Wdrażamy KSC i NIS2 od strony technicznej

Od inwentarza systemów i analizy ryzyka. Na tej podstawie dobieramy zabezpieczenia i ustalamy z Wami kolejność prac.

To zależy od wielkości i stanu środowiska. Zakres i kolejność prac układamy pod termin do 3 kwietnia 2027, a czas podajemy po analizie, nie jedną obietnicą dla wszystkich.

Cena zależy od zakresu, liczby systemów i stanu środowiska. Po rozmowie i analizie przedstawiamy zakres oraz wycenę dopasowaną do Waszego ryzyka.

Tak. Uzupełniamy to, czego w firmie brakuje, na przykład monitoring, ćwiczenia, dokumentację i wdrożenie zabezpieczeń. Podział zadań z Waszym informatykiem ustalamy na początku współpracy, żeby od razu było wiadomo, kto co robi.

Same dokumenty to za mało. Opracowujemy dokumentację razem z wdrożeniem technicznym, więc każdy dokument opisuje zabezpieczenie, które u Was faktycznie działa, a zapisy dowodowe powstają na bieżąco.

Systemy nadzoru i automatyczne reguły bezpieczeństwa działają całą dobę. Zakres reakcji zespołu w nocy i w weekendy ustalamy w umowie, razem z tym, kto i jak przygotowuje zgłoszenia incydentów.

Nie musicie. Ustawa nie narzuca SOC ani konkretnych narzędzi, ale wymaga monitorowania w trybie ciągłym. Wdrażamy je w zakresie dobranym do ryzyka i wielkości Waszej firmy.

Tak. Sprawdzamy, co z Waszego systemu zarządzania można wykorzystać, i uzupełniamy braki, na przykład procedurę zgłaszania incydentów. Wpis do wykazu i szkolenie kierownika zostają po stronie podmiotu.

Nie łączymy wdrożenia i audytu u jednego klienta, bo ustawa wyklucza z audytu osoby, które w ostatnim roku realizowały u niego zadania z zakresu bezpieczeństwa. Przygotowujemy za to środowisko i dokumentację do audytu, który wykona niezależny audytor. Na start współpracy wykonujemy też własny przegląd IT (Audyt IT), ale to nie jest audyt w rozumieniu ustawy.

Wdrażamy te same główne elementy: system zarządzania bezpieczeństwem informacji, zabezpieczenia techniczne, dokumentację i procedurę zgłaszania incydentów. Audyt cykliczny dotyczy tylko podmiotów kluczowych, a my przygotowujemy do niego środowisko i dokumentację. Dla ważnych podmiotów publicznych wdrażamy uproszczony zestaw wymagań z załącznika nr 4 do ustawy. Statusu firmy nie oceniamy, bo to ocena prawna.

Tak. Ustawa dopuszcza realizację zadań własnymi siłami albo na podstawie umowy z firmą zewnętrzną. My wykonujemy wdrożenie i opracowujemy dokumentację, a zakres zadań opisujemy w umowie. Informację o takiej umowie podmiot podaje w wykazie i aktualizuje w ciągu 14 dni od zmiany. Odpowiedzialność kierownika zostaje po jego stronie, także gdy zadania wykonujemy my.

Za wypełnienie obowiązków odpowiada podmiot, a jego kierownik odpowiada osobiście, także gdy zadania powierzy firmie zewnętrznej. My wdrażamy zabezpieczenia techniczne, opracowujemy dokumentację i przygotowujemy zarząd do decyzji. Decyzje, szkolenie kierownika i oświadczenia zostają po stronie zarządu.