Lühidalt
NIS2 kontrollnimekiri katab direktiivi artikli 21 kümme miinimumnõuet. Iga meetme juures on kirjas, mida auditeerija tõendina küsib, milline on kiire võit ja milline on tüüpiline puudujääk. Nimekiri aitab seisu kaardistada ja tegevuskava järjestada, kuid ei asenda sõltumatut auditit ega hinda meetmete tegelikku toimimist.
Kasuta seda juhatuse või turvajuhi töövahendina: märgi tehtud punktid, vaata edenemist ja vali järgmised sammud. Edenemine salvestub ainult sinu brauseris.
Pole kindel, kas NIS2 üldse kohaldub? Tee nelja küsimusega enesekontroll.
Laadi kontrollnimekiri PDF-ina · Intsidendist teatamise juhend
Kümme meedet
Nõue: dokumenteeritud riskianalüüs, kinnitatud turvapoliitika ja ülevaade kriitilistest infovaradest.
Auditeerija küsib: riskiregistrit omanikega, poliitika versiooni ja kinnitamise minutit, infovarade loetelu.
Kiire võit: kirjuta üles kümme kriitilisemat infovara ja viis suurimat riski koos vastutajaga.
Tüüpiline puudujääk: poliitika on olemas, kuid sellel puudub omanik ja regulaarne ülevaatus.
Nõue: tuvastamise, käsitlemise, eskaleerimise ja teatamise kord koos rollidega.
Auditeerija küsib: intsidendiplaani, kontaktide nimekirja, viimase õppuse tulemusi ja teatamise malli.
Kiire võit: üheleheküljeline tegevusplaan koos ööpäevaringse kontaktiga.
Tüüpiline puudujääk: plaan on kirjutatud, kuid seda pole kordagi läbi harjutatud.
Nõue: toimepidevusplaan, ajakohased varukoopiad ja taastamise harjutamine.
Auditeerija küsib: varunduse taastetesti logi, taastamisaega (RTO), andmekao piiri (RPO) ja kriisiside plaani.
Kiire võit: taasta selle nädala jooksul üks kriitiline süsteem varukoopiast ja mõõda kulunud aeg.
Tüüpiline puudujääk: varundus on olemas, kuid taastamist pole kunagi testitud.
Nõue: teadlikkus tarnijatest, kriitiliste tarnijate turvanõuded ja nende hindamine.
Auditeerija küsib: tarnijate loetelu kriitilisusega, lepingute turvatingimusi ja ülevaatuse märkmeid.
Kiire võit: märgi kümme kriitilisemat tarnijat ja nende ligipääsud sinu süsteemidele.
Tüüpiline puudujääk: lepingutes puuduvad turvanõuded ja intsidendist teatamise kohustus.
Nõue: turvanõuded hankimisel, turvaline arendus ja haavatavuste haldamise kord.
Auditeerija küsib: arendustöö kontrollnimekirja, sõltuvuste skaneerimise aruandeid ja parandamise tähtaegu.
Kiire võit: lülita sisse sõltuvuste turbeteated ja pane kriitiliste haavatavuste parandamise tähtajaks seitse päeva.
Tüüpiline puudujääk: haavatavusi skaneeritakse, kuid puudub tähtaeg ja vastutaja.
Nõue: regulaarne testimine ja ülevaatus, mis näitab, kas meetmed päriselt toimivad.
Auditeerija küsib: testiraporteid, paranduste jälgimist ja juhtkonna ülevaatuse märkmeid.
Kiire võit: lepi kokku üks läbistustest või lauaõppus ja seo leiud parandusplaaniga.
Tüüpiline puudujääk: test on tehtud, kuid leiud jäävad jälgimata.
Nõue: krüpteerimise kasutamise põhimõtted, võtmete haldus ja sertifikaatide jälgimine.
Auditeerija küsib: TLS-i seadistust, võtmete loetelu ja sertifikaatide aegumise jälgimist.
Kiire võit: koosta sertifikaatide ja saladuste loetelu koos aegumiskuupäevadega.
Tüüpiline puudujääk: võtmed ja paroolid on koodirepos või jagatud tabelis.
Nõue: vähimate õiguste põhimõte, ligipääsude ülevaatus ja mitmefaktoriline autentimine.
Auditeerija küsib: õiguste maatriksit, töölt lahkumise protseduuri ja MFA kohaldamise tõendit.
Kiire võit: kehtesta MFA e-postile, halduskontodele ja pilveteenustele.
Tüüpiline puudujääk: jagatud admin-kontod ja endiste töötajate ligipääsud.
