Lühidalt
NIS2 kohaldub energeetikasektori üliolulistele ja olulistele asutustele. Täpne kohaldumine sõltub tegevusest, suurusest ja rollist. Praktiline fookus on riskijuhtimisel, juhtimissüsteemide ja kaugligipääsu turval, tarneahelal, intsidentide teatamisel ja juhatuse vastutusel.
Mida energeetikas kontrollida
- OT ja SCADA: võrgu segmentimine, kaugligipääs, logimine ja muutuste haldus.
- Tarneahel: kriitilised seadmed, tarkvara, hoolduspartnerid ja allhankijad.
- Varundus: taastetestid, RTO/RPO ja käsitsi töö alternatiiv.
- Intsidendid: tuvastamine, teavitamine ja koostöö teiste osapooltega.
- Juhtimine: juhatuse kinnitatud riskiisu, rollid ja eelarve.
Tõendid, mida audit küsib
| Valdkond | Tõend |
|---|---|
| Risk | Riskiregister OT-süsteemide ja tarnijatega |
| Ligipääs | Kaugligipääsu loetelu, MFA ja õiguste ülevaatus |
| Varundus | Taastetesti tulemus ja käsitsi töö plaan |
| Tarneahel | Tarnijate nimekiri, lepingud ja hindamine |
| Intsident | Logi, teavituste ajalugu ja õppimine |
Intsidendist teatamine
Olulise mõjuga intsidendi korral: esmateade 24 tunni, vahearuanne 72 tunni ja lõpparuanne ühe kuu jooksul. Ära oota lõplikku juurpõhjust; saada esmane info ja täpsusta hiljem. Vaata intsidendi teatamise juhendit.
Kui vajad tõendite ülevaatust, alusta NIS2 auditi juhendist või tabletop-koolitusest.
Küsimused energeetika kohta
Kas NIS2 kohaldub energiatootjale?
NIS2 kohaldub energeetikasektori üliolulistele ja olulistele asutustele. Täpne kohaldumine sõltub tegevusest, suurusest ja rollist; kontrolli KüTS-i ja RIA juhist.
Mida tähendab OT-turve NIS2 kontekstis?
NIS2 ei sätesta eraldi OT-standardit, kuid riskijuhtimine peab katma juhtimissüsteemid, kaugligipääsu, tarneahela ja intsidendid. Tõendid peavad näitama, et kontrollid toimivad.
Kas intsidendist tuleb teatada 24 tunni jooksul?
Olulise mõjuga intsidendi korral tuleb saata esmateade 24 tunni jooksul, vahearuanne 72 tunni jooksul ja lõpparuanne ühe kuu jooksul.