vezetésnek olyan projektgazdát is ki kell jelölnie, aki jogosult az operatív működés, a jogi szakterület és az informatika közötti döntések összehangolására.

A kiindulópont nem dokumentációs csomag vagy informatikai eszköz beszerzése, hanem a működési modell feltérképezése. Azonosítani kell a nyújtott szolgáltatásokat, az azokat támogató folyamatokat, rendszereket és adatokat, továbbá a beszállítókat és az üzletmenet-folytonosságot meghatározó függőségeket. Csak ez a térkép teszi lehetővé annak eldöntését, hogy a teljes vállalatot, vagy csupán meghatározott szolgáltatásokat és telephelyeket kell-e bevonni. Az első szakasz eredménye a szervezet dokumentált besorolása, a hatókör egyértelmű lehatárolása, valamint az értékelendő és helyesbítő intézkedést igénylő területek jegyzéke legyen.

A jogszabályi hatály alá tartozást el kell választani az ellenálló képesség növelésére irányuló üzleti igénytől. Egy szervezet akkor is szembesülhet ügyfelei, vállalatcsoportja, biztosítója vagy az ellátási lánc más szereplői által támasztott elvárásokkal, ha nem tartozik közvetlenül a törvényi kötelezettségek hatálya alá. Az ilyen projektet nem jogszabályi kötelezettség teljesítéseként, hanem konkrét szerződéses követelményekre és működési kockázatokra adott válaszként indokolt kezelni.

Jellemző példa az a termelővállalat, amely rendelkezik tűzfalakkal, biztonsági mentésekkel és végpontvédelemmel, de nem tudja megnevezni az incidenskezelési folyamat gazdáját. Azt sem elemezte, hogyan hatna a termeléstervező rendszer kiesése a megrendelések ütemezésére, az anyagellátásra és a szállítási határidők teljesítésére. Ilyenkor nem kizárólag a technikai védelem szintje jelent problémát, hanem a felelősségi körök és az informatikai rendszer, illetve a szolgáltatás teljesítése közötti függőségek elemzésének hiánya is.

A működés feltérképezése után az értékelést a közzététel időpontjában hatályos ágazati, szervezeti és méretkritériumok alapján, megfelelő jogi szakértelem bevonásával kell elvégezni. A hivatalos álláspontot a szervezet képviseletére jogosult testületnek vagy személynek kell jóváhagynia, a jogi terület, valamint a szolgáltatás- és folyamattulajdonosok részvételével. Az informatika biztosítja a rendszerekkel kapcsolatos adatokat, de a besorolásról nem célszerű önállóan döntenie. A kérdést részletesebben tárgyalja a „NIS2 irányelv – kikre vonatkozik, és mely vállalatoknak kell teljesíteniük az új követelményeket?” című anyag.

A bevezetés költsége nem ér véget a számlával

A saját erőből történő megvalósítás sem ingyenes, ahogyan a bevezetési tanácsadó díja sem jelenti a külső támogatás teljes költségét. A kalkulációnak ki kell terjednie a felső vezetés, a folyamattulajdonosok, az informatikai, beszerzési, HR- és jogi terület, valamint az irányítási rendszerért felelős személy munkájára. Ráfordításukat belső költségráták és tényleges munkaórák alapján érdemes értékelni, figyelembe véve azokat az operatív feladatokat is, amelyek a projekt ideje alatt háttérbe szorulnak. A munkaterhelést elsősorban a hatókörbe vont telephelyek, folyamatok, rendszerek, beszállítók és vállalatok száma határozza meg.

Leggyakrabban az adatgyűjtést, a felelősségek egyeztetését, az eszközök és beszállítók leltározását, a működési bizonyítékok előállítását, a teszteket, a képzéseket és az egymásnak ellentmondó szabályozások javítását becsülik alul. A külső közreműködő csak akkor rövidíti le ezeket a munkákat, ha a követelményeket képes a meglévő folyamatokra, szerepkörökre és eszközökre lefordítani. A mintaszabályzatok átadása a működés megismerése nélkül nem szünteti meg a költséget, csupán az egyeztetés, a bevezetés és a későbbi aktualizálás szakaszára tolja át.

Az incidenskezelési dokumentáció gyorsan elkészíthető, de csak látszólagos megoldást jelent, ha nem egyeztették az ügyeleti rendet, az eszkalációs útvonalat, a bizonyítékok megőrzésének módját és a helyettesítéseket. A tényleges költség egy teszt vagy valós esemény során válik láthatóvá, amikor az eljárást újra kell tervezni. A költségvetésben ezért el kell különíteni az egyszeri és a folyamatos ráfordításokat. A tanácsadói díjon és a technológiai beruházásokon túl számolni kell a projekt miatti kapacitáskieséssel, a javításokkal, valamint az éves fenntartás költségeivel: felülvizsgálatokkal, tesztekkel, képzésekkel, dokumentumfrissítéssel, beszállítóértékeléssel és incidenskezeléssel.

Egy működő információbiztonsági irányítási rendszer vagy tanúsítvány csökkentheti a leltározás, a kockázatértékelés, a dokumentumkezelés és az auditok ráfordítását, amennyiben az alkalmazott megoldások az értékelt területen ténylegesen működnek. Nem helyettesíti azonban az alkalmazandó jogszabályokból eredő konkrét kötelezettségek értékelését, illetve annak vizsgálatát, hogy a meglévő kontrollok megfelelnek-e az érintett szolgáltatásoknak. Az összefüggést a NIS2 és MSZ EN ISO 27001: mit ad a tanúsítvány, és mi hiányzik még a KSC szerinti megfeleléshez? című anyag mutatja be.

Az időigényt elsősorban a döntési képesség határozza meg

A NIS2-követelményekre való felkészülés időtartamát ritkán az eljárások megírásának sebessége határozza meg. A fő korlátot a megbízható adatok, a folyamattulajdonosok és a változások jóváhagyására jogosult döntéshozók rendelkezésre állása jelenti. Az ütemtervnek tükröznie kell e személyek tényleges kapacitását, az irányító bizottság üléseinek gyakoriságát és a szervezeti egységek közötti döntésekhez szükséges időt. A dokumentáció átadásának vállalt határideje önmagában nem mutat előrehaladást, ha a szervezet még nem hagyta jóvá a hatókört, a felelősségeket és a prioritásokat.

A munkát a függőségek sorrendjében kell felépíteni. Először a hatókört, a szerepköröket, a folyamatokat és az eszközöket kell meghatározni. Ezt követheti a kockázatelemzés, a kockázatkezelési terv jóváhagyása, a kontrollok bevezetése, a tesztelés és a működési bizonyítékok összegyűjtése. Párhuzamosan azok a feladatok végezhetők, amelyek azonos, már jóváhagyott feltételezésekre épülnek, például a szerződésállomány leltározása és a meglévő kontrollok felülvizsgálata. Részletes kockázatelemzést viszont nem célszerű addig kezdeni, amíg nem azonosították az értékelésbe bevont szolgáltatásokat, folyamatokat, rendszereket, információkat és beszállítói függőségeket.

Az intézkedések sorrendjének meghatározásakor külön kell kezelni a beszerzést, a szerződésmódosítást, a technikai integrációt vagy a tesztelést igénylő hiányosságokat. Mindegyik csoporthoz eltérő jóváhagyási folyamat és átfutási idő tartozik. A külső támogatás felgyorsíthatja a helyzetfelmérést, hatékonyabbá teheti a workshopokat és rendszerezheti az eredményeket, de a tanácsadó nem dönthet a vezetés helyett a kockázat elfogadásáról, a beruházások sorrendjéről vagy a szolgáltatások tolerálható kiesési idejéről. Ha ezeket a döntéseket a projekt végéig halogatják, a dokumentáció megelőzi az operatív megoldásokat, és az elemzések egy részét meg kell ismételni.

Az előrehaladást ezért nem az elkészített dokumentumok számával, hanem a jóváhagyott döntésekkel, a lezárt függőségekkel és az igazoltan működő kontrollokkal érdemes mérni. Még egy néhány hetes ütemterv is végrehajthatatlan lehet, ha nincs naprakész rendszerlista, beszállítói szerződésjegyzék vagy kijelölt folyamattulajdonosi kör. Ilyenkor a csapat legfeljebb a deklarált állapotot tudja leírni, de nem képes egyértelmű felelősséget rendelni az üzletmenet-folytonossághoz, a szolgáltatás helyreállításához és a beszállítói felügyelethez.

A folyamatmodellezésnek ezeket a döntéseket kell támogatnia, nem pedig a dokumentáció mennyiségét növelnie. A megfelelő részletezettség kiválasztását segíti a „BPMN vagy folyamatábra – melyik eszköz alkalmasabb a minőségirányítási folyamatok feltérképezésére?” című összehasonlítás. Ebben az alkalmazásban az az eszköz megfelelő, amely egyértelműen ábrázolja a szerepköröket, a felelősség átadásának pontjait, az információs függőségeket, valamint a védelmi vagy helyettesítési megoldást igénylő területeket.

A legnagyobb kockázatot rendszerint a hibás feltételezések jelentik

A NIS2-követelményekre történő felkészülés sikerét gyakran inkább a kiinduló feltételezések helyessége, mint az elvégzett feladatok száma határozza meg. Saját megvalósítás esetén a legnagyobb kockázat a hatókör téves értelmezése, az üzleti függőségek figyelmen kívül hagyása, valamint a kiberbiztonság kizárólag informatikai felelősségként történő kezelése. Így kimaradhatnak a termelési folyamatok, a logisztika, a karbantartás, az ellátás folytonossága vagy a vevőkkel szembeni kötelezettségek. Hiányzik továbbá a belsőleg megfelelőnek tekintett gyakorlatok független értékelése, amelyeket esetleg csak azért fogadnak el, mert eddig nem okoztak látható működési zavart.

A külső támogatás önmagában nem szünteti meg ezeket a veszélyeket. Tovább növelheti a kockázatot az a közreműködő, aki egységes dokumentumcsomagot ad át a szervezet szolgáltatásainak, folyamatainak és függőségeinek megismerése nélkül, nem vonja be a folyamattulajdonosokat, vagy nem adja át a megoldások fenntartásához szükséges tudást. Ilyenkor a rendszer nem a napi működésért felelős személyektől, hanem a dokumentáció szerzőjétől válik függővé.

Ezért indokolt lehet a megvalósítást és a végső, független értékelést elkülöníteni, különösen akkor, ha ugyanaz a fél alakította ki a hatókört, értékelte a kockázatokat és választotta ki a kontrollokat. A fennmaradó kockázat elfogadásáról minden esetben az illetékes vezetésnek kell döntenie.

A látszólagos megfelelés az előírások és a tényleges gyakorlat eltérésében mutatkozik meg: a szabályzat más működést ír le, mint ami a valóságban történik; a kockázati nyilvántartás nem befolyásolja a prioritásokat és a beruházásokat; az incidenskezelési eljárást pedig nem gyakorolták. Dokumentációs hiányosságról akkor beszélünk, ha egy szükséges feljegyzés hiányzik vagy ellentmondásos. Működési hiányosság áll fenn, ha a szervezet nem képes végrehajtani egy tevékenységet, felelőst rendelni hozzá, vagy igazolni annak eredményességét. Egy űrlap kitöltése megszüntetheti az első hiányosságot, de nem helyettesíti a tesztet, a döntést vagy a működés megváltoztatását.

Példa erre az az üzem, amely jóváhagyott incidensbejelentési eljárással rendelkezik, de a termelésben dolgozók nem tudják, hogyan jelentsék az irányítási vagy tervezési rendszer elérhetetlenségét. Eközben a szolgáltatóval sem egyeztették az eszkalációs útvonalat, a kapcsolattartókat és a munkaidőn kívüli működés szabályait. A dokumentum létezik, de üzemzavar esetén az első percek a felelősség tisztázásával telnek el. Ezt a hiányosságot csak olyan gyakorlat tárja fel, amelybe a felhasználót, a folyamattulajdonost, az informatikát, a vezetést és a szolgáltatót egyaránt bevonják.

A felkészültségi auditnak nem csupán a dokumentáció teljességét, hanem a cselekvőképességet és a hiteles bizonyítékok bemutathatóságát kell vizsgálnia. Hasznos mutató lehet a korábbi auditok és tesztek után nyitva maradt intézkedések száma, a helyreállítási próbák eredménye, az incidensek és üzemzavarok felülvizsgálatából származó következtetések, valamint az értékelt és egyeztetett követelményekkel lefedett kritikus beszállítók aránya — minden esetben a szervezet saját adatai alapján. Az ellenőrzés módszerét a „NIS2-audit termelővállalatnál – hogyan ellenőrizhető, hogy a szervezet felkészült-e az új kötelezettségekre?” című anyag részletezi.

Általában a vegyes modell biztosítja a legjobb kontrollt

A megvalósítási modell kiválasztásának a szervezet tényleges végrehajtási képességén kell alapulnia, nem kizárólag a tanácsadói díjak összehasonlításán. A saját erőből történő megvalósítás akkor észszerű, ha a projektnek felkészült gazdája van, a kockázatkezelési folyamatok érettek, az eszköz- és függőségi leltárak naprakészek, a kulcsmunkatársak pedig rendelkeznek elegendő idővel és képesek értelmezni a követelményeket. Szélesebb körű külső támogatás indokolt lehet jelentős kompetenciahiány, földrajzilag vagy szervezetileg széttagolt működés, lényeges technológiai függőségek, rövid felkészülési idő vagy rendezetlen irányítási rendszer esetén.

A költség, az idő és a kockázat felett rendszerint a vegyes modell biztosítja a legjobb kontrollt. A szervezet megtartja a felelősséget a döntésekért, a forrásadatokért, a kockázatok tulajdonlásáért és az operatív intézkedések végrehajtásáért. A tanácsadó a helyzetfelmérésért, a módszertanért, a workshopok vezetéséért, a speciális szakértelmet igénylő elemzésekért és az eredmények minőségellenőrzéséért felel.

Legalább a következő feladatoknak a szervezetnél kell maradniuk:

• a folyamatok és szolgáltatások jelentőségének meghatározása;
• a kockázattulajdonosok kijelölése;
• a fennmaradó kockázatok elfogadása;
• a beruházási prioritások meghatározása;
• annak igazolása, hogy a kontrollok a gyakorlatban is működnek.

A vezetés nem ruházhatja át a szervezet ellenálló képességéért viselt felelősségét a közreműködőre.

Egy több telephellyel rendelkező vállalat saját maga gyűjtheti össze a szolgáltatásokra, erőforrásokra, beszállítókra és a kiesések következményeire vonatkozó információkat, mert ezek hiteles értékeléséhez operatív tudás szükséges. A külső szakértő ezt követően rendszerezheti az értékelési módszert, feltárhatja az ellentmondásokat, szervezeti egységeken átívelő workshopokat vezethet, és ellenőrizheti a bizonyítékok teljességét. A munkamegosztás megtérülését nem a projektcsapat névleges létszáma, hanem a ténylegesen rendelkezésre bocsátható személyek száma és kompetenciája határozza meg.

Az ajánlatokat azonos eredménytermékek és átvételi kritériumok alapján kell összehasonlítani. A közreműködő referenciáit nem csupán a projektek száma, hanem az ágazat, a szervezeti méret, a folyamatok és a technológiai környezet hasonlósága alapján célszerű értékelni. A szerződésben egyértelműen meg kell határozni az eredménytermékeket, az átvételi feltételeket, a megoldások valós folyamatokhoz illesztésének kötelezettségét, a tudásátadás módját, a titoktartás és az érzékeny adatokhoz való hozzáférés szabályait, a javítások felelősségét, valamint a bevezetés utáni támogatás terjedelmét. A díjazási modellnek nem a dokumentumok számát, hanem az egyeztetett és ellenőrizhető eredmények elérését kell ösztönöznie.

A vezetés, a folyamattulajdonosok és a támogató funkciók felelősségi határait részletesebben mutatja be a NIS2 a vezetői gyakorlatban: hogyan alakíthatók a követelmények döntésekké, felelősségekké és tényleges szervezeti ellenálló képességgé? című anyag.

A döntést bizonyítékokra és a rendszer fenntarthatóságára alapozza

A megvalósítási modell kiválasztását rövid szervezeti helyzetfelmérésnek kell megelőznie. Meg kell erősíteni a projekt hatókörét, ki kell jelölni a projektgazdát, fel kell mérni a kompetenciák rendelkezésre állását, leltárba kell venni a működés meglévő bizonyítékait, és meg kell becsülni a legfontosabb hiányosságokat. Csak ezután dönthető el, mely feladatokat képes a szervezet saját maga elvégezni, és hol csökkentheti szakértő bevonása a téves értelmezés, a kihagyások vagy az ismételt munkavégzés kockázatát.

A vezetői döntésben három változatot indokolt összehasonlítani: a saját erőből történő megvalósítást, a vegyes modellt és a szélesebb körű külső támogatást. Mindhárom esetében ugyanazokat a szempontokat kell alkalmazni:

• teljes költség, beleértve a munkatársak ráfordítását, a javításokat és a fenntartást;
• az operatív működőképesség eléréséhez szükséges idő;
• a hibák és az ismételt munkavégzés kockázata;
• a szükséges kompetenciák tényleges rendelkezésre állása;
• a megoldások önálló fenntartására való szervezeti képesség.

A vezetői határozatnak vagy döntésnek rögzítenie kell a kiválasztott modellt, a felelősségi köröket, a projektgazdát, az erőforrásokat, a beszámolás rendjét, az átvételi feltételeket és az eredményességi mutatókat. Ezeket a szervezet folyamataiból kell levezetni, nem pedig összefüggéseikből kiragadott, általános küszöbértékekből.

A bevezetés átvétele nem alapulhat az elkészített szabályzatok számán. Az eredménynek ismételhető működésben kell megjelennie: kijelölt szerepkörökben, dokumentált kockázati döntésekben, alkalmazott kontrollokban, tesztelt üzemzavar- és incidenskezelésben, beszállítói felügyeletben és hiteles feljegyzésekben. Egy jóváhagyott incidenskezelési eljárás nem igazolja a felkészültséget, ha a teszt elavult elérhetőségeket, nem egyértelmű eszkalációs utat vagy döntésre jogosult személy hiányát tárja fel.

Az átvételi kritériumoknak ki kell terjedniük a dokumentumok és a tényleges gyakorlat összhangjára, az egyeztetett hiányosságok lezárására, a teszteredményekre, a tudásátadásra és a további fejlesztés egyértelmű tervére, beleértve a belső auditprogramot is. Átvételi bizonyíték lehet többek között a jóváhagyás, a nyilvántartás, a teszteredmény, a képzési jegyzőkönyv, a kockázati döntés vagy az intézkedés végrehajtásának igazolása. Az ilyen bizonyítékok kialakítását és fenntartását a NIS2- és KSC-dokumentáció ellenőrzés előtt: mely szabályzatokra, nyilvántartásokra és bizonyítékokra van ténylegesen szükség? című anyag részletezi.

A megoldás tartóssága csak a tanácsadói részvétel csökkentése után értékelhető. A folyamattulajdonosoknak ekkor már önállóan kell frissíteniük a nyilvántartásokat, kockázati döntéseket hozniuk, értékelniük a teszteredményeket és helyesbítő intézkedéseket kezdeményezniük. Ha a rendszer kizárólag a közreműködő tudásának köszönhetően működik, a projekt nem tekinthető lezártnak: a szervezet dokumentációt kapott, de nem építette ki annak fenntartási képességét.