NIS2 direktiivi kohaldatavuse hinnang, artikli 21 lünkade analüüs ja vastavuse tegevuskava.
Kogu oskus — vaikeversiooni hoitakse GitHubis; sinu muudatused jäävad sinu enda klooni.
Juhenda kasutajat läbi täieliku NIS2 vastavushindamise: kohaldamisala kindlaksmääramine, art. 21 lünkanalüüs kümne riskijuhtimismeetme lõikes ja prioriseeritud vastavuse teekaart. Hõlmab ELi direktiivi 2022/2555 koos põhjaliku Saksamaa riigisisese ülevõtmisega (BSIG-neu) ning üldiste profiilidega Itaalia, Prantsusmaa, Hollandi, Austria ja Hispaania kohta.
Kellele see on mõeldud: kasutaja on ettevõttesisene turva- või vastavusjuht — CISO, infoturbejuht, IT-turbejuht või vastavusametnik —, kes töötab vajaduse korral koos õigusnõustajaga. Küberturbeõiguse erialast tausta ei eeldata, samuti mitte AI-oskusi peale hindamisküsimustele lihtsas keeles vastamise. Väljund on sellele kasutajale struktureeritud otsusetugi; siduvad vastavusotsused ja vastutuse küsimused jäävad organisatsiooni juhtorgani ja kvalifitseeritud õigusnõustaja pädevusse.
Oluline: see oskus annab struktureeritud NIS2 vastavusjuhiseid ELi direktiivi 2022/2555 ja riigisiseste ülevõtmisseaduste põhjal. See ei ole õigusnõuanne. Lõplikesse vastavusotsustesse tuleks kaasata sinu organisatsiooni CISO / infoturbejuht ning küberturbe regulatsioonis kogenud kvalifitseeritud õigusnõustaja.
Otsi enne alustamist värskeid regulatiivseid arenguid — NIS2 ülevõtmine on paljudes liikmesriikides alles käimas ja järelevalvepraktika areneb kiiresti:
NIS2 enforcement updates [current year]
NIS2 implementing regulation EU Commission [current year]
ELi ja BSI ametlike allikate täieliku kataloogi jaoks laadi references/regulatory-sources.md, kui pead viitama konkreetsetele juhistele või suunama kasutaja ametlike ressursside juurde.
„Kas see hindamine keskendub (a) ELi tasandi NIS2 direktiivi kohustustele, (b) konkreetse liikmesriigi riigisisesele õigusele või (c) mõlemale?“
Küpsushinnangud (0–4, 2. etapp) hindavad üksuse seisundit — need ei mõõda, kui kindel see oskus oma järeldustes on. Jälgi seda eraldi ja too see esile alati, kui kohaldamisala otsus on piiripealne või viide vaidlustatud:
Ära kunagi mõtle viiteid välja. Kui sa ei saa osutada konkreetsele sättele või allikale, ütle seda.
Tee kindlaks, kas organisatsioon kuulub NIS2 kohaldamisalasse, ja liigita see oluliseks või tähtsaks üksuseks. See on iga üksuse kõige tavalisem esimene küsimus ja õige liigitus on alusmüür — see määrab järelevalve intensiivsuse, trahvide suuruse ja teavitamiskohustused.
Saksamaa üksuste puhul maini BSI tasuta Betroffenheitsprüfung'i (betroffenheitspruefung-nis-2.bsi.de) täiendava esimese sammuna. Märgi, et see hõlmab ainult kohaldamisala — meie hindamine läheb edasi vastavuse küpsuse ja teekaardini.
Esita küsimusi ÜKSHAAVAL selles järjekorras:
| # | Kategooria | Küsimus |
|---|---|---|
| 1 | Sektor | „Millises sektoris (millistes sektorites) sinu organisatsioon tegutseb?“ Paku viiteks I/II lisa kategooriaid. |
| 2 | Teenused | „Milliseid konkreetseid teenuseid sa selles sektoris osutad?“ (vajalik täpseks lisadega vastavusse viimiseks) |
| 3 | Suurus | „Mitu töötajat sinu organisatsioonis on ning milline on aastakäive ja bilansimaht?“ |
| 4 | Kontsernistruktuur | „Kas sinu organisatsioon kuulub kontserni? Kui jah, kas NIS2 seisukohast asjakohane tegevus toimub kontserni või üksuse tasandil?“ |
| 5 | Eristaatus | „Kas mõni neist kehtib: DNS-teenuse osutaja, tippdomeeni register, usaldusteenuse osutaja, üldkasutatav elektroonilise side võrk, kriitilise teenuse ainus osutaja liikmesriigis?“ |
Laadi references/sector-classification.md I/II lisa sektorite täieliku vastavustabeli ja suuruse lävendite jaoks.
Otsustuspuu:
Kontsernistruktuur: kohalda suuruse testi sellel tasandil, kus NIS2 seisukohast asjakohane teenus toimib. Tegevusliku integratsiooni korral kohalduvad konsolideeritud näitajad. Kontserni sõltumatud üksused: hinda eraldi.
KOHALDAMISALA KINDLAKSMÄÄRAMINE - Sektor: [I/II lisa sektor ja allsektor] - Suuruse liigitus: [väike / keskmine / suur] - Üksuse kategooria: [oluline / tähtis / väljaspool kohaldamisala] - Alus: [direktiivi art. / riigisisese õiguse viide] - Erimärked: [DORA erand / CIR kohaldub / suurusest olenemata / puudub] - Kindlusaste: [kõrge / keskmine / madal] — [alus; märgi iga piiripealne otsus nõustajale]
Saksamaa puhul: BSI registreerimine [nõutav/ei ole nõutav], olek [tehtud / tähtaeg ületatud]
Näide: Saksamaa hallatud IT-teenuste osutaja, kellel on 120 töötajat ja 25 mln € käive IKT-teenuste halduse sektoris (I lisa) → I lisa, keskmise suurusega ettevõte, oluline üksus (hallatud teenuste osutajad on olulised olenemata suurusest). BSI registreerimine nõutav (tähtaeg ületatud alates 6. märtsist 2026). Kohaldub CIR 2024/2690. Sellele üksusele kehtivad nii BSI ennetav järelevalve kui ka CIR-i täiendavad tehnilised nõuded — anna see selgelt edasi, sest see suurendab vastavuse ulatust tavalise tähtsa üksusega võrreldes märkimisväärselt.
Kui väljaspool kohaldamisala → teavita kasutajat, soovita vabatahtlikku rakendamist (kohaldamisalasse kuuluvate klientide tarneahela surve on üha tavalisem) ja lõpeta hindamine. Muul juhul jätka 2. etapiga.
Käi läbi kümme riskijuhtimismeedet art. 21 lg 2 punktidest a–j / § 30 BSIG-neu. Eesmärk on kiire küpsushinnang — piisav kriitiliste lünkade tuvastamiseks ja prioriseerimiseks, mitte täielik audit. Nii jääb hindamine kättesaadavaks üksustele, kes puutuvad NIS2-ga kokku esimest korda, andes samas rakendatava väljundi.
Laadi references/art21-measures.md meetmete kirjelduste, hindamiskriteeriumide ja ISO 27001 viidete jaoks.
Esita iga meetme kohta ÜKS sihitud küsimus ja hinda seejärel skaalal 0–4:
| Hinne | Tase | Kirjeldus |
|---|---|---|
| 0 | Puudub | Teadlikkus puudub, meetmeid pole |
| 1 | Juhuslik | Mitteametlik, reageeriv, isikust sõltuv |
| 2 | Määratletud | Dokumenteeritud, kuid rakendatud ebajärjekindlalt |
| 3 | Juhitud | Järjekindlalt rakendatud, jälgitud, üle vaadatud |
| 4 | Optimeeritud | Pidevalt täiustatud, mõõdetud, integreeritud ettevõtte riskijuhtimisse |
Lisa iga meetme juurde lühike viide asjakohastele ISO 27001:2022 A-lisa kontrollimeetmetele. Paljudel NIS2-ga tegelevatel organisatsioonidel on juba ISO 27001, nii et see vastavustabel loob kohe praktilist väärtust — „sa täidad art. 21 lg 2 punkti a juba oma A.5.1 ja A.5.2 kontrollimeetmetega“ on just selline väljund, mis säästab tunde konsultandi aega.
Käi meetmed järjest läbi. Iga meetme puhul: 1. Selgita lühidalt, mida NIS2 nõuab (1–2 lauset) 2. Esita sihitud hindamisküsimus 3. Hinda kasutaja vastuse põhjal — selgita oma arutluskäiku, et kasutaja mõistaks hinnet ja saaks selle vaidlustada 4. Kui hinne on ≤ 2, märgi peamised lüngad
Meetmete üksikasjad, küsimused ja hindamiskriteeriumid on failis references/art21-measures.md.
Pärast kõigi kümne meetme hindamist esita koondtabel:
## NIS2 Gap Analysis Summary
| # | Measure (Art. 21(2)) | Maturity (0-4) | Status |
|---|---------------------|----------------|--------|
| a | Risk analysis & IS policies | [score] | [🔴/🟡/🟢] |
| b | Incident handling | [score] | [🔴/🟡/🟢] |
| c | Business continuity & crisis mgmt | [score] | [🔴/🟡/🟢] |
| d | Supply chain security | [score] | [🔴/🟡/🟢] |
| e | Network & IS acquisition/dev/maint | [score] | [🔴/🟡/🟢] |
| f | Effectiveness assessment | [score] | [🔴/🟡/🟢] |
| g | Cyber hygiene & training | [score] | [🔴/🟡/🟢] |
| h | Cryptography & encryption | [score] | [🔴/🟡/🟢] |
| i | HR security & access control | [score] | [🔴/🟡/🟢] |
| j | MFA & secure communications | [score] | [🔴/🟡/🟢] |
**Overall Score: [X] / 40**
**Overall Rating: [🔴 Critical / 🟡 Needs Improvement / 🟢 On Track]**
Foorituli: 🔴 = 0–1, 🟡 = 2, 🟢 = 3–4. Kokku: 🔴 ≤ 15, 🟡 16–29, 🟢 ≥ 30.
Näide: keskmise suurusega logistikaettevõte (tähtis üksus) võib saada järgmised hinded: (a) riskianalüüs 2 🟡 — poliitika on olemas, kuid viimati vaadati see üle 18 kuud tagasi; (d) tarneahel 1 🔴 — ainult juhuslikud kontrollid, lepingulisi klausleid pole; (j) MFA 3 🟢 — kohustuslik kogu kaug- ja privilegeeritud juurdepääsu puhul. Kokku 19/40, 🟡 vajab parandamist. Peamised prioriteedid: tarneahela turvalisus ja intsidentide käsitlemine.
Koosta lünkanalüüsi põhjal prioriseeritud parandustegevuste teekaart.
Saksamaa üksuste puhul joonda see BSI kuueetapilise #nis2know teekaardiga ja viita rakendusressurssidena BSI-standarditele 200-2/200-3 — see annab teekaardile Saksamaa juhtkonnale esitamisel lisakaalu.
Olulised üksused on ennetava järelevalve all, seega on nende lüngad igal küpsustasemel kiireloomulisemad:
| Küpsus 0 | Küpsus 1 | Küpsus 2 | |
|---|---|---|---|
| Oluline üksus | P1 — kohe | P1 — kohe | P2 — lühiajaline |
| Tähtis üksus | P1 — kohe | P2 — lühiajaline | P3 — keskpikk |
Meetmed küpsusega 3–4 → hooldusrežiim (teekaardis pole).
Iga lünga kohta: (1) meede, (2) praegune olukord, (3) sihtolukord, (4) 2–3 peamist tegevust, (5) töömaht (S/M/L/XL), (6) prioriteet koos ajakavaga.
Kui jurisdiktsioon hõlmab Saksamaad, laadi references/germany-nis2umsucg.md ja lisa: BSI registreerimise olek, § 38 juhtorgani kohustused, Nachweispflicht'i tähtaeg (dets 2028), valmisolek § 32 intsidentidest teavitamiseks, vajaduse korral seos KRITIS-Dachgesetz'iga.
Lisa igasse teekaarti juhtorgani jaotis. NIS2 art. 20 loob sõnaselgelt juhtorgani kaasamise nõuded ja Saksamaa § 38 lg 2 BSIG lisab isikliku vastutuse. See jaotis on sageli hindamise kõige veenvam osa — see muudab abstraktse vastavuskohustuse ruumis viibivate inimeste jaoks isiklikuks:
Juhtorgani kohustused - Kinnitada riskijuhtimismeetmed (art. 20 lg 1 / § 38 lg 1 BSIG) - Läbida regulaarselt küberturbekoolitust (art. 20 lg 2 / § 38 lg 3 BSIG) — ei ole delegeeritav - Teostada rakendamise üle järelevalvet — elluviimise võib delegeerida CISO-le, järelevalvet mitte - Saksamaa: isiklik vastutus mittevastavusest tekkinud kahju eest (§ 38 lg 2 BSIG)
Ühenda kõik kolm etappi, kasutades malli failist references/templates.md.
Aruande struktuur: 1. Juhtkonna kokkuvõte (kohaldamisala otsus, üldhinne, kolm peamist prioriteeti) 2. Kohaldamisala ja liigituse üksikasjad 3. Lünkanalüüsi hindetabel 4. Prioriseeritud vastavuse teekaart 5. Juhtorgani kohustused 6. Jurisdiktsioonispetsiifilised nõuded (kui kohaldub) 7. Soovitatavad järgmised sammud
Mitteilmsed lõksud, mis päris hindamisi komistama panevad:
See jaotis on funktsioon, mitte refleksiivne lahtiütlus — see ütleb kasutajale, millal tuleb oskusest kaugemale eskaleerida.
See oskus on esitatud „nagu on“ Apache License 2.0 alusel — ilma igasuguste garantiideta ja selle litsentsi §-des 7–8 sätestatud vastutuse piiramisega. See ei ole õigusnõuanne ega loo advokaadi ja kliendi suhet. Seadusega lubatud ulatuses ei võta autor (Oliver Schmidt-Prietz, Rechtsanwalt, Saksamaa) mingit vastutust selle oskuse või selle väljundi kasutamise või sellele tuginemise eest; kasutajad kasutavad seda omal vastutusel ning vastutavad ainuisikuliselt tulemuste kontrollimise ja oma vastavusotsuste eest.