Zgodność
Zgodność z regulacjami jako efekt dobrego programu bezpieczeństwa
Regulacje się zmieniają i nakładają na siebie, ale pytają o to samo: czy znasz swoje ryzyko, czy panujesz nad dostawcami, czy umiesz zareagować na incydent. Dlatego nie sprzedajemy zgodności z jedną regulacją. Budujemy program cyberbezpieczeństwa, z którego zgodność wynika.
Nasze podejście
- Najpierw bezpieczeństwo, potem dowody. Dokumenty opisują to, co organizacja naprawdę robi.
- Jeden program, wiele regulacji. Analizę ryzyka, obsługę incydentów i nadzór nad dostawcami budujemy raz, a nie osobno dla każdego aktu.
- Proporcjonalnie do skali. Zabezpieczenia dobieramy do ryzyka i wielkości organizacji.
- Także bez obowiązku prawnego. Pomagamy organizacjom, które żadnej z tych regulacji nie podlegają, ale chcą działać bezpiecznie albo wymagają tego od nich kontrahenci.
Co jest wspólne
| Element programu | NIS2 i KSC | RODO | CRA | DORA |
|---|---|---|---|---|
| Analiza ryzyka | Zarządzanie ryzykiem w systemie informacyjnym | Ocena ryzyka i dobór zabezpieczeń (art. 32) | Ocena ryzyka cyberbezpieczeństwa produktu | Ramy zarządzania ryzykiem ICT |
| Incydenty i zgłoszenia | Zgłoszenia w terminach 24 i 72 godzin oraz raport końcowy | Zgłoszenie naruszenia w 72 godziny (art. 33) | Zgłaszanie wykorzystywanych podatności i poważnych incydentów, wczesne ostrzeżenie w 24 godziny | Zgłaszanie poważnych incydentów związanych z ICT |
| Dostawcy | Bezpieczeństwo łańcucha dostaw | Podmioty przetwarzające (art. 28) | Komponenty i dostawcy produktu | Zewnętrzni dostawcy usług ICT, wymagania umowne |
| Odpowiedzialność kierownictwa | Obowiązki i szkolenie kierownika podmiotu | Rozliczalność administratora | Obowiązki producenta | Odpowiedzialność organu zarządzającego |
NIS2 i KSC
Dotyczy podmiotów kluczowych i ważnych, które mają czas na realizację obowiązków do 3 kwietnia 2027 r. Zaczynamy od przeglądu gotowości ze sprawdzeniem statusu w wykazie KSC, wdrażamy wymagania w modułach i utrzymujemy system w ramach stałego wsparcia. Szkolimy też kierownictwo. Więcej w naszych artykułach.
RODO
Zajmujemy się stykiem ochrony danych i cyberbezpieczeństwa: zabezpieczeniami technicznymi i organizacyjnymi, oceną ryzyka, obsługą naruszeń oraz bezpieczeństwem u podmiotów przetwarzających. Nie pełnimy funkcji inspektora ochrony danych, pracujemy obok Twojego IOD lub kancelarii.
CRA
Cyber Resilience Act dotyczy produktów z elementami cyfrowymi. Obowiązek zgłaszania stosuje się od 11 września 2026 r., większość pozostałych obowiązków od 11 grudnia 2027 r. Oceniamy dostawców i ich produkty pod kątem CRA po stronie kupującego. Wspieramy też producentów w przygotowaniu do wymagań CRA: produktów domyślnych, dla których zgodność wykazuje się w trybie samooceny, oraz produktów ważnych klasy I, gdy producent stosuje normy zharmonizowane. Nie prowadzimy certyfikacji. Zobacz naszą analizę wpływu CRA na łańcuch dostaw ochrony zdrowia.
DORA
Rozporządzenie o operacyjnej odporności cyfrowej sektora finansowego jest stosowane od 17 stycznia 2025 r. Dotyczy podmiotów finansowych i pośrednio ich dostawców usług ICT. Wspieramy podmioty finansowe, zwłaszcza mniejsze, w zarządzaniu ryzykiem ICT i ryzykiem dostawców. Pomagamy też dostawcom ICT spełnić wymagania, które podmioty finansowe przenoszą na nich w umowach.
Od czego zacząć
Od przeglądu gotowości. W 2,5 dnia ustalamy, które regulacje Cię dotyczą, co już działa i czego brakuje. Wynikiem jest jedna lista luk i jeden plan na 90 dni, a nie osobny projekt na każdą regulację.
Częste pytania
Nie zawsze. Można mieć komplet dokumentów i nie umieć zareagować na incydent. Dlatego zaczynamy od stanu faktycznego, a zgodność traktujemy jako efekt.
Nie. Wspólne elementy, takie jak analiza ryzyka, obsługa incydentów i nadzór nad dostawcami, budujemy raz.
Tak. Zakres ustalamy w przeglądzie gotowości i budujemy go tak, żeby kolejne wymagania nie oznaczały zaczynania od zera.
Tak. Pomagamy budować bezpieczeństwo proporcjonalne do skali także wtedy, gdy nie wymaga tego prawo.
Nie. W RODO zajmujemy się stykiem ochrony danych i cyberbezpieczeństwa.
Porozmawiajmy o bezpieczeństwie Twojej organizacji
Nie musisz być gotowy na wielki projekt. Wystarczy rozmowa o tym, gdzie jesteś i czego wymaga od Ciebie prawo. Pomożemy Ci zaplanować realne, wykonalne kroki.
- contact@isconsulting.pl
- Adres
- ul. Żelazna 51/53, 00-841 Warszawa