A legtöbb szervezet 2023-ban és 2024-ben azzal foglalkozott, hogy biztonsági kontrolljait megfeleltesse az irányelv szövegében szereplő követelményeknek. Akkor ez volt a helyes megközelítés. A probléma az, hogy a hatósági ellenőrzések során nem a kontrollok megfeleltetési táblázata számít, hanem az, hogy a szervezet mit tud ténylegesen bizonyítani annak az országnak a hatósága előtt, ahol a felügyeletet végzik.
A NIS2 Enforcement Readiness Tracker azért készült, hogy világos képet adjon a biztonsági és megfelelőségi csapatoknak arról, mely országokban aktív már a végrehajtás, hol van kialakulóban a hatósági gyakorlat, és hol várat még magára.
A nyomonkövetési eszköz országonként és illetékes hatóságonként mutatja be a helyzetet, a nyilvánosan ismert végrehajtási tevékenységet és az adott ország gyakorlati kockázati besorolását.
A végrehajtási környezet nem minden országban azonos
Németországban a BSI megkezdte az aktív NIS2-felügyeletet. Belgiumban a CCB már korán áttért az aktív végrehajtásra. Franciaországban az ANSSI a kritikus infrastruktúrákon túlra is kiterjesztette hatáskörét.
Lengyelországban, Svédországban és Csehországban a végrehajtás korai szakasza zajlik, és a felügyeleti tevékenység már megkezdődött. Spanyolországban ugyanakkor még folyamatban van az irányelv nemzeti jogba történő teljes átültetése.
Egy olyan CISO-nak, aki e három ország közül több területen is felelős a működésért, egyszerre több eltérő végrehajtási környezethez kell alkalmazkodnia. A kockázat nem egységes, ezért a prioritások sem lehetnek mindenhol azonosak.
Mit mutatnak a végrehajtás első tapasztalatai?
A végrehajtás korai szakaszában indított intézkedésekből következetes minta rajzolódik ki. A hatóságok figyelmét felkeltő hiányosságok elsősorban nem technikai biztonsági hibák, hanem dokumentációs mulasztások voltak.
Ilyen problémát jelentettek például:
- a 23. cikkben meghatározott határidőn túl benyújtott incidensbejelentések;
- a gyakorlatban már alkalmazott, de ellenőrizhető formában nem dokumentált kockázatkezelési intézkedések;
- a teljes egészében az igazgatósági szint alá delegált irányítás, amelyről nem maradt igazolható dokumentáció.
A végrehajtás korai szakaszában eddig nem az észlelési képesség állt a hatósági tevékenység elsődleges középpontjában.
A hangsúly a dokumentáción, az incidensbejelentési felkészültségen és a bizonyítható szervezeti irányításon volt.
A NIS2 Enforcement Readiness Tracker nyolc európai uniós tagállamot fed le, és mindegyiknél bemutatja az átültetés állapotát, a nyilvánosan ismert végrehajtási tevékenységet és a gyakorlati kockázati besorolást. Az eszköz egy több országot lefedő munkalapot is tartalmaz, amellyel a szervezetek feltérképezhetik saját, több joghatóságra kiterjedő kitettségüket.
