NIS2: ответственность руководства и поведение советов директоров

В течение двадцати лет руководители служб безопасности просили советы директоров относиться к кибербезопасности серьёзно, с разными результатами. NIS2 меняет систему стимулов. Статья 20 требует, чтобы органы управления подпадающих под действие организаций утверждали меры управления рисками кибербезопасности, контролировали их внедрение и сами проходили обучение, а также делает их ответственными за нарушения. Для существенных организаций национальные органы в некоторых случаях могут добиваться временного запрета руководителю осуществлять управленческие функции.

Изменит ли это поведение советов? Думаю, изменит, но не автоматически и не всегда так, как ожидают команды безопасности.

Что должно измениться

• Утверждение станет реальным. Совет, который обязан утверждать меры и может нести ответственность за них, имеет причину понимать, что он утверждает.
• Обучение перестанет быть необязательным. Директора должны проходить обучение, достаточное для выявления рисков и оценки практик управления. Многие советы впервые получат общий базовый уровень понимания вопроса.
• Контроль обретёт структуру. Регулярная отчётность о мерах, инцидентах и прогрессе становится юридической обязанностью, а не любезностью.

Что может пойти не так

• Ответственность может породить формальный подход. Советы, обеспокоенные личными рисками, могут требовать доказательств соответствия, а не доказательств безопасности: больше подтверждений, больше бумаг, те же риски.
• Обучение может превратиться в формальность. Часовое ежегодное видео формально выполняет требование к обучению и ничего не меняет.
• Команды безопасности могут чрезмерно полагаться на страх. «Вы можете быть привлечены к ответственности» привлекает внимание один раз. Это не поддерживает программу.

Что советам стоит сделать сейчас

1. Понять, какие меры они утверждают. Статья 21 перечисляет десять направлений; Имплементирующий регламент детализирует их для цифровых провайдеров. Запросите одностраничный обзор того, где организация находится по каждому из них.
2. Запрашивать результаты, а не документы. Как быстро мы могли бы сообщить о значительном инциденте? Когда мы в последний раз восстанавливались из резервной копии? Какие поставщики могут нас остановить?
3. Использовать стандарт, который совет может читать. Функция «Управлять» в NIST CSF 2.0 охватывает именно зону ответственности совета: контекст, стратегию рисков, роли, политику, контроль и цепочку поставок. См. отчётность совету на основе профилей CSF.
4. Сделать обучение содержательным: на основе сценариев, привязанным к бизнесу, с повторением.

Вопросы, которые совет может задать уже завтра

Советам не нужно становиться экспертами по безопасности, чтобы хорошо контролировать её. Им нужно задавать вопросы, на которые нельзя ответить документом:

• Если бы наша самая важная система сегодня ночью была зашифрована программой-вымогателем, сколько времени понадобилось бы, чтобы снова начать работу, и когда мы в последний раз это проверяли?
• Какие три поставщика могут нанести нам наибольший ущерб и что мы знаем об их безопасности?
• Сколько критических уязвимостей открыто в системах, доступных из интернета, и сколько лет самой старой?
• Кто решает, достаточно ли значим инцидент, чтобы сообщить о нём в течение 24 часов, и отрабатывали ли они это?
• Что показал наш последний аудит или оценка и что изменилось с тех пор?

Ответы должны подкрепляться доказательствами: результатами тестов, метриками, датами. Со временем вопросы совета формируют то, что измеряет руководство, а это как раз тот контроль, которого требует статья 20. Анализ разрывов показывает, какие меры NIS2 уже поддерживаются вашим текущим стандартом.

Ключевые выводы

• Статья 20 обязывает советы утверждать, контролировать и проходить обучение по кибербезопасности.
• Ответственность может стимулировать реальный контроль или лишь больше бумажной работы.
• Советам следует запрашивать результаты и доказательства, а не документы.

Возможность

Статья 20 даёт руководителям служб безопасности внимание совета на законодательном уровне. Лучшее её применение — не размахивать пунктом об ответственности, а выносить на совет реальные решения: какой риск он готов принять, что профинансирует и что ожидает увидеть. Это и есть управление. Остальное — бумажная работа.

Общую картину см. в руководстве по NIS2 и в нашей записи о процедуре отчётности по NIS2. Страница стандарта NIS2 сопоставляет каждый пункт Имплементирующего регламента с десятью стандартами.

Вопросы

Что статья 20 NIS2 требует от руководства?

Органы управления существенных и важных организаций должны утверждать меры управления рисками кибербезопасности, контролировать их внедрение, проходить обучение и могут быть привлечены к ответственности за нарушения. Государства-члены также поощряют регулярное обучение и для сотрудников.

Могут ли члены совета директоров нести личную ответственность по NIS2?

NIS2 требует, чтобы государства-члены обеспечивали возможность привлечения руководства к ответственности за нарушения, а для существенных организаций в некоторых случаях допускает временный запрет на исполнение управленческих функций. Как работает ответственность, зависит от национального законодательства.

Какое обучение должны проходить органы управления по NIS2?

Обучение, достаточное для получения знаний и навыков, позволяющих выявлять риски и оценивать практики управления рисками кибербезопасности и их влияние на услуги, которые предоставляет организация. Формат определяется организацией и национальным законодательством.