Egy sikeres NIS2-audit kétségtelenül fontos mérföldkő. Hónapok felkészülése, szabályzatok, technikai intézkedések, bizonyítékok összegyűjtése és maga az auditfolyamat áll mögötte. Amikor megérkezik a sikeres eredmény, érthető a megkönnyebbülés.
De a NIS2 szempontjából a sikeres audit nem a munka végét jelenti. Inkább egy új szakasz kezdetét.
A megfelelés ugyanis nem egy egyszeri projekt, amelyet az audit lezárásával ki lehet pipálni. A szervezeteknek a következő időszakban is számos rendszeres feladatot kell elvégezniük, a kialakított folyamatokat működtetniük kell, a változásokat pedig folyamatosan követniük és kezelniük szükséges.
Az audit után kezdődik a valódi működtetés
A felkészülési időszakban természetes módon az audit sikeres teljesítése kerül a középpontba. A dokumentációt össze kell állítani, a hiányosságokat javítani kell, a szükséges technikai intézkedéseket pedig be kell vezetni.
Az audit után azonban megváltozik a fókusz. A kérdés többé már nem az, hogy sikerül-e teljesíteni az auditot, hanem az, hogy a kialakított rendszer valóban működik-e a mindennapokban.
A NIS2-megfelelés fenntartása folyamatos tevékenység. A szabályzatoknak követniük kell a szervezet változásait, a meghatározott ellenőrzéseket el kell végezni, a bizonyítékokat meg kell őrizni, a kockázatokat pedig rendszeresen újra kell értékelni. Ha ez elmarad, könnyen előfordulhat, hogy az első audit idején még megfelelő rendszer a következő auditciklusra már nem tükrözi a szervezet tényleges működését.
Az auditeredményt nem eltenni kell, hanem feldolgozni.
A NIS2-audit lezárásakor a szervezet részletes eredményt kap. Ez azonban nem egyszerűen egy dokumentum, amelyet el lehet tenni a következő auditig.
Az audit megállapításait tételesen fel kell dolgozni.
Meg kell vizsgálni, hol maradtak fenn hiányosságok, milyen területeken szükséges további fejlesztés, és az egyes megállapítások kezelésére intézkedési tervet kell készíteni. Egy jól használható intézkedési terv nemcsak azt rögzíti, hogy mit kell javítani. Meghatározza azt is, hogy:
-
milyen konkrét intézkedés szükséges;
-
ki felel a végrehajtásért;
-
milyen határidővel kell teljesíteni;
-
hogyan igazolható majd a feladat elvégzése.
A valódi kérdés tehát nem az, hogy hány százalékot ért el a szervezet, hanem az, hogy mit kezd a fennmaradó hiányosságokkal.
Mi történik, ha az audit sikeres, de maradnak hiányosságok?
Ez az egyik legérdekesebb gyakorlati kérdés. Tegyük fel, hogy egy szervezet 84%-os eredménnyel sikeresen teljesíti a NIS2-auditot. Az eredmény megfelelő, az audit lezárult, ugyanakkor maradtak olyan területek, ahol további intézkedések szükségesek.
Mi történik akkor, ha a szervezet ezekkel nem foglalkozik?
Mi a következménye annak, ha nem készít valódi intézkedési tervet, nem javítja ki a hiányosságokat, és a következő auditciklusban lényegében ugyanazzal a megfelelési szinttel jelenik meg? A gyakorlat ezen a területen még alakul. Több olyan kérdés is van, amelyre a szabályozás önmagában nem ad minden részletre kiterjedő, egyértelmű gyakorlati választ. Éppen ezért a következő időszak tapasztalatai, az auditorok gyakorlata és a második auditciklus eredményei különösen fontosak lesznek.
A következő auditciklus más lehet, mint az első.
Az első NIS2-auditok során sok esetben lehetőség volt arra, hogy a vizsgálat a szervezet számára könnyebben kezelhető elektronikus információs rendszerre fókuszáljon. A tapasztalatok szerint ebben az auditorcégek is együttműködők voltak. A következő auditciklus egyik nagy kérdése az lesz, hogy ugyanilyen gyakorlat folytatódik-e, vagy a vizsgálatok fókusza változni fog.
A szervezeteknek ezért nem érdemes arra építeniük, hogy a következő audit egyszerűen az első megismétlése lesz. Addigra már nemcsak azt lehet vizsgálni, hogy a szükséges rendszer kialakult-e, hanem azt is, hogy az az előző audit óta ténylegesen működött-e.
Ez jelentős különbség.
Az első auditon még azt kell bizonyítani, hogy létrehoztuk a rendszert. A következőn már azt is, hogy valóban működtettük.
Már most érdemes készülni a következő auditra.
A következő auditciklusra való felkészülést nem néhány héttel az audit előtt érdemes elkezdeni. A legjobb stratégia az, ha a szervezet az első audit lezárásától kezdve folyamatosan gyűjti a megfelelést igazoló bizonyítékokat, nyomon követi az intézkedési terv teljesítését, és rendszeresen ellenőrzi a kialakított folyamatok működését. Így a következő audit előtt nem kell hónapokra visszamenőleg rekonstruálni, hogy mi történt.
A NIS2-megfelelés fenntartása nem újabb kampányfeladat, hanem folyamatos működés.
A sikeres első audit fontos eredmény. De hosszú távon nem az mutatja meg egy szervezet valódi felkészültségét, hogy egyszer milyen százalékot ért el, hanem az, hogy a következő auditig mit tett a rendszer fenntartásáért és fejlesztéséért.