NIS2 diegti savarankiškai ar su konsultantais? Sąnaudų, trukmės ir rizikos palyginimas

Sprendimas, ar NIS2 reikalavimus įgyvendinti savarankiškai, ar pasitelkti diegimo konsultantus, neturėtų apsiriboti konsultavimo kainos ir vidinės komandos darbo sąnaudų palyginimu. Projekto rezultatą lemia taikomų pareigų apimtis, sprendimus priimančių asmenų prieinamumas, procesų bei išteklių duomenų kokybė ir organizacijos gebėjimas vėliau palaikyti įdiegtas priemones. Iš pirmo žvilgsnio pigiausias variantas gali tapti brangiausiu, jei neteisingai nustatomas organizacijai taikomų reikalavimų statusas, analizes tenka kartoti arba parengiami tikrovėje neveikiančią tvarką aprašantys dokumentai. Todėl pirmiausia reikia nustatyti taikymo apimtį ir spragas, tada pagal vienodus kriterijus palyginti visas trijų įgyvendinimo modelių sąnaudas, trukmę bei riziką ir tik tuomet pasirinkti vykdytojus bei darbo organizavimo būdą.

Nesirinkite vykdytojo, kol nenustatėte taikomų pareigų

Savarankiško diegimo ir išorės konsultantų pagalbos palyginimas prasmingas tik nustačius, ar organizacijai taikomos NIS2 ir šią direktyvą įgyvendinančių nacionalinių teisės aktų nuostatos. Jei jos taikomos, būtina apibrėžti, kokias paslaugas, padalinius, vietas ir išteklius turi apimti vertinimas. Be tokio kvalifikavimo neįmanoma patikimai įvertinti darbų apimties, termino ar sąnaudų. Vadovybė taip pat turėtų paskirti projekto savininką, turintį įgaliojimus derinti sprendimus tarp veiklos padalinių, teisės funkcijos ir IT.

Atspirties taškas yra ne dokumentų paketo ar IT priemonės įsigijimas, o veiklos modelio aprašymas. Reikia nustatyti teikiamas paslaugas, jas palaikančius procesus, sistemas ir duomenis, taip pat tiekėjus bei priklausomybes, nuo kurių priklauso veiklos tęstinumas. Tik toks žemėlapis leidžia nuspręsti, ar vertinimas turi apimti visą bendrovę, ar tik konkrečias paslaugas ir veiklos vietas. Pirmojo etapo rezultatai turėtų būti dokumentuotas subjekto statuso įvertinimas, aiškiai apibrėžtos taikymo ribos ir sričių, kurias reikia įvertinti bei tobulinti, sąrašas.

Formalų teisės aktų taikymą reikia atskirti nuo verslo poreikio didinti atsparumą. Organizacijai gali būti netaikomos įstatymuose nustatytos pareigos, tačiau ji vis tiek gali turėti vykdyti klientų, įmonių grupės, draudiko ar tiekimo grandinės partnerių reikalavimus. Tokio projekto nereikėtų pristatyti kaip teisinės pareigos vykdymo. Tai atsakas į konkrečius sutartinius reikalavimus ir veiklos rizikas.

Pavyzdžiui, gamybos įmonė gali turėti užkardas, atsargines kopijas ir galinių įrenginių apsaugą, tačiau negalėti įvardyti reagavimo į incidentus proceso savininko. Ji taip pat gali būti neįvertinusi, kaip gamybos planavimo sistemos sutrikimas paveiktų užsakymų grafiką, medžiagų prieinamumą ir pristatymų terminus. Tokiu atveju problema susijusi ne vien su techninių saugumo priemonių lygiu, bet ir su neapibrėžta atsakomybe bei neįvertintomis IT sistemos ir paslaugos teikimo priklausomybėmis.

Aprašius veiklą, reikia atlikti teisinį vertinimą pagal publikavimo dieną galiojančius sektoriaus, subjekto ir dydžio kriterijus. Formalų vertinimą turėtų patvirtinti organizacijai atstovauti įgaliotas organas arba asmuo, dalyvaujant teisės funkcijai bei paslaugų ir procesų savininkams. IT funkcija teikia duomenis apie sistemas, tačiau neturėtų viena spręsti dėl teisinio kvalifikavimo. Ši tema plačiau aptariama straipsnyje „NIS2 direktyva – kam ji taikoma ir kokios įmonės turi vykdyti naujus reikalavimus?“.

Diegimo sąnaudos neapsiriboja konsultanto sąskaita

Savarankiškas įgyvendinimas nėra nemokamas, kaip ir konsultanto atlygis nėra visa išorės pagalbos kaina. Skaičiuojant sąnaudas reikėtų įtraukti vadovybės, procesų savininkų, IT, pirkimų, personalo, teisės funkcijos ir vadybos sistemos koordinatoriaus darbą. Šių darbuotojų laiką būtina vertinti pagal vidines sąnaudų normas ir faktines darbo valandas, taip pat atsižvelgti į veiklos užduotis, kurių jie negalės vykdyti projekto metu. Darbo apimtį pirmiausia lemia į vertinimo sritį patenkančių vietų, procesų, sistemų, tiekėjų ir bendrovių skaičius.

Dažniausiai nepakankamai įvertinamas duomenų surinkimas, atsakomybės suderinimas, turto ir tiekėjų inventorizavimas, įrodymų parengimas, bandymų ir mokymų organizavimas bei prieštaringų vidaus taisyklių taisymas. Išorės konsultantas šiuos darbus sutrumpins tik tada, jei gebės reikalavimus susieti su esamais procesais, vaidmenimis ir priemonėmis. Pavyzdinių politikų pateikimas neįsigilinus į veiklą sąnaudų nepašalina – jos tik perkeliamos į derinimo, diegimo ir vėlesnio atnaujinimo etapus.

Incidentų valdymo dokumentus galima parengti greitai, tačiau jie bus tik formalūs, jei nesuderinti budėjimai, eskalavimo kelias, įrodymų išsaugojimo būdas ir pavaduojantys asmenys. Tikrosios sąnaudos paaiškės per bandymą arba realų incidentą, kai procedūrą reikės kurti iš naujo. Todėl biudžete reikėtų atskirti vienkartines ir nuolatines išlaidas bei įtraukti konsultavimo atlygį, technines investicijas, projekto prastovas, taisymus ir metines palaikymo sąnaudas: peržiūras, bandymus, mokymus, dokumentų atnaujinimą, tiekėjų vertinimą ir incidentų valdymą.

Veikianti informacijos saugumo valdymo sistema ar sertifikatas gali sumažinti inventorizavimo, rizikos vertinimo, dokumentų kontrolės ir auditų darbų apimtį, jeigu šie sprendimai iš tiesų veikia vertinamoje srityje. Tačiau tai nepakeičia konkrečių pagal taikytinus teisės aktus kylančių pareigų vertinimo ir nepatvirtina, kad esamos saugumo priemonės tinkamos toms paslaugoms, kurioms reikalavimai taikomi. Šis ryšys paaiškintas straipsnyje NIS2 ir LST EN ISO 27001: ką suteikia sertifikatas ir ko dar trūksta atitikčiai KSC.

Trukmę lemia pasirengimas priimti sprendimus

Pasirengimo NIS2 reikalavimams trukmę retai lemia procedūrų rengimo greitis. Pagrindiniai apribojimai – patikimų duomenų, procesų savininkų ir pakeitimus tvirtinti įgaliotų asmenų prieinamumas. Tvarkaraštyje reikia įvertinti faktinį šių asmenų užimtumą, valdymo komiteto posėdžių dažnumą ir tarp padalinių kylančių klausimų sprendimo laiką. Pažadėta dokumentų pateikimo data nėra patikimas pažangos rodiklis, jei organizacija dar nepatvirtino taikymo srities, atsakomybės ir prioritetų.

Darbus reikia planuoti pagal jų tarpusavio priklausomybes. Pirmiausia nustatoma taikymo sritis, vaidmenys, procesai ir turtas. Tada atliekamas rizikos vertinimas, patvirtinamas rizikos valdymo planas, įdiegiamos saugumo priemonės, atliekami bandymai ir surenkami veikimo įrodymai. Lygiagrečiai galima vykdyti užduotis, paremtas tomis pačiomis patvirtintomis prielaidomis, pavyzdžiui, inventorizuoti sutartis ir peržiūrėti esamas saugumo priemones. Tačiau išsamaus rizikos vertinimo nereikėtų pradėti, kol nenustatytos vertinamos paslaugos, procesai, sistemos, informacija ir priklausomybės nuo tiekėjų.

Nustatant veiksmų eiliškumą reikia atskirti spragas, kurioms pašalinti būtini pirkimai, sutarčių pakeitimai, techninės integracijos arba bandymai. Kiekvienai šių grupių taikomas skirtingas tvirtinimo kelias ir įgyvendinimo terminas. Išorės pagalba gali sutrumpinti diagnostiką, pagerinti praktinių sesijų kokybę ir struktūruoti jų rezultatus, tačiau konsultantas už vadovybę nenuspręs dėl rizikos priėmimo, investicijų eiliškumo ar toleruotinos paslaugų teikimo pertraukos. Jei tokie sprendimai atidedami iki projekto pabaigos, dokumentai pradeda lenkti realius veiklos sprendimus, todėl dalį analizės tenka kartoti.

Pažangą reikėtų matuoti patvirtintų sprendimų, pašalintų priklausomybių ir praktiškai patikrintų saugumo priemonių skaičiumi, o ne parengtų dokumentų kiekiu. Net kelių savaičių planas bus neįgyvendinamas, jei organizacija neturi aktualaus sistemų sąrašo, tiekėjų sutarčių registro ar sutartų procesų savininkų. Tokiu atveju komanda gali aprašyti deklaruojamą būklę, tačiau nenustatys atsakomybės už veiklos tęstinumą, paslaugos atkūrimą ir tiekėjo priežiūrą.

Procesų modeliavimas turi padėti priimti tokius sprendimus, o ne didinti dokumentų apimtį. Pasirinkti tinkamą detalumo lygį padeda palyginimas „BPMN ar blokinė schema – kuri priemonė tinkamesnė kokybės procesams modeliuoti?“. Šiuo atveju tinkama priemonė yra ta, kuri aiškiai parodo vaidmenis, atsakomybės perdavimo vietas, informacines priklausomybes ir sritis, kurioms reikia apsaugos ar pavaduojančių sprendimų.

Didžiausia rizika kyla dėl klaidingų prielaidų

Rengiantis NIS2 reikalavimams, sėkmę dažniau lemia prielaidų pagrįstumas nei atliktų užduočių skaičius. Savarankiško modelio didžiausios rizikos yra neteisingai nustatyta taikymo sritis, nepastebėtos veiklos priklausomybės ir kibernetinio saugumo priskyrimas vien IT funkcijai. Tokiu atveju organizacija gali neįvertinti gamybos, logistikos, techninės priežiūros, tiekimo tęstinumo ar įsipareigojimų klientams. Taip pat pritrūksta nepriklausomo požiūrio į praktikas, kurios organizacijos viduje laikomos pakankamomis vien todėl, kad iki šiol nesukėlė matomų sutrikimų.

Išorės pagalba šių pavojų automatiškai nepašalina. Riziką didina konsultantas, kuris pateikia standartinį dokumentų paketą neįvertinęs organizacijos paslaugų, procesų ir priklausomybių, neįtraukia procesų savininkų arba neperduoda žinių, reikalingų sprendimams palaikyti. Tuomet sistema priklauso nuo dokumentų autoriaus, o ne nuo už kasdienę veiklą atsakingų asmenų.

Todėl darbų atlikimą verta atskirti nuo nepriklausomo galutinio vertinimo, ypač kai tas pats paslaugų teikėjas nustatė projekto apimtį, vertino riziką ir parinko saugumo priemones. Sprendimas priimti likutinę riziką turi likti kompetentingos vadovybės atsakomybė.

Formali atitiktis išryškėja tada, kai dokumentai ir praktika nesutampa: politikoje aprašomas kitoks veikimo būdas nei realiame procese, rizikų registras nedaro įtakos prioritetams ir investicijoms, o reagavimo į incidentus procedūra niekada nebuvo išbandyta. Dokumentinė spraga reiškia, kad trūksta būtino įrašo arba jis yra nenuoseklus. Veiklos spraga atsiranda, kai organizacija negali atlikti veiksmo, priskirti atsakomybės ar pateikti veiksmingumo įrodymo. Formos užpildymas gali pašalinti pirmąją spragą, bet nepakeis bandymo, sprendimo ar darbo būdo pakeitimo.

Pavyzdžiui, gamykla gali turėti patvirtintą incidentų pranešimo procedūrą, tačiau gamybos darbuotojai nežino, kaip pranešti apie valdymo ar planavimo sistemos nepasiekiamumą. Su paslaugos teikėju taip pat gali būti nesuderintas eskalavimo kelias, kontaktiniai asmenys ir veiksmai ne darbo valandomis. Dokumentas egzistuoja, tačiau sutrikimo pradžioje laikas prarandamas aiškinantis, kas atsakingas. Tokią spragą galima aptikti tik per pratybas, kuriose dalyvauja naudotojas, proceso savininkas, IT, vadovybė ir tiekėjas.

Pasirengimo auditas turėtų vertinti gebėjimą veikti ir pateikti patikimus įrodymus, o ne vien dokumentų išsamumą. Naudingi rodikliai gali būti neįvykdytų veiksmų po ankstesnių auditų ir bandymų skaičius, atkūrimo bandymų rezultatai, incidentų bei sutrikimų peržiūrų išvados ir pagrindinių tiekėjų, kuriems atliktas vertinimas bei nustatyti suderinti reikalavimai, dalis. Šie rodikliai visada turi būti grindžiami organizacijos duomenimis. Tokio vertinimo metodika plačiau aptariama straipsnyje „NIS2 auditas gamybos įmonėje – kaip įvertinti organizacijos pasirengimą naujoms pareigoms“.

Mišrus modelis dažniausiai užtikrina geriausią kontrolę

Diegimo būdą reikėtų rinktis pagal faktinį organizacijos gebėjimą atlikti darbus, o ne vien pagal konsultantų įkainius. Savarankiškas įgyvendinimas pagrįstas, kai projektas turi kompetentingą savininką, rizikos valdymo procesai yra brandūs, turto ir priklausomybių sąrašai aktualūs, o pagrindiniai darbuotojai turi pakankamai laiko ir geba interpretuoti reikalavimus. Didesnė išorės pagalbos apimtis tikslinga, kai trūksta kompetencijų, struktūra išskaidyta, technologinės priklausomybės reikšmingos, pasirengimo terminas trumpas arba nėra nuoseklios valdymo sistemos.

Dažniausiai geriausią sąnaudų, trukmės ir rizikos kontrolę užtikrina mišrus modelis. Organizacija išlaiko atsakomybę už sprendimus, pirminius duomenis, rizikos nuosavybę ir veiklos priemonių įgyvendinimą. Konsultantas atsako už diagnostiką, metodiką, praktinių sesijų vedimą, specialiųjų žinių reikalaujančią analizę ir rezultatų kokybės kontrolę.

Organizacijoje turėtų likti bent šios atsakomybės:

• procesų ir paslaugų svarbos nustatymas;
• rizikos savininkų paskyrimas;
• likutinės rizikos priėmimas;
• investicijų prioritetų nustatymas;
• patvirtinimas, kad saugumo priemonės praktiškai veikia.

Vadovybė negali perduoti konsultantui atsakomybės už organizacijos atsparumą.

Kelias gamyklas valdanti įmonė gali savarankiškai surinkti informaciją apie paslaugas, išteklius, tiekėjus ir sutrikimų poveikį, nes patikimam jų įvertinimui būtinos veiklos žinios. Išorės specialistas gali struktūruoti vertinimo metodiką, patikrinti prieštaravimus, moderuoti tarp padalinių vykstančias sesijas ir įvertinti įrodymų išsamumą. Tokio darbo pasidalijimo naudingumą lemia realiai projektui paskirtų žmonių skaičius ir jų kompetencija, o ne formalus projekto komandos sąrašas.

Pasiūlymus reikia lyginti pagal vienodą rezultatų apimtį ir vienodus priėmimo kriterijus. Konsultanto patirtį reikėtų vertinti pagal sektoriaus, organizacijos dydžio, procesų ir technologinės aplinkos panašumą, o ne vien pagal įgyvendintų projektų skaičių. Sutartyje turi būti aiškiai apibrėžti rezultatai, jų priėmimo kriterijai, pareiga sprendimus susieti su realiais procesais, žinių perdavimas, konfidencialumo ir prieigos prie jautrių duomenų taisyklės, atsakomybė už taisymus ir pagalbos po diegimo apimtis. Atlygio modelis neturėtų skatinti kurti kuo daugiau dokumentų – jis turėtų būti siejamas su sutartais ir patikrinamais rezultatais.

Praktinės vadovybės, procesų savininkų ir palaikančių funkcijų atsakomybės ribos plačiau aptariamos straipsnyje NIS2 valdymo praktikoje: kaip reikalavimus paversti sprendimais, atsakomybe ir realiu organizacijos atsparumu.

Sprendimą grįskite įrodymais ir gebėjimu palaikyti sistemą

Prieš pasirenkant diegimo modelį verta atlikti trumpą organizacinę diagnostiką. Reikia patvirtinti projekto apimtį, paskirti jo savininką, įvertinti kompetencijų prieinamumą, inventorizuoti esamus veikimo įrodymus ir nustatyti svarbiausias spragas. Tik tada galima nuspręsti, kuriuos darbus organizacija atliks pati, o kur specialisto dalyvavimas sumažins neteisingo aiškinimo, praleidimų ar pakartotinio darbo riziką.

Vadovybės sprendime turėtų būti palyginti trys variantai: įgyvendinimas savo jėgomis, mišrus modelis ir platesnė išorės pagalba. Visiems variantams reikia taikyti tuos pačius kriterijus:

• visas sąnaudas, įskaitant darbuotojų laiką, taisymus ir palaikymą;
• laiką, reikalingą realiam veiklos pasirengimui pasiekti;
• klaidų ir darbų kartojimo riziką;
• faktinį kompetencijų prieinamumą;
• organizacijos gebėjimą savarankiškai palaikyti sprendimus.

Valdybos nutarime ar vadovybės sprendime turėtų būti nurodytas pasirinktas modelis, atsakomybės ribos, projekto savininkas, ištekliai, ataskaitų teikimo tvarka, priėmimo kriterijai ir veiksmingumo rodikliai, kylantys iš organizacijos procesų, o ne iš universalių, konteksto neturinčių ribinių verčių.

Diegimo rezultato nereikėtų priimti pagal parengtų politikų skaičių. Rezultatas turi būti pakartojamas veikimo būdas: paskirti vaidmenys, dokumentuoti rizikos sprendimai, įdiegtos saugumo priemonės, išbandytas reagavimas į sutrikimus ir incidentus, tiekėjų priežiūra bei patikimi įrašai. Patvirtinta reagavimo procedūra neįrodo pasirengimo, jei bandymas atskleidžia pasenusius kontaktus, neaiškų eskalavimo kelią ar tai, kad nėra asmens, įgalioto priimti sprendimą.

Priėmimo kriterijai turėtų apimti dokumentų ir praktikos atitiktį, sutartų spragų pašalinimą, bandymų rezultatus, žinių perdavimą ir aiškų tolesnio gerinimo planą, įskaitant vidaus auditų programą. Priėmimo įrodymais gali būti patvirtinimai, registrai, bandymų rezultatai, mokymų protokolai, rizikos sprendimai ir atliktų veiksmų patvirtinimai. Tokių įrodymų parengimas ir palaikymas plačiau aptariamas straipsnyje NIS2 ir KSC dokumentai prieš patikrinimą: kokių politikų, registrų ir įrodymų iš tiesų reikia.

Sprendimo tvarumą galima įvertinti tik sumažinus konsultanto dalyvavimą. Tuomet procesų savininkai turėtų patys atnaujinti registrus, priimti su rizika susijusius sprendimus, analizuoti bandymų rezultatus ir inicijuoti korekcinius veiksmus. Jei sistema veikia tik dėl konsultanto žinių, projektas nėra užbaigtas: organizacija gavo dokumentus, tačiau neįgijo gebėjimo jų savarankiškai palaikyti.