Нам сказали, что подпадаем под NIS2 — обязаны ли мы соблюдать директиву в Испании и что нужно делать?

Самый жесткий технический пункт в таких анкетах — сегментация сети и контроль доступа. Если вы поставляете детали или оказываете удалённую поддержку энергокомпании, придется доказать, что производственная сеть изолирована от офисной и от внешних серверов.

Завтра же разбейте опросник на три части: то, что уже сделано; то, что настраивается за пару недель; и то что требует бюджета. Первые два блока заполните и отправьте сразу, а по последнему приложите план-график. В большинстве случаев такого подхода достаточно, чтобы сохранить контракт.

В прошлом месяце наш клиент из сферы логистики в Барселоне прислал нам похожую бумажку. Внешний консультант выставил счет на 12.000 EUR за аудит. Мы сели за стол переговоров с их CISO и выяснили, что им по сути нужны были только базовый тренинг по кибербезопасности для сотрудников и обязательный менеджер паролей; в итоге закрыли вопрос своими силами с бюджетом в 600 EUR.

Даже если по закону вы под требования не попадаете ТЗ корпоративного клиента имеет силу закона: не выполните условия — вылетите с тендера.

В присланном документе просят просто заполнить опросник для самопроверки или требуют отчет независимого стороннего аудитора либо сертификат соответствия Esquema Nacional de Seguridad (ENS)? Эта деталь кардинально меняет ваш бюджет.

В Испании директива NIS2 еще даже толком не имплементирована в национальное законодательство, а крупные компании уже рассылают шаблонные требования всем подряд подрядчикам. Это обычная привычка прикрывать себе зад за счет малого бизнеса, большинство пунктов там вполне можно смягчить.

Вот 3 критических пункта по безопасности, которые нужно закрыть в первую очередь: 1) Обязательная двухфакторка на всех удаленках и почтах, 2) Зашифрованное и физически isolated резервное копирование, 3) Письменный регламент незамедлительного отзыва доступов уволившихся сотрудников подрядчика.

Иногда ужасно вышибает из колеи, когда к нашим цехам на 30-40 человек относятся так, будто мы тут атомную станцию обслуживаем. Но с другой стороны стоит один раз пройти через эти процедуры и это превращается в мощнейшее козырное преимущество перед конкурентами, смотрите на это так.

Полностью согласен. Непроверенная резервная копия — не резервная копия.

Первые три месяца все идет хорошо, проблемы всплывают на четвертом. Если напишете результат здесь, это поможет и другим.

об этом много говорят но у нас так никогда не было. честно любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

проверено опытом.

Очень актуальная тема.

Если углубиться в детали: Большая часть потерь времени копится на задачах ожидающих согласования.

Конечно если ваша ситуация отличается всё меняется.

Здесь описано ровно то, что пережили мы. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Конечно, если ваша ситуация отличается, всё меняется.

Верно. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Если напишете результат здесь, это поможет и другим.

Посмотрю с другой стороны, я на стороне поставщика. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Это мое мнение, не утверждаю, что оно единственно верное.

Посмотрю с другой стороны, я на стороне поставщика. Автоматический отчет о сканировании и пентест — это не одно и то же.

Если напишете результат здесь, это поможет и другим.

У этого подхода есть цена о которой молчат. Люди защищают не процесс, а привычку... Сопротивление идет оттуда.

Оставлю как заметку пригодится.

На это стоит обратить внимание. в общем не стесняйтесь спрашивать молчание всегда обходится дороже.

Я бы пошел этим путем.