Jak wdrożyć KSC / NIS2 w praktyce

Efekt usługi oraz kryteria jego weryfikacji

Efekt 1: Uporządkowanie podstawowego modelu zarządzania cyberbezpieczeństwem w organizacji zgodnie z wymaganiami KSC/NIS2, obejmującego role, odpowiedzialności, polityki i procedury.

Kryteria weryfikacji:

• uczestnik identyfikuje obszary wymagające uregulowania,
• wskazuje podstawowe role i odpowiedzialności,
• rozpoznaje dokumentację i procedury wymagane w organizacji,
• dobiera właściwe rozwiązania do przedstawionych sytuacji.

Efekt 2: Uporządkowanie sposobu identyfikacji i oceny ryzyka cyberbezpieczeństwa oraz doboru środków ograniczających zidentyfikowane ryzyka.

Kryteria weryfikacji:

• uczestnik identyfikuje aktywa, zagrożenia i podatności,
• rozpoznaje czynniki wpływające na poziom ryzyka,
• wskazuje adekwatne środki bezpieczeństwa,
• rozpoznaje działania ograniczające ryzyko.

Efekt 3: Przygotowanie organizacji do uporządkowanego reagowania na incydenty cyberbezpieczeństwa oraz realizacji obowiązków związanych z ich zgłaszaniem.

Kryteria weryfikacji:

• uczestnik rozpoznaje sytuacje wymagające obsługi jako incydent,
• wskazuje podstawowe etapy postępowania,
• określa role i odpowiedzialności,
• wskazuje podstawowe zasady zgłaszania incydentów.

Efekt 4: Uporządkowanie zasad zarządzania bezpieczeństwem łańcucha dostaw i współpracy z dostawcami oraz właściwymi podmiotami w zakresie cyberbezpieczeństwa.

Kryteria weryfikacji:

• uczestnik identyfikuje podstawowe ryzyka związane z dostawcami,
• wskazuje wymagania bezpieczeństwa wobec dostawców,
• rozpoznaje znaczenie odpowiednich zapisów umownych,
• wskazuje zasady współpracy z CSIRT i organami właściwymi.

Osiągnięcie efektów usługi zostanie potwierdzone na podstawie wyników końcowej walidacji w formie testu teoretycznego. Test obejmie pytania odnoszące się do wymagań KSC/NIS2, zarządzania ryzykiem, dokumentacji cyberbezpieczeństwa, środków bezpieczeństwa, reagowania na incydenty, bezpieczeństwa łańcucha dostaw oraz odpowiedzialności organizacji i zarządu. Wynik testu zostanie udokumentowany.

Rozpoczęcie szkolenia

• rejestracja uczestników,
• określenie oczekiwań i doświadczeń uczestników,
• test diagnostyczny poziomu wiedzy.

Moduł I. Wprowadzenie do NIS2 i wymagania KSC

• kontekst NIS2,
• najważniejsze zmiany,
• zakres podmiotowy,
• sektory kluczowe i ważne,
• obowiązki organizacji,
• KSC a RODO,
• wymagania organizacyjne,
• wymagania techniczne,
• rola zarządu,
• zarządzanie ryzykiem.

Moduł II. Analiza ryzyka i dokumentacja

• analiza ryzyka w kontekście KSC/NIS2,
• identyfikacja zagrożeń i podatności,
• dobre praktyki i najczęstsze błędy,
• polityki i procedury cyberbezpieczeństwa,
• dokumentacja systemu zarządzania bezpieczeństwem informacji,
• dokumentacja ochrony infrastruktury,
• dokumentacja ciągłości działania,
• dokumentacja techniczna,
• dokumentacja sektorowa,
• dokumentacja operacyjna.

Moduł III. Incydenty i łańcuch dostaw

• zgłaszanie incydentów,
• próg istotności i terminy,
• model obsługi incydentu,
• role i odpowiedzialności,
• plan reagowania,
• współpraca z dostawcami,
• bezpieczeństwo łańcucha dostaw,
• wymagania wobec dostawców,
• klauzule umowne.

Moduł IV. Cyberhigiena i odpowiedzialność zarządu

• cyberhigiena,
• praktyki bezpieczeństwa dla pracowników,
• egzekwowanie zasad cyberhigieny,
• obowiązki zarządu,
• odpowiedzialność osób zarządzających,
• konsekwencje prawne i finansowe,
• decyzje zarządu dotyczące cyberbezpieczeństwa,
• współpraca zarządu z IT i IOD.

Walidacja

• test wiedzy.

Uczestnik otrzymuje dostęp do zestawu ponad 30 praktycznych wzorów dokumentacji KSC/NIS2, przygotowanych z uwzględnieniem wymagań dyrektywy NIS2, wytycznych ENISA oraz doświadczeń z audytów cyberbezpieczeństwa i wdrożeń w różnych sektorach. Pakiet obejmuje m.in. polityki bezpieczeństwa, procedury zarządzania ryzykiem, procedury audytowe, procedury zarządzania incydentami, dokumentację ciągłości działania, zasady zarządzania dostępem i dostawcami, dokumentację bezpieczeństwa infrastruktury oraz wzory rejestrów i raportowania.

Dodatkowo:

• skrypt prezentacji,
• RODO Nawigator,
• Poradnik RODO,
• poszkoleniowe wsparcie merytoryczne,
• 90-dniowy dostęp do Dr RODO.

Uczestnictwo w szkoleniu nie wymaga wcześniejszego ukończenia szkolenia dotyczącego NIS2 ani formalnych kwalifikacji z zakresu cyberbezpieczeństwa. Ze względu na praktyczny charakter usługi wskazana jest podstawowa znajomość funkcjonowania organizacji, procesów biznesowych oraz wykorzystywanych systemów informatycznych. Szkolenie jest szczególnie przydatne dla osób odpowiedzialnych za zarządzanie organizacją, IT, bezpieczeństwo informacji, cyberbezpieczeństwo i zgodność regulacyjną.

Usługa jest realizowana online w czasie rzeczywistym za pośrednictwem Microsoft Teams. Uczestnik potrzebuje komputera lub laptopa ze stabilnym dostępem do Internetu, aktualnej przeglądarki internetowej lub aplikacji Microsoft Teams oraz sprawnego mikrofonu i głośników lub słuchawek. Uczestnik powinien posiadać adres e-mail umożliwiający otrzymanie linku do szkolenia i materiałów. Materiały szkoleniowe są udostępniane w formie elektronicznej.