Od przepisów do listy działań
Dyrektywa NIS2 ustanawia środki zarządzania ryzykiem cyberbezpieczeństwa oraz obowiązki raportowania dla objętych podmiotów. To oznacza, że organizacja nie powinna traktować bezpieczeństwa jako zbioru oddzielnych zadań technicznych, lecz jako uporządkowany proces decydowania, co należy zrobić najpierw i dlaczego. Najprostszy punkt startu to jedna lista działań, która łączy wymagania organizacyjne z realnymi zagrożeniami dla systemów, procesów i usług.
Taka lista nie musi być rozbudowanym rejestrem. W praktyce ma pomagać odpowiedzieć na trzy pytania: co chronimy, przed czym chronimy i które działania przynoszą największą redukcję ryzyka. Właśnie w tym miejscu NIS2 i aktualny krajobraz zagrożeń wzajemnie się uzupełniają.
Dwa źródła priorytetów
Pierwszym źródłem priorytetów są obowiązki wynikające z NIS2. Drugim jest aktualna sytuacja zagrożeń opisana w ENISA Threat Landscape 2025, która przedstawia najważniejsze zagrożenia i trendy w ekosystemie cyberzagrożeń Unii Europejskiej. Połączenie tych dwóch perspektyw pozwala odróżnić działania wymagane przez ramy zarządzania ryzykiem od działań, które stają się pilne dlatego, że dana grupa zagrożeń jest dziś szczególnie istotna.
W praktyce nie chodzi o wybór między zgodnością a bezpieczeństwem. Chodzi o to, by decyzje o aktualizacjach, zabezpieczeniach i zmianach w procesach były oparte na tym samym obrazie sytuacji. Jeśli zasób ma duże znaczenie dla działania organizacji i jednocześnie jest narażony na zagrożenie widoczne w bieżącej ocenie, jego pozycja w kolejce powinna być wyższa.
Prosta metoda oceny ryzyka
Dla każdego systemu, procesu albo zasobu warto zapisać cztery elementy: rozpoznane zagrożenie, możliwy wpływ, obecne zabezpieczenia oraz proponowane działanie. Taki zapis nie wymaga złożonego modelu punktowego. Wystarczy konsekwencja i porównywalność, aby można było zestawiać ze sobą różne sprawy według tych samych kryteriów.
Priorytet można nadawać na podstawie znaczenia zasobu, prawdopodobnego wpływu zagrożenia oraz wielkości luki między stanem obecnym a stanem pożądanym. Jeśli aktualizacja lub zabezpieczenie wyraźnie redukuje ryzyko dla ważnego zasobu, trafia wyżej niż zmiana o mniejszym znaczeniu operacyjnym. W ten sposób lista działań staje się narzędziem zarządzania, a nie jedynie spisem technicznych zadań.
Praktyczna lista kroków
Najlepiej działa prosty, powtarzalny schemat. Zamiast tworzyć oddzielne tabele dla prawa, bezpieczeństwa i utrzymania, można połączyć je w jeden roboczy rejestr. Każdy wpis powinien pokazywać, dlaczego dane działanie istnieje i jaki efekt ma przynieść.
- Wypisz najważniejsze zasoby, usługi i procesy, które mają znaczenie dla działania organizacji.
- Do każdego wpisu dopisz główne zagrożenie oraz obecny stan zabezpieczeń.
- Oceń wpływ, jeśli zagrożenie się zmaterializuje, i określ lukę do zamknięcia.
- Przypisz planowane działanie, właściciela i termin przeglądu.
- Ustal kolejność według znaczenia zasobu i siły redukcji ryzyka.
Jak ustalać kolejność aktualizacji
Sam fakt istnienia aktualizacji nie przesądza jeszcze o jej pozycji na liście. Wyżej powinny trafiać te zmiany, które dotyczą zasobów kluczowych dla działania organizacji i odpowiadają na zagrożenia uznane za istotne w aktualnej ocenie. Taki sposób myślenia pomaga uniknąć sytuacji, w której wdraża się najłatwiejsze poprawki zamiast najważniejszych.
Dobrym nawykiem jest łączenie każdej aktualizacji z konkretnym powodem: ograniczeniem określonego ryzyka, spełnieniem wymogu organizacyjnego albo zamknięciem znanej luki. Dzięki temu zespół nie tylko wykonuje zadania, ale też potrafi wyjaśnić, dlaczego akurat te zadania znalazły się na szczycie listy.
Cykl przeglądu i wnioski
Priorytety nie są stałe. Należy je ponownie oceniać po zmianie krajobrazu zagrożeń, po zmianie znaczenia zasobu albo po wdrożeniu zabezpieczenia. ENISA Threat Landscape 2025 może służyć jako punkt odniesienia do aktualizacji obrazu zagrożeń, a NIS2 wyznacza ramę zarządzania ryzykiem i raportowania dla objętych podmiotów.
Najważniejszy wniosek jest prosty: zgodność z NIS2 i bieżąca priorytetyzacja ryzyka powinny korzystać z jednej listy działań. Taki model ułatwia planowanie, porządkuje aktualizacje i pomaga podejmować decyzje w oparciu o wpływ na ryzyko, a nie wyłącznie o dostępność czasu lub narzędzi.