Mennyibe kerül a NIS2 megfelelés?

/tudastar/nis2-megfeleles-koltsege · Célkifejezés: NIS2 megfelelés költség · Elsődleges modul: IBF szolgáltatás

Miért nincs egy szám

Minden „a NIS2 megfelelés X millió forint" típusú állítás gyanús, mert a költség nagy részét nem a megfelelés maga, hanem a kiinduló állapot határozza meg. Egy szervezet, amely már ISO 27001 szerint működik, lényegesen közelebb van, mint egy azonos méretű, amelyik most kezd.

Ami viszont megmondható, az a költség szerkezete — és ebből már lehet keretet tervezni.

A hat tétel

Mi az, amin nem lehet spórolni

Három tétel nem elhagyható, és aki mégis elhagyja, az később drágábban fizeti meg.

Az IBF szerepkör. Törvényi kötelezettség, és a szerepkör megfelelőségét is igazolni kell — beleértve az évi 20 órás továbbképzést.

Az audit. Nem opcionális, és a jogosult auditor sem tetszőleges.

A dokumentáció karbantartása. Ez az a tétel, amit a legtöbben egyszeri projektnek néznek, pedig folyamatos. Az elavult dokumentáció auditon ugyanolyan hiányosság, mint a hiányzó.

Hol van valódi mozgástér

A technikai kontrollok ütemezésében. Nem kell mindent egyszerre. Az intézkedési és erőforrásterv pont arra való, hogy a bevezetés ütemezett és vezetői döntéssel alátámasztott legyen. Egy dokumentált, ütemezett bevezetés auditon kezelt állapot.

A besorolásban. Nem lefelé csalással, hanem pontos EIR-lehatárolással: ha nem húzzuk fel a teljes rendszerparkot a legérzékenyebb adat szintjére, a kötelező kontrollkészlet is kisebb.

A szerepkör formájában. Kis és közepes szervezetnél a kiszervezett IBF rendszerint olcsóbb, mint egy teljes állás, és a helyettesítés is megoldott.

Az adminisztráció automatizálásában. A bizonyítékgyűjtés és a dokumentáció karbantartása kézzel sok munkaóra; ez az a rész, ahol szoftverrel valódi megtakarítás érhető el.

Amit mi publikálunk

A legtöbb szolgáltató nem tesz ki árat. Mi a három IBF csomag árát nyilvánosan vállaljuk: 390 000, 490 000 és 790 000 Ft + ÁFA havonta, a szervezet biztonsági besorolásához igazodva, és mindhárom csomagban benne van a teljes platform. A részletek az árak oldalon olvashatók.

A modulok önálló ára ajánlatkérésre megy, mert három tényezőtől függ: a szervezet mérete, az elektronikus információs rendszerek száma, és a kiválasztott modulok köre.

Hogyan tervezzen keretet

1. Határolja le az EIR-eket, és sorolja be őket — enélkül nincs mihez árat rendelni.
2. Mérje fel, mi van már meg. A meglévő dokumentáció és a működő kontrollok levonandók.
3. Bontsa egyszeri és folyamatos tételre. A kettő más keretből megy, és a vezetés is másképp dönt róluk.
4. Ütemezze a technikai bevezetéseket két-három évre, dokumentált döntéssel.
5. Számoljon a felügyeleti díjjal és az auditciklussal, mert ezek visszatérnek.

Gyakori kérdések

A létszám vagy a rendszerszám számít jobban? A rendszerek száma és a biztonsági osztály. A létszám elsősorban az oktatási tételt mozgatja.

Olcsóbb belsős IBF-fel? Nagy szervezetnél igen, kicsinél rendszerint nem — egy teljes állás bérköltsége meghaladja a szolgáltatási díjat, a helyettesítés és a továbbképzés pedig további tétel.

Mennyi idő alatt lehet megfelelni? A kiinduló állapottól függ. A dokumentációs és szabályozási rész hónapokban mérhető, a technikai hiányok pótlása ennél hosszabb lehet.

Mi történik, ha nincs keret? Az erőforrásigényt dokumentálni kell, és a döntést a vezetéshez felvinni. A dokumentált vezetői kockázatvállalás kezelhető állapot; a döntés hiánya nem az.