Bezpečnostní opatření představuje systematický soubor technických, organizačních a personálních postupů a nástrojů, které organizace zavádí k ochraně svých aktiv, informací a procesů. V kontextu směrnice NIS2 jsou bezpečnostní opatření klíčovým prvkem pro zajištění kybernetické bezpečnosti základních a důležitých subjektů.

Bezpečnostní opatření přímo reagují na identifikovaná rizika v katalogu rizik organizace. Každé opatření by mělo být navrženo tak, aby efektivně snižovalo konkrétní riziko nebo skupinu rizik na akceptovatelnou úroveň. Tato opatření jsou navrhována na základě hodnoty a významu aktiv organizace, přičemž důraz je kladen především na zajištění důvěrnosti, integrity a dostupnosti těchto aktiv. Pro každé aktivum musí být stanovena odpovídající úroveň bezpečnostních opatření, která reflektuje jeho důležitost pro organizaci a potenciální dopady při jeho kompromitaci. Katalog bezpečnostních opatření musí být pravidelně aktualizován v návaznosti na změny v hodnocení rizik.

Hlavní kategorie opatření

Technická opatření

Zahrnují implementaci technologických řešení pro ochranu informačních systémů, sítí a dat. V souladu s požadavky NIS2 musí pokrývat zejména řízení přístupu k síti, šifrování citlivých dat a detekci bezpečnostních incidentů.

Organizační opatření

Představují soubor procesů, postupů a dokumentace, které definují způsob řízení bezpečnosti v organizaci. Klíčovou součástí jsou plány kontinuity činností (BCP) a havarijní plány (DRP), které zajišťují schopnost organizace pokračovat v činnosti i při výskytu bezpečnostního incidentu.

Personální opatření

Zaměřují se na lidský faktor v bezpečnosti, včetně pravidelných školení, zvyšování bezpečnostního povědomí a definování rolí a odpovědností v oblasti bezpečnosti. NIS2 klade důraz na pravidelné vzdělávání zaměstnanců v oblasti kybernetické bezpečnosti.

Implementace a hodnocení

Bezpečnostní opatření musí být pravidelně testována a hodnocena z hlediska jejich účinnosti. Organizace musí vést dokumentaci o přijatých opatřeních a jejich efektivitě, včetně záznamů o bezpečnostních incidentech a jejich řešení. V souladu s NIS2 je nutné provádět pravidelný audit bezpečnostních opatření a aktualizovat je podle nejnovějších bezpečnostních hrozeb a technologického vývoje.

Reporting a komunikace

Součástí správy bezpečnostních opatření je také povinnost hlášení významných bezpečnostních incidentů příslušným autoritám a pravidelné podávání zpráv o stavu kybernetické bezpečnosti, jak vyžaduje směrnice NIS2.