Rozhodnutie, či NIS2 zaviesť vlastnými silami alebo s implementačnou firmou, nemožno zúžiť na porovnanie odmeny poradcu s nákladmi na interný tím. O výsledku projektu rozhoduje rozsah povinností, dostupnosť osôb s rozhodovacou právomocou, kvalita údajov o procesoch a aktívach aj schopnosť organizácie dlhodobo udržiavať prijaté opatrenia. Zdanlivo najlacnejší variant môže byť napokon najdrahší, ak vedie k nesprávnemu posúdeniu pôsobnosti, opakovaniu analýz alebo k dokumentácii, ktorá nezodpovedá reálnemu fungovaniu firmy. Najskôr preto treba určiť rozsah a identifikovať medzery, následne porovnať celkové náklady, čas a riziká troch modelov realizácie a až potom vybrať dodávateľa a spôsob riadenia prác.
Dodávateľa nevyberajte skôr, než poznáte svoje povinnosti
Porovnávať realizáciu vlastnými kapacitami s podporou externej spoločnosti má zmysel až po posúdení, či organizácia patrí do pôsobnosti NIS2 a príslušných vnútroštátnych predpisov, ktorými sa tieto požiadavky zavádzajú. Ak áno, treba určiť, ktorých služieb, organizačných jednotiek, lokalít a aktív sa posúdenie týka. Bez tejto kvalifikácie nemožno spoľahlivo odhadnúť rozsah prác, harmonogram ani náklady. Vrcholový manažment by mal zároveň určiť vlastníka projektu s právomocou koordinovať rozhodnutia medzi prevádzkou, právnou funkciou a IT.
Východiskom nie je nákup súboru dokumentov ani informačného nástroja, ale zrozumiteľný opis modelu fungovania organizácie. Potrebné je identifikovať poskytované služby, podporné procesy, systémy a údaje, ako aj dodávateľov a závislosti ovplyvňujúce kontinuitu činností. Až takáto mapa umožní rozhodnúť, či má posúdenie pokrývať celú spoločnosť, alebo iba konkrétne služby a lokality. Výstupom prvej etapy by mala byť zdokumentovaná kvalifikácia subjektu, vymedzené hranice rozsahu a zoznam oblastí, ktoré si vyžadujú posúdenie a nápravné opatrenia.
Formálnu pôsobnosť právnych predpisov treba odlíšiť od obchodnej potreby zvýšiť odolnosť organizácie. Firma môže zostať mimo rozsahu zákonných povinností, no napriek tomu podliehať požiadavkám zákazníkov, skupiny, poisťovne alebo partnerov v dodávateľskom reťazci. Takýto projekt sa nemá prezentovať ako splnenie zákonnej povinnosti, ale ako reakcia na konkrétne zmluvné požiadavky a prevádzkové riziká.
Príkladom je výrobná firma, ktorá používa firewally, zálohovanie a ochranu koncových zariadení, ale nevie určiť vlastníka procesu reakcie na incident. Zároveň neposúdila, ako by výpadok systému plánovania výroby ovplyvnil harmonogram zákaziek, dostupnosť materiálu a včasnosť dodávok. Problémom potom nie je iba úroveň technického zabezpečenia, ale aj chýbajúca zodpovednosť a analýza väzieb medzi informačným systémom a poskytovaním služby.
Po opísaní činností treba vykonať právne posúdenie podľa sektorových, subjektových a veľkostných kritérií aktuálnych ku dňu publikácie. Formálne stanovisko by mal schváliť orgán alebo osoba oprávnená zastupovať organizáciu, za účasti právnej funkcie a vlastníkov služieb a procesov. IT poskytuje údaje o systémoch, nemalo by však samo rozhodovať o právnej kvalifikácii. Tejto téme sa podrobnejšie venuje materiál „Smernica NIS2 – koho sa týka a ktoré firmy musia spĺňať nové požiadavky?“.
Náklady na implementáciu nekončia vystavenou faktúrou
Interná realizácia nie je bezplatná a odmena implementačnej firmy zároveň nepredstavuje celkové náklady externej podpory. Kalkulácia má zahŕňať prácu vedenia, vlastníkov procesov, IT, nákupu, ľudských zdrojov, právnej funkcie a manažéra systému riadenia. Čas týchto osôb treba oceniť podľa interných nákladových sadzieb a skutočne odpracovaných hodín vrátane prevádzkových úloh, ktorým sa počas projektu nebudú môcť venovať. Pracnosť závisí najmä od počtu lokalít, procesov, systémov, dodávateľov a spoločností zahrnutých do rozsahu.
Najčastejšie sa podceňuje zber údajov, dohodnutie zodpovedností, inventarizácia aktív a dodávateľov, príprava dôkazov, vykonanie testov a školení aj náprava nesúrodých interných pravidiel. Implementačná firma tieto práce skráti len vtedy, ak dokáže premietnuť požiadavky do existujúcich procesov, rolí a nástrojov. Odovzdanie vzorových politík bez poznania organizácie náklady neodstraňuje. Iba ich presúva do etapy pripomienkovania, zavádzania a následnej aktualizácie.
| Kategória nákladov | Interný variant | Externý variant | Kombinovaný variant |
|---|---|---|---|
| Interná práca | Najvyššia; zahŕňa analýzu, dokumentáciu a koordináciu | Naďalej významná; údaje a rozhodnutia musia pochádzať z organizácie | Sústredená na procesné znalosti, rozhodovanie a prevzatie výstupov |
| Poradenstvo | Bez poradenstva alebo iba cielená podpora | Najvyššie náklady na externé služby | Obmedzené na oblasti vyžadujúce odborné znalosti |
| Technológie | Závisia od identifikovaných medzier; samotný výber realizačného modelu tieto výdavky neodstraňuje | ||
| Opravy a prepracovanie | Riziko prehliadnutia požiadaviek a opakovania analýz | Riziko nevhodných šablón a neprimerane rozsiahlych riešení | Spravidla sa ľahšie obmedzujú priebežným overovaním |
| Udržiavanie | Plná interná zodpovednosť | Riziko závislosti od dodávateľa | Znalosti zostávajú v organizácii a podpora môže byť pravidelná alebo podľa potreby |
Dokumentácia k incidentom môže vzniknúť rýchlo, zostane však iba formálna, ak nie sú dohodnuté pohotovosti, eskalačné cesty, spôsob zabezpečenia dôkazov a zastupovanie. Skutočné náklady sa prejavia pri teste alebo udalosti, keď bude potrebné celý postup prepracovať. Rozpočet má preto oddeľovať jednorazové výdavky od priebežných nákladov a zahŕňať odmenu poradcu, technické investície, kapacitné obmedzenia počas projektu, opravy aj ročnú prevádzku: preskúmania, testovanie, školenia, aktualizáciu dokumentácie, hodnotenie dodávateľov a riadenie incidentov.
Fungujúci systém manažérstva informačnej bezpečnosti alebo certifikát môže znížiť rozsah inventarizácie, hodnotenia rizík, riadenia dokumentácie a auditov, pokiaľ zavedené opatrenia v posudzovanej oblasti skutočne fungujú. Nenahrádza však posúdenie konkrétnych povinností podľa príslušných právnych predpisov ani overenie, či existujúce bezpečnostné opatrenia zodpovedajú dotknutým službám. Túto súvislosť vysvetľuje materiál NIS2 a STN EN ISO 27001: čo prináša certifikát a čo ešte chýba na dosiahnutie súladu s KSC.
Čas závisí od pripravenosti prijímať rozhodnutia
O dĺžke prípravy na požiadavky NIS2 zriedka rozhoduje rýchlosť písania postupov. Hlavnými obmedzeniami sú dostupnosť spoľahlivých údajov, vlastníkov procesov a osôb oprávnených schvaľovať zmeny. Harmonogram musí zohľadňovať ich skutočnú kapacitu, frekvenciu zasadnutí riadiaceho výboru a čas potrebný na rozhodnutia medzi útvarmi. Deklarovaný termín odovzdania dokumentácie nie je ukazovateľom pokroku, ak organizácia neschválila rozsah, zodpovednosti a priority.
Práce treba usporiadať podľa vzájomných závislostí. Najskôr je potrebné určiť rozsah, roly, procesy a aktíva, potom vykonať analýzu rizík, prijať plán zaobchádzania s rizikami, zaviesť opatrenia, vykonať testy a zhromaždiť dôkazy o fungovaní. Súbežne možno realizovať úlohy vychádzajúce z rovnakých schválených predpokladov, napríklad inventarizáciu zmlúv a preskúmanie existujúcich bezpečnostných opatrení. Podrobnú analýzu rizík však nemožno zmysluplne začať pred určením služieb, procesov, systémov, informácií a dodávateľských závislostí zahrnutých do hodnotenia.
Pri určovaní poradia treba odlíšiť medzery vyžadujúce nákup, zmeny zmlúv, technickú integráciu alebo testovanie. Každá skupina má inú schvaľovaciu cestu a čas realizácie. Externá podpora môže urýchliť diagnostiku, zefektívniť workshopy a systematizovať ich výsledky. Poradca však za vedenie nerozhodne o akceptovaní rizika, poradí investícií ani tolerovanej dĺžke prerušenia poskytovania služieb. Ak sa tieto rozhodnutia odkladajú na koniec projektu, dokumentácia predbehne prevádzkovú realitu a časť analýz sa musí zopakovať.
Pokrok preto treba merať počtom schválených rozhodnutí, vyriešených závislostí a opatrení s overenou účinnosťou, nie počtom vytvorených dokumentov. Ani niekoľkotýždňový harmonogram nebude reálny, ak organizácia nemá aktuálny zoznam systémov, register dodávateľských zmlúv alebo dohodnutých vlastníkov procesov. Tím potom dokáže opísať deklarovaný stav, nie však určiť zodpovednosť za kontinuitu činností, obnovu služby a riadenie dodávateľa.
Mapovanie procesov má podporovať práve takéto rozhodovanie, nie vytvárať nadbytočnú dokumentáciu. Výber vhodnej úrovne podrobnosti uľahčuje porovnanie „BPMN alebo vývojový diagram – ktorý nástroj je vhodnejší na mapovanie procesov kvality?“. V tomto prípade je správny ten nástroj, ktorý jednoznačne zobrazuje roly, miesta odovzdania zodpovednosti, informačné väzby a oblasti vyžadujúce ochranu alebo zastupovanie.
Riziko vzniká najmä z nesprávnych predpokladov
O úspešnosti prípravy na požiadavky NIS2 rozhoduje častejšie správnosť východiskových predpokladov než počet dokončených úloh. Pri internom modeli je najväčším rizikom nesprávny výklad rozsahu, prehliadnutie obchodných a prevádzkových závislostí a prenesenie celej témy kybernetickej bezpečnosti na IT. Organizácia tak môže vynechať výrobné procesy, logistiku, údržbu, kontinuitu dodávok alebo záväzky voči odberateľom. Chýba tiež nezávislý pohľad na postupy, ktoré sa interne považujú za dostatočné len preto, že doteraz neviedli k viditeľnému narušeniu.
Externá podpora tieto hrozby automaticky neodstraňuje. Riziko zvyšuje dodávateľ, ktorý poskytuje jednotný balík dokumentov bez pochopenia služieb, procesov a závislostí organizácie, nezapája vlastníkov procesov alebo neodovzdáva znalosti potrebné na udržiavanie riešení. Výsledkom je systém závislý od autora dokumentácie, nie od ľudí zodpovedných za každodennú prevádzku.
Najmä vtedy, keď ten istý subjekt navrhoval rozsah, hodnotil riziká a vyberal opatrenia, je vhodné oddeliť realizáciu od nezávislého záverečného posúdenia. Rozhodnutie o akceptovaní reziduálneho rizika musí zostať na strane príslušného vedenia.
Formálny súlad bez reálneho fungovania sa prejavuje rozdielom medzi dokumentáciou a praxou: politika opisuje iný postup než ten, ktorý sa skutočne používa, register rizík neovplyvňuje priority a investície a postup riadenia incidentov nebol precvičený. Dokumentačná medzera znamená chýbajúci alebo nekonzistentný záznam. Prevádzková medzera vzniká vtedy, keď organizácia nevie vykonať požadovanú činnosť, určiť zodpovednosť alebo predložiť dôkaz o účinnosti. Doplnenie formulára môže odstrániť prvú medzeru, nenahradí však test, rozhodnutie ani zmenu spôsobu práce.
Príkladom je závod so schváleným postupom hlásenia incidentov, v ktorom pracovníci výroby nevedia, ako nahlásiť nedostupnosť riadiaceho alebo plánovacieho systému. S poskytovateľom služby navyše nie je dohodnutá eskalačná cesta, kontaktné osoby ani režim mimo pracovného času. Dokument existuje, no počas narušenia sa prvé minúty strácajú zisťovaním zodpovednosti. Takúto medzeru odhalí až cvičenie, do ktorého sa zapojí používateľ, vlastník procesu, IT, vedenie a dodávateľ.
Audit pripravenosti má overovať schopnosť konať a predložiť dôveryhodné dôkazy, nielen úplnosť dokumentácie. Užitočnými ukazovateľmi sú počet nesplnených opatrení z predchádzajúcich auditov a testov, výsledky skúšok obnovy, závery z preskúmania incidentov a narušení a podiel kľúčových dodávateľov, ktorí boli vyhodnotení a majú dohodnuté požiadavky — vždy na základe údajov organizácie. Spôsob vykonania takéhoto overenia rozoberá materiál „Audit NIS2 vo výrobnej firme – ako overiť pripravenosť organizácie na nové povinnosti“.
Kombinovaný model zvyčajne poskytuje najlepšiu kontrolu
Spôsob implementácie má vychádzať zo skutočnej schopnosti organizácie vykonať potrebné práce, nie iba z porovnania poradenských sadzieb. Interná realizácia je racionálna vtedy, keď má projekt kompetentného vlastníka, procesy riadenia rizík sú dostatočne vyspelé, inventáre aktív a závislostí zostávajú aktuálne a kľúčoví pracovníci majú čas aj schopnosť interpretovať požiadavky. Rozsiahlejšia externá podpora je opodstatnená pri významnom nedostatku kompetencií, rozptýlenej organizačnej štruktúre, dôležitých technologických závislostiach, krátkom čase na prípravu alebo pri absencii usporiadaného systému riadenia.
Najlepšiu kontrolu nad nákladmi, časom a rizikami zvyčajne poskytuje kombinovaný model. Organizácia si ponecháva zodpovednosť za rozhodnutia, zdrojové údaje, vlastníctvo rizík a vykonanie prevádzkových opatrení. Poradca zodpovedá za diagnostiku, metodiku, vedenie workshopov, analýzy vyžadujúce odborné znalosti a kontrolu kvality výstupov.
V organizácii by mali zostať minimálne tieto zodpovednosti:
- určenie významu procesov a služieb;
- určenie vlastníkov rizík;
- akceptovanie reziduálneho rizika;
- stanovenie investičných priorít;
- potvrdenie, že opatrenia fungujú v praxi.
Vedenie nemôže preniesť zodpovednosť za odolnosť organizácie na dodávateľa.
Spoločnosť s viacerými závodmi môže vlastnými silami zhromaždiť informácie o službách, aktívach, dodávateľoch a dôsledkoch narušení, pretože ich dôveryhodné posúdenie si vyžaduje prevádzkové znalosti. Externý odborník môže následne systematizovať metodiku hodnotenia, preveriť nezrovnalosti, viesť medzifunkčné workshopy a overiť úplnosť dôkazov. O hospodárnosti takéhoto rozdelenia rozhoduje počet a kompetentnosť ľudí, ktorých možno reálne vyčleniť, nie formálne zloženie projektového tímu.
Ponuky treba porovnávať podľa rovnakého rozsahu výstupov a kritérií prevzatia. Referencie dodávateľa je vhodné hodnotiť podľa podobnosti odvetvia, veľkosti, procesov a technologického prostredia, nie iba podľa počtu projektov. Zmluva má jednoznačne definovať výstupy, kritériá prevzatia, povinnosť prispôsobiť riešenia skutočným procesom, odovzdanie znalostí, pravidlá dôvernosti a prístupu k citlivým údajom, zodpovednosť za opravy a rozsah podpory po implementácii. Model odmeňovania by nemal podporovať tvorbu čo najväčšieho počtu dokumentov, ale dosiahnutie dohodnutých a overiteľných výsledkov.
Praktické hranice zodpovednosti vedenia, vlastníkov procesov a podporných funkcií podrobnejšie vysvetľuje materiál NIS2 v manažérskej praxi: ako premietnuť požiadavky do rozhodnutí, zodpovedností a skutočnej odolnosti organizácie.
Rozhodujte podľa dôkazov a schopnosti systém udržiavať
Výberu implementačného modelu má predchádzať stručná organizačná diagnostika. Treba potvrdiť rozsah projektu, určiť jeho vlastníka, posúdiť dostupnosť kompetencií, inventarizovať existujúce dôkazy o fungovaní a odhadnúť najvýznamnejšie medzery. Až potom možno rozhodnúť, ktoré činnosti organizácia vykoná sama a kde zapojenie špecialistu zníži riziko nesprávnej interpretácie, opomenutí alebo opakovania prác.
Rozhodnutie vedenia by malo porovnať tri varianty: realizáciu vlastnými silami, kombinovaný model a rozsiahlejšiu externú podporu. Pri každom treba použiť rovnaké kritériá:
- celkové náklady vrátane práce zamestnancov, opráv a udržiavania;
- čas potrebný na dosiahnutie prevádzkovej spôsobilosti;
- riziko chyby a potreby opakovania prác;
- reálnu dostupnosť kompetencií;
- schopnosť organizácie samostatne udržiavať zavedené riešenia.
Uznesenie alebo rozhodnutie vedenia má určiť zvolený variant, rozdelenie zodpovedností, vlastníka projektu, zdroje, spôsob reportovania, kritériá prevzatia a ukazovatele účinnosti vychádzajúce z procesov organizácie, nie z univerzálnych prahov bez kontextu.
Implementáciu nemožno prevziať podľa počtu vypracovaných politík. Výsledkom musí byť opakovateľné fungovanie: pridelené roly, zdokumentované rozhodnutia o rizikách, zavedené opatrenia, otestované reakcie na narušenia a incidenty, riadenie dodávateľov a dôveryhodné záznamy. Schválený postup reakcie nepotvrdzuje pripravenosť, ak test odhalí neaktuálne kontakty, nejasnú eskalačnú cestu alebo chýbajúcu osobu oprávnenú rozhodnúť.
Kritériá prevzatia majú zahŕňať súlad dokumentácie s praxou, odstránenie dohodnutých medzier, výsledky testov, odovzdanie znalostí a jednoznačný plán ďalšieho zlepšovania vrátane programu interných auditov. Medzi preberacie dôkazy môžu patriť schválenia, registre, výsledky testov, záznamy zo školení, rozhodnutia o rizikách a potvrdenia o vykonaní opatrení. Spôsob prípravy a udržiavania takýchto dôkazov rozoberá materiál Dokumentácia NIS2 a KSC pred kontrolou: ktoré politiky, registre a dôkazy sú skutočne potrebné.
Udržateľnosť riešenia možno posúdiť až po obmedzení účasti poradcu. Vlastníci procesov by potom mali samostatne aktualizovať registre, rozhodovať o rizikách, analyzovať výsledky testov a iniciovať nápravné opatrenia. Ak systém funguje iba vďaka znalostiam dodávateľa, projekt sa neskončil: organizácia dostala dokumentáciu, ale nevybudovala si schopnosť ju udržiavať.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