Nõue: regulaarne koolitus töötajatele ja juhtidele, sealhulgas praktilised õppused.
Auditeerija küsib: koolituste toimumise tõendeid, materjale ja õppuste tulemusi.
Kiire võit: viia läbi 30-minutiline sessioon ja üks andmepüügi test.
Tüüpiline puudujääk: koolitus on tehtud üks kord töölevõtmisel.
Nõue: juhtorgan kinnitab meetmed, jälgib nende täitmist ja vastutab nende eest.
Auditeerija küsib: juhatuse koosoleku protokolle, riskide kinnitamist ja turvanäitajaid.
Kiire võit: lisa küberturvalisus juhatuse päevakorda püsiva punktina.
Tüüpiline puudujääk: vastutus on delegeeritud ilma järelevalve ja aruandluseta.
NIS2 test: kuidas tulemust lugeda
Kontrollnimekirja skoor on enesehindamine, mitte audit. Kasuta seda vestluse alusena juhatuses ja tegevuskava järjestamiseks.
- 0–3 tehtud: alusta kolmest kiirest võidust – varunduse taastetest, MFA ja ligipääsude ülevaatus. Need annavad suurima mõju väikseima töömahuga.
- 4–7 tehtud: põhi on paigas; järgmiseks kinnita tõendid, korralda üks õppus ja pane paika intsidendist teatamise protsess.
- 8–10 tehtud: baas on tugev; kontrolli, et tõendid on ajakohased ja meetmeid on päriselt testitud, mitte ainult kirja pandud.
Ükski skoor ei asenda sõltumatut auditit ega tõenda vastavust. Kui tahad välise pilguga kontrolli, vaata küberauditi ulatust.
Teavitamine: 24 tundi, 72 tundi ja üks kuu
Olulisest küberintsidendist tuleb teatada kolmes etapis: varajane hoiatus 24 tunni jooksul, täpsustav teade 72 tunni jooksul ja lõpparuanne ühe kuu jooksul (direktiiv 2022/2555, artikkel 23). Eestis esitatakse teated Riigi Infosüsteemi Ametile. Täpne sisu ja vorm on kirjas intsidendist teatamise juhendis.
Isikuandmetega seotud rikkest tuleb lisaks teatada Andmekaitse Inspektsioonile 72 tunni jooksul (AKI). Need kohustused võivad samal ajal kehtida.
Tõendid, mida auditeerija küsib
| Meede | Peamine tõend | Kes hoiab |
|---|---|---|
| Riskianalüüs | Riskiregister, poliitika ja kinnitamise minut | Juhtkond / turvajuht |
| Intsidendid | Plaan, kontaktid, õppuse ja teatamise tõendid | IT / turvajuht |
| Toimepidevus | Taastetesti logi, RTO ja RPO | IT |
| Tarneahel | Tarnijate loetelu ja lepingutingimused | Hanked / juhtkond |
| Arendus | Sõltuvuste skaneeringud ja parandustähtajad | Arendus |
| Testimine | Testiraportid ja paranduste jälgimine | Turvajuht |
| Krüptograafia | Võtmete loetelu ja sertifikaatide jälgimine | IT |
| Ligipääs | Õiguste maatriks ja MFA tõend | IT |
| Koolitus | Osalejate nimekiri ja õppuse tulemused | Personal / turvajuht |
| Juhtkond | Juhatuse protokoll ja riskide kinnitamine | Juhtkond |
Küsimused kontrollnimekirja kohta
Mis on NIS2 kontrollnimekiri?
See on kümne NIS2 miinimumnõude praktiline läbivaatus: iga meetme juures on kirjas, mida auditeerija tõendina küsib, milline on kiire võit ja milline on tüüpiline puudujääk.
Kas kontrollnimekiri asendab auditit?
Ei. Kontrollnimekiri aitab seisu kaardistada ja tegevuskava järjestada, kuid ei hinda meetmete tegelikku toimimist ega asenda sõltumatut auditit.
Kellele kontrollnimekiri mõeldud on?
Eelkõige NIS2 kohustuslastele ja nende juhtidele, kes peavad meetmete seisu kinnitama, ning ettevõtetele, kes soovivad esmase turvahügieeni üle vaadata.
Kas märkeruutude edenemine salvestatakse kuskile?
Ei. Edenemine salvestub ainult sinu brauseri lokaalsesse mällu ja ei saadeta serverisse. Saad selle igal ajal nullida.
Kust alustada, kui aega on vähe?
Alusta varunduse taastetestist, mitmefaktorilisest autentimisest ja ligipääsude ülevaatamisest. Need kolm annavad suurima mõju väikseima töömahuga.