Papierowy compliance nie wystarczy. NIS2 i UKSC wymagają realnych działań

Wraz ze zbliżającym się wdrożeniem nowych obowiązków wynikających z dyrektywy NIS2 oraz nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), wiele organizacji staje przed wyzwaniem przejścia od formalnej zgodności do rzeczywistego zarządzania cyberbezpieczeństwem. W najnowszej publikacji zwracamy uwagę na jeden z najczęstszych problemów obserwowanych podczas audytów i kontroli – tzw. „papierowy compliance”.

Samo posiadanie polityk, procedur i regulaminów nie będzie wystarczające do wykazania zgodności z nowymi regulacjami. Organy nadzorcze będą oczekiwały dowodów, że procesy opisane w dokumentacji faktycznie funkcjonują w praktyce. Oznacza to konieczność wykazania m.in. skutecznego zarządzania incydentami, podatnościami, ciągłością działania, dostępami użytkowników czy relacjami z dostawcami ICT.

W artykule pokazujemy również drugi, równie ryzykowny model funkcjonowania organizacji – sytuację, w której istnieją pewne zdolności operacyjne, ale brakuje formalnych procedur, rejestrów i śladów audytowych pozwalających wykazać zgodność z wymaganiami regulacyjnymi. NIS2 i UKSC wymagają połączenia obu elementów: odpowiednio udokumentowanych procesów oraz ich rzeczywistej realizacji.

Publikacja omawia także najczęstsze „czerwone flagi” identyfikowane podczas audytów, takie jak brak rejestru incydentów, nieaktualizowane podatności, nieprzetestowane plany ciągłości działania czy brak dowodów okresowych przeglądów uprawnień. W każdym z tych przypadków kluczowe znaczenie mają dowody realizacji procesów – raporty, logi, wskaźniki, protokoły testów i informacje zarządcze.

To pierwsza publikacja z cyklu poświęconego praktycznemu wdrażaniu wymagań NIS2 i UKSC. W kolejnej części przedstawimy perspektywę audytora oraz omówimy działania, które warto wdrożyć w pierwszej kolejności, aby budować zgodność w sposób efektywny, proporcjonalny i możliwy do obrony podczas kontroli.

Zapraszamy do lektury publikacji Daniela Niwińskiego, prawnika i eksperta ds. cyberbezpieczeństwa w Kancelarii Krzysztof Rożko i Wspólnicy, opublikowanego w serwisie internetowym legalis.pl  oraz w Ius.letter - comiesięcznym podsumowaniu i ocenie najważniejszych zmian legislacyjnych, które publikowane są w serwisie legalis.pl, adresowanym do wszystkich Użytkowników Systemu Legalis.

Kancelaria prawna KRWLegal / LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie dyrektywy NIS 2, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.