Tanggung jawab manajemen NIS2: akankah cara dewan bertindak berubah?

Selama dua puluh tahun, para pemimpin keamanan telah meminta dewan untuk menanggapi keamanan siber dengan serius, dengan hasil yang beragam. NIS2 mengubah struktur insentif. Pasal 20 mewajibkan badan manajemen entitas dalam cakupan untuk menyetujui langkah-langkah manajemen risiko keamanan siber, mengawasi penerapannya, dan mengikuti pelatihan sendiri, serta menjadikan mereka bertanggung jawab atas pelanggaran. Untuk entitas esensial, otoritas nasional dalam keadaan tertentu dapat meminta larangan sementara bagi seorang manajer untuk menjalankan fungsi manajemen.

Apakah itu akan mengubah cara dewan bertindak? Menurut saya ya, tetapi tidak otomatis, dan tidak selalu dengan cara yang diharapkan tim keamanan.

Apa yang seharusnya berubah

• Persetujuan menjadi nyata. Dewan yang wajib menyetujui langkah-langkah tersebut, dan dapat dimintai pertanggungjawaban atasnya, memiliki alasan untuk memahami apa yang mereka setujui.
• Pelatihan tidak lagi bersifat opsional. Direksi wajib mengikuti pelatihan yang memadai untuk mengidentifikasi risiko dan menilai praktik manajemen. Banyak dewan untuk pertama kalinya akan memiliki pemahaman dasar yang sama.
• Pengawasan memperoleh struktur. Pelaporan rutin mengenai langkah-langkah, insiden, dan kemajuan menjadi kewajiban hukum, bukan sekadar kebaikan hati.

Apa yang mungkin salah

• Tanggung jawab dapat mendorong sekadar centang kotak. Dewan yang khawatir akan risiko pribadi mungkin menuntut bukti kepatuhan, bukan bukti keamanan: lebih banyak pernyataan tertulis, lebih banyak dokumen, dan risiko yang sama.
• Pelatihan dapat menjadi formalitas. Video satu jam setiap tahun memenuhi bunyi persyaratan pelatihan tetapi tidak mengubah apa pun.
• Tim keamanan dapat terlalu bergantung pada rasa takut. "Anda bisa dimintai pertanggungjawaban" menarik perhatian sekali. Itu tidak menopang sebuah program.

Apa yang harus dilakukan dewan sekarang

1. Pahami langkah-langkah mana yang mereka setujui. Pasal 21 mencantumkan sepuluh bidang; Peraturan Pelaksanaan merincinya untuk penyedia digital. Mintalah gambaran satu halaman tentang posisi organisasi pada setiap bidang.
2. Mintalah hasil, bukan dokumen. Seberapa cepat kami dapat melaporkan insiden signifikan? Kapan terakhir kali kami memulihkan data dari cadangan? Pemasok mana yang dapat melumpuhkan kami?
3. Gunakan kerangka kerja yang dapat dipahami dewan. Fungsi Govern dari NIST CSF 2.0 mencakup wilayah dewan secara tepat: konteks, strategi risiko, peran, kebijakan, pengawasan, dan rantai pasok. Lihat pelaporan kepada dewan dengan profil CSF.
4. Jadikan pelatihan substantif: berbasis skenario, spesifik untuk bisnis, dan diulang.

Pertanyaan yang dapat diajukan dewan besok

Dewan tidak perlu menjadi pakar keamanan untuk mengawasi keamanan dengan baik. Yang mereka perlukan adalah pertanyaan yang tidak bisa dijawab dengan sebuah dokumen:

• Jika sistem paling penting kita dienkripsi oleh ransomware malam ini, berapa lama sampai kita bisa beroperasi kembali, dan kapan terakhir kali kita menguji hal itu?
• Tiga pemasok mana yang dapat paling merugikan kita, dan apa yang kita ketahui tentang keamanan mereka?
• Berapa banyak kerentanan kritis yang terbuka pada sistem yang menghadap internet, dan seberapa tua yang paling lama?
• Siapa yang memutuskan apakah suatu insiden cukup signifikan untuk dilaporkan dalam 24 jam, dan apakah mereka sudah pernah mempraktikkannya?
• Apa yang ditemukan audit atau penilaian terakhir kita, dan apa yang telah berubah sejak itu?

Jawaban harus disertai bukti: hasil pengujian, metrik, dan tanggal. Seiring waktu, pertanyaan dewan membentuk apa yang diukur manajemen, dan inilah pengawasan yang diminta Pasal 20. Analisis kesenjangan menunjukkan langkah-langkah NIS2 mana yang sudah didukung oleh kerangka kerja Anda saat ini.

Poin utama

• Pasal 20 mewajibkan dewan menyetujui, mengawasi, dan mengikuti pelatihan keamanan siber.
• Tanggung jawab dapat mendorong pengawasan yang nyata atau justru lebih banyak dokumen.
• Dewan sebaiknya meminta hasil dan bukti, bukan dokumen.

Peluangnya

Pasal 20 memberi para pemimpin keamanan perhatian dewan berdasarkan undang-undang. Cara terbaik memanfaatkannya bukanlah dengan mengacungkan klausul tanggung jawab, melainkan membawa keputusan nyata kepada dewan: risiko apa yang bersedia mereka terima, apa yang akan mereka danai, dan apa yang mereka harapkan untuk dilihat. Itulah tata kelola. Selebihnya hanyalah dokumen.

Untuk gambaran yang lebih luas, lihat panduan NIS2 dan postingan prosedur pelaporan NIS2 kami. Halaman kerangka kerja NIS2 memetakan setiap poin Peraturan Pelaksanaan ke sepuluh kerangka kerja.

Pertanyaan

Apa yang diwajibkan Pasal 20 NIS2 kepada manajemen?

Badan manajemen entitas esensial dan entitas penting wajib menyetujui langkah-langkah manajemen risiko keamanan siber, mengawasi penerapannya, mengikuti pelatihan, dan dapat dimintai pertanggungjawaban atas pelanggaran. Negara anggota juga mendorong pelatihan rutin bagi staf.

Dapatkah anggota dewan secara pribadi bertanggung jawab berdasarkan NIS2?

NIS2 mewajibkan negara anggota memastikan manajemen dapat dimintai pertanggungjawaban atas pelanggaran, dan untuk entitas esensial memungkinkan larangan sementara dari fungsi manajemen dalam kasus tertentu. Cara tanggung jawab berlaku bergantung pada hukum nasional.

Pelatihan apa yang harus diikuti badan manajemen NIS2?

Pelatihan yang memadai untuk memperoleh pengetahuan dan keterampilan guna mengidentifikasi risiko serta menilai praktik manajemen risiko keamanan siber dan dampaknya terhadap layanan yang diberikan entitas. Formatnya diserahkan kepada entitas dan hukum nasional.