Kibernetinio saugumo auditas: kaip pasirinkti auditorių pagal NIS2 ir ISO 27001

Trumpai: kibernetinio saugumo auditorių verta rinktis pagal tris dalykus. Pirma, ar jis gali atlikti auditą pagal NKSC patvirtintą metodiką ir yra nepriklausomas nuo jūsų IT tiekėjų. Antra, ar turi patirties jūsų sektoriuje. Trečia, ar po audito gausite ne tik išