NIS2 un KSC atbilstības pārbaude: dokumenti, reģistri un testi, kam jāveido vienota pierādījumu ķēde

NIS2 un KSC atbilstības pārbaudē nepietiek tikai uzrādīt politikas un procedūras. Uzraudzības iestāde var vērtēt, vai organizācija ir pareizi noteikusi pienākumu tvērumu, sadalījusi atbildību, ieviesusi drošības pasākumus un spēj pierādīt to darbību ar aktuāliem reģistriem, testu rezultātiem un vadības lēmumiem. Tāpēc gatavošanās jāpamato ar izsekojamu pierādījumu ķēdi: no pienākuma un riska līdz piemērotajam kontroles mehānismam, izpildes ierakstam, efektivitātes novērtējumam un rīcībai novirzes gadījumā.

Pārbaudē vērtē sistēmu, nevis dokumentu mapi

Sākumpunkts nav politiku un procedūru skaits, bet gan pareizi noteikts pienākumu tvērums. Organizācijai jāspēj norādīt, uz kuriem pakalpojumiem, procesiem, informācijas sistēmām, atrašanās vietām un piegādātāju atkarībām attiecas KSC prasības un ar kādu pamatojumu šāds secinājums izdarīts. Pirms dokumentācijas sakārtošanas vadībai jāapstiprina subjekta statuss un sniegto pakalpojumu tvērums, kā arī jāieceļ par sagatavošanos pārbaudei atbildīgā persona.

Lielākais pierādījumu risks rodas tad, ja dokumentācijā aprakstīti risinājumi, kurus organizācija faktiski neizmanto vai kuru darbību tā nevar apliecināt ar ierakstiem. Tas īpaši attiecas uz piekļuves tiesību pārskatīšanu, riska novērtēšanu, rezerves kopijām, piegādātāju uzraudzību un darbības nepārtrauktības testiem. Pierādījumu kopumam jāveido konsekventa ķēde: prasība vai risks, lēmums, ieviestais drošības pasākums, atbildība, izpildes ieraksts, efektivitātes novērtējuma rezultāts un rīcība konstatētās novirzes gadījumā.

Iestāde var sākt ar augstākā līmeņa dokumentu un pēc tam pāriet pie darbības pierādījumu izlases. Ja incidentu pārvaldības procedūrā noteikta notikumu klasifikācija un eskalācija, jārēķinās ar pieteikumu, reakcijas laiku, pieņemto lēmumu, saziņas, lietu slēgšanas un pēcincidenta secinājumu pārbaudi. Sistēmas tvērumu apliecina ne tikai apraksts, bet arī pakalpojumu un atkarību karte, resursu saraksts, īpašnieku noteikšana un šo datu atbilstība operatīvajiem reģistriem.

NIS2 un KSC dokumentācijai pirms pārbaudes: kādas politikas, reģistri un pierādījumi patiešām nepieciešami jāatspoguļo funkcionējošs pārvaldības mehānisms, nevis veidņu katalogs. Uzraudzības iestādes pārbaude jānošķir no vadības sistēmas audita. Abos procesos var izmantot līdzīgus pierādījumus, tomēr pārbaudē vērtē attiecīgajos tiesību aktos un uzraudzības tvērumā noteikto pienākumu izpildi, savukārt auditā — sistēmas atbilstību un efektivitāti pēc noteiktiem kritērijiem. Pozitīvs viena procesa rezultāts neaizstāj otru.

Tvērums un atbildība pastiprinātā uzmanībā

Pirmajai pierādījumu grupai jāpaskaidro, kāpēc uz organizāciju attiecas konkrētie pienākumi un kur ir uzraugāmās vides robežas. Iestāde var pieprasīt subjekta kvalifikācijas pamatojumu, regulējumam pakļauto pakalpojumu identificēšanu, kā arī saistīto procesu, informācijas aktīvu, sistēmu, atrašanās vietu un piegādātāju uzskaitījumu. Tvērumu nedrīkst raksturot tikai ar darbības veida nosaukumu. Tam jāļauj izsekot pakalpojuma sniegšanai no biznesa procesa un to atbalstošajiem aktīviem līdz ārējām atkarībām.

Gatavošanās pamatā jābūt aktuālam, vadības apstiprinātam tvēruma aprakstam, ko papildina pakalpojumu un procesu karte, kritisko aktīvu saraksts un atbildības struktūra. Dokumentos, ar kuriem nosaka lomas, jānorāda ne tikai amatu nosaukumi, bet arī pilnvaras akceptēt risku, aktivizēt ārkārtas pasākumus, eskalēt incidentus un pieņemt lēmumus par piegādātājiem. Pakalpojumu, aktīvu un risku īpašnieki jānosaka atbilstoši faktiskajam kompetenču sadalījumam.

Tipiska neatbilstība rodas, ja reģistrā norādīts formālais riska īpašnieks, bet lēmumu par riska akceptēšanu pieņem cita persona bez atbilstoša pilnvarojuma un dokumentēta ieraksta. Tāda pati problēma var skart atkāpes no drošības pasākumiem, darbības nepārtrauktību un piegādātāju apstiprināšanu. Sanāksmju protokoliem, lēmumiem, riska novērtējumu apstiprinājumiem, budžeta lēmumiem un vadības pārskatiem jāapliecina, ka vadība pārzina būtiskos riskus, izlemj jautājumus, kas pārsniedz operatīvā līmeņa pilnvaras, un uzrauga pieņemto lēmumu izpildi.

Kvalifikācijas kārtība, iekļaušana attiecīgajā sarakstā un iestādes kompetence katrā gadījumā jānosaka atbilstoši aktuālajam tiesiskajam regulējumam un konkrētā subjekta situācijai. Praktisks šā jautājuma turpinājums ir NIS2: pašnovērtējums un iekļaušana KSC sarakstā — kas jādara ražošanas uzņēmumam? Ja organizācijai ir būtiskā subjekta statuss, tvēruma novērtējums jāsasaista arī ar materiālu Obligātais KSC audits: kuriem būtiskajiem subjektiem jāgatavojas pirmajam atbilstības novērtējumam. Tomēr statuss pats par sevi nepierāda, ka vadība ir apstiprinājusi atbildības robežas un nodrošinājusi to periodisku pārskatīšanu.

Reģistri atklāj faktisko praksi

Reģistrs apliecina nepārtrauktu pārvaldību tikai tad, ja tas atspoguļo procesos faktiski pieņemtos lēmumus un veiktās darbības, nevis tiek periodiski papildināts kā procedūras pielikums. Pirms rīka izvēles jānosaka obligātie datu lauki, datu avoti, ierakstu īpašnieki un izmaiņu apstiprināšanas kārtība. Izklājlapa var būt pietiekama, ja tā nodrošina piekļuves kontroli, izmaiņu vēsturi, nepārprotamu atbildību un aizsardzību pret neatļautām izmaiņām. Arī sarežģīts rīks nenodrošinās datu ticamību, ja nav zināms, kas, kad un uz kāda notikuma pamata atjaunina reģistru.

Risku reģistram jāsasaista apdraudējumu scenāriji ar pakalpojumiem un aktīviem, norādot īpašnieku, esošos drošības pasākumus, novērtējuma rezultātu, lēmumu par riska apstrādi un pasākumu izpildes statusu. Iestāde var pārbaudīt, vai riskam, ko paredzēts mazināt, ir noteikts uzdevums, termiņš un izpildes pierādījums, savukārt akceptētam riskam — pienācīgi pilnvarotas personas apstiprinājums. Vadībai noderīgi rādītāji ir atvērto risku, nepabeigto pasākumu un atkārtotu pārskatīšanu gaidošo lēmumu skaits. Tie ir organizācijas noteikti rādītāji, nevis tiesību aktos paredzētas robežvērtības.

Incidentu un notikumu reģistram jāļauj rekonstruēt visu norisi: atklāšanu, incidenta klasifikāciju, eskalāciju, lēmumu par ziņošanu, saziņu, darbības atjaunošanu un formālu slēgšanu kopā ar secinājumiem. Saistītie materiāli ietver ievainojamību, labojumu un apstiprināto izņēmumu reģistrus, piekļuves tiesību pārskatus, rezerves kopiju izveides un atjaunošanas ierakstus, konfigurācijas izmaiņas, administratoru darbības, apmācības un mācības.

Labojuma atlikšanas gadījumā jābūt izsekojamai ķēdei no identificētās ievainojamības, ietekmes novērtējuma un lēmuma par izņēmumu līdz kompensējošo drošības pasākumu noteikšanai, atkārtotas izvērtēšanas termiņam un slēgšanas apstiprinājumam. Neizpildīto labojumu saraksts vien neparāda, vai kavējums tiek pienācīgi kontrolēts.

Tāda pati konsekvence nepieciešama piegādes ķēdes uzraudzībā. Līgumu saraksts neaizstāj piegādātāju klasifikāciju, pakalpojumu un aktīvu atkarības no ārējiem subjektiem novērtējumu, drošības prasību noteikšanu, pārskatu ierakstus un lēmumus par nepieņemamām nepilnībām. Reģistrā jābūt redzamam, kas apstiprināja piegādātāju, kādas atkāpes tika pieļautas un kad paredzēta atkārtota novērtēšana. Īpaši jāuzrauga piegādātāji bez aktuāla novērtējuma un pēc pārbaudēm neizpildītie pasākumi. Šis jautājums ir būtisks arī programmas NIS2 ieviešana pēc iekļaušanas KSC sarakstā — rīcības plāns līdz 2027. gada 3. aprīlim īstenošanā.

Glabāšanas, piekļuves un izmaiņu apstiprināšanas noteikumi jādiferencē pēc ieraksta veida, tā pierādījuma nozīmīguma, juridiskajām un līgumiskajām prasībām, kā arī incidentu analīzes vajadzībām. Bez šādas analīzes nevajadzētu visiem reģistriem noteikt vienādu glabāšanas termiņu. Incidentu paziņošanas termiņi un pierādījumu saglabāšanas kārtība katrā gadījumā jāpārbauda atbilstoši spēkā esošajiem noteikumiem un kompetentās iestādes vadlīnijām. Plašāks materiālu katalogs aprakstīts rakstā NIS2 un KSC dokumentācija pirms pārbaudes: kādas politikas, reģistri un pierādījumi patiešām nepieciešami. Tomēr darbības briedumu nosaka ikdienas darbā radītie ieraksti un skaidri redzama ķēde no prasības līdz kontroles rezultātam un korektīvajai darbībai.

Katram testam jānoslēdzas ar lēmumu

Uzraudzības iestāde var interesēties ne tikai par darbības nepārtrauktības plānu, incidentu reaģēšanas procedūru vai apliecinājumu par rezerves kopiju izveidi. Būtiski ir arī pierādījumi, ka šie risinājumi pārbaudīti apstākļos, kas atbilst faktiskajiem pakalpojumiem, tehnoloģijām un piegādātāju atkarībām. Pārbaužu programmai jāizriet no riska novērtējuma, pakalpojuma kritiskuma, vides izmaiņām un juridiskajām vai līgumiskajām prasībām. Visiem drošības pasākumiem nav vienas universāli pareizas testēšanas frekvences. Biežāk jāpārbauda jomas ar lielu iespējamo ietekmi, strauji mainīga vide un jomas, kurās iepriekšējie testi atklājuši būtiskas novirzes.

Pirms katras pārbaudes jānosaka tās priekšmets un sekmīgas izpildes kritēriji. Ierakstā jāiekļauj tvērums, scenārijs, dalībnieki, vide, sekmīgas izpildes kritēriji un pieļaujamās novirzes, bet pēc izpildes — rezultāts, konstatētās atkāpes un faktiskā vai iespējamā ietekme uz pakalpojumu. Ja konstatētas nepilnības, pierādījumos jānorāda korektīvās darbības, to īpašnieki, izpildes termiņi un atkārtotas pārbaudes datums.

Noderīgi rādītāji ir faktiskais atjaunošanas laiks, sasniegtais atjaunošanas punkts, eskalācijas laiks un pēc pārbaudes pabeigto darbību īpatsvars. Būtiska organizatoriska kļūda ir regulāra testēšana bez sekmīgas izpildes kritērijiem vai bez konstatēto neatbilstību slēgšanas.

Galvenās pārbaudes ietver datu atjaunošanu no rezerves kopijām, pārslēgšanos uz rezerves risinājumiem, incidentu reaģēšanas mācības, krīzes komunikācijas testus, piekļuves tiesību pārskatīšanu, konfigurācijas atjaunošanu un ievainojamību tehnisko pārbaudi, tostarp skenēšanu un — atbilstoši riskam — ielaušanās testus. Piegādātāja rezultāts var būt daļa no pierādījumiem, taču tas neaizstāj pārbaudi organizācijas pusē, ja neaptver tās procesus, integrācijas, atbildību un darbības apstākļus.

Pēc katra testa pakalpojuma īpašniekam jāpieņem dokumentēts lēmums: apstiprināt rezultātu, ieviest korekciju, noteikt kompensējošu drošības pasākumu, atkārtot testu vai akceptēt risku atbilstoši piešķirtajām pilnvarām.

Veiksmīga datubāzes rezerves kopijas izveide vēl nepierāda spēju atjaunot pakalpojumu. Testa laikā var atklāties, ka lietotnei nepieciešama nedokumentēta konfigurācijas versija, identitātes pārvaldības mehānisms nedarbojas rezerves vidē, atslēgas nav pieejamas vai vienīgā persona, kura zina komponentu palaišanas secību, nepiedalās atjaunošanā. Tikai visas atkarību ķēdes pārbaude ļauj salīdzināt faktisko atjaunošanas laiku un punktu ar noteiktajiem kritērijiem, novērtēt ietekmi uz pakalpojumu un pieņemt lēmumu par gatavību vai nepieciešamajiem uzlabojumiem.

Šāda testu dokumentēšana ir nozīmīga neatkarīgi no nozares, arī analizējot tēmu NIS2 ražošanas uzņēmumiem: uz ko tā attiecas, kādus pienākumus ievieš un kā sagatavot organizāciju, neaprobežojoties tikai ar IT. Sagaidāmo pierādījumu tvērums jāsaista ar konkrētajai organizācijai un tās pakalpojumiem piemērojamajiem pienākumiem un aktuālo tiesisko regulējumu. Galvenā paliek konsekventa ķēde: identificētais risks, plānotais tests, izmērāms kritērijs, dokumentēts rezultāts, īpašnieka lēmums un efektīvas darbību slēgšanas apliecinājums.

Neatbilstības palielina pārbaudes izmaksas

Formāli pilnīga dokumentācija zaudē vērtību, ja tā neatbilst faktiskajai situācijai. Iestāde var salīdzināt politikās ietvertos apgalvojumus ar sistēmu konfigurācijām, pieteikumu ierakstiem, līgumiem, piekļuves sarakstiem, skenēšanas rezultātiem, testu protokoliem un procesu īpašnieku skaidrojumiem. Būtiska nav redakcionāla vienādība, bet iespēja izsekot lēmumam no identificētā pienākuma un riska līdz ieviestajam drošības pasākumam, tā darbības ierakstam un reakcijai uz novirzi.

Iekšējai pārbaudes simulācijai pirms iestādes darbību sākuma jābalstās uz mērķtiecīgi izvēlētu pakalpojumu, incidentu, piegādātāju un piekļuves tiesību izlasi, virzoties no dokumentācijas līdz pirmavota datiem. Tas ļauj atklāt novecojušu aktīvu sarakstu, atšķirīgus viena pakalpojuma nosaukumus vairākos dokumentos, riskus bez īpašniekiem, reģistrā neiekļautus incidentus, piegādātājus bez dokumentēta novērtējuma un korektīvās darbības, kas slēgtas bez efektivitātes pārbaudes. Atšķirības jānovērš, nosakot faktisko situāciju un ieraksta īpašnieku, nevis steigā vienādojot dokumentus.

Ražošanas uzņēmumā pārskatam nevajadzētu aprobežoties ar biroja IT vidi. Izvēlētam pakalpojumam tas var aptvert tehnisko uzturēšanu, automatizāciju, attālinātu servisa piekļuvi, konfigurācijas pārvaldību un ražošanas sistēmu savstarpējās atkarības. Piemēram, piekļuves sarakstā var nebūt servisa tehniķa izmantota konta, lai gan tā esamību apliecina līgums, savienojuma ieraksts un ierīces konfigurācija. Šo atkarību nozīme plašāk izklāstīta materiālā NIS2 ražošanas uzņēmumiem: uz ko tā attiecas, kādus pienākumus ievieš un kā sagatavot organizāciju, neaprobežojoties tikai ar IT.

Vadības sistēmas sertifikāts var palīdzēt strukturēt risku pārvaldību, dokumentācijas kontroli, auditus un korektīvās darbības, taču tas neaizstāj juridiskā tvēruma analīzi vai KSC pienākumu izpildes pierādījumus. Šī robeža aplūkota rakstā NIS2 un LVS EN ISO 27001: ko sniedz sertifikāts un kā vēl var pietrūkt atbilstībai KSC. Viena ieraksta trūkums ne vienmēr automātiski nozīmē neatbilstību, tomēr jānovērtē attiecīgā pierādījuma nozīmīgums, trūkuma cēlonis un iespēja apliecināt mehānisma darbību ar citiem ticamiem ierakstiem.

Pārbaudes izmaksas visvairāk pieaug tad, ja pierādījumi ir izkliedēti, pilnvarojumi nav skaidri un neviens nekoordinē atbildes un nododamo materiālu apstiprināšanu. Tad komandām jau pārbaudes laikā manuāli jāsaskaņo pretrunīgi dati. Savlaicīgi iecelts koordinators, noteikti atsevišķo pierādījumu īpašnieki un skaidra neatbilstību risināšanas kārtība samazina darba apjomu un risku iesniegt iestādei savstarpēji pretrunīgus skaidrojumus.

Gatavību veido pārbaudes simulācija

Iekšējā pārbaudes simulācija jāsāk ar subjekta statusa, pienākumiem pakļauto pakalpojumu tvēruma, kā arī vadības un procesu īpašnieku atbildības apstiprināšanu. Pēc tam par saziņu ar iestādi atbildīgajam koordinatoram jāsagatavo atbilstības matrica, kas sasaista katru pienākumu ar tā īpašnieku un pierādījumu. Tikai pēc tam pārbauda ierakstu izlases, intervē atbildīgās personas un rekonstruē izvēlēta incidenta vai testa norisi. Koordinatora lomu ieteicams uzticēt personai, kurai ir piekļuve vadībai un pilnvaras koordinēt neatbilstību risināšanu, tomēr tai nevajadzētu aizstāt pierādījumu satura īpašniekus.

Katram pienākuma īpašniekam jāspēj norādīt:

• augstākā līmeņa dokumentu, kas nosaka darbības kārtību,
• ierakstu, kas apliecina pienākuma izpildi,
• piemērotā mehānisma efektivitātes rādītāju,
• pēdējo pārskatīšanas rezultātā pieņemto lēmumu.

Jebkura šā elementa trūkums rada pārrāvumu pierādījumu ķēdē. Ar incidentu reaģēšanas procedūru nepietiek, ja organizācija nevar uzrādīt notikuma reģistrācijas ierakstu, reakcijas laiku, seku novērtējumu, cēloņu analīzes rezultātu un lēmumu par drošības pasākumu izmaiņām. Konkrēta gadījuma rekonstruēšana arī parāda, vai darbinieku skaidrojumi atbilst ierakstiem un faktiskajai notikumu gaitai.

Simulācijā jāaptver arī pārbaudes loģistika: pieprasījuma saņemšana un reģistrēšana, atbildes termiņa un īpašnieka noteikšana, materiālu apstiprināšana, sensitīvas informācijas aizsardzība, nododamo versiju marķēšana un vienošanos ar iestādi dokumentēšana. Ieteicams izspēlēt situāciju, kurā pieprasītais ieraksts satur datus, kas pārsniedz pārbaudes priekšmetu, vai prasa papildu konteksta skaidrojumu. Tas palīdz noteikt, kas lemj par izpaušanas apjomu un kā organizācija saglabā materiālu nodošanas izsekojamību.

Uzlabojumu plānā trūkumi jāprioritizē pēc ietekmes uz pakalpojumu, juridiskās ekspozīcijas, atklāšanas iespējamības un laika, kas vajadzīgs ticamu efektivitātes pierādījumu iegūšanai, nevis pēc tā, cik viegli sagatavot vēl vienu procedūru. Vadība apstiprina prioritātes, resursus un pieļaujamo riska līmeni. Darbību drīkst slēgt tikai pēc mehānisma atkārtotas pārbaudes.

Grafiks jāveido, pamatojoties uz subjekta faktisko statusu, saziņu ar iestādi un aktuālo tiesisko regulējumu. Pēc statusa noteikšanas analīzi var papildināt materiāli NIS2: pašnovērtējums un iekļaušana KSC sarakstā — kas jādara ražošanas uzņēmumam? un NIS2 ieviešana pēc iekļaušanas KSC sarakstā — rīcības plāns līdz 2027. gada 3. aprīlim. Šajos materiālos norādītie datumi un pienākumi katrā gadījumā jāpārbauda atbilstoši aktuālajam tiesiskajam regulējumam.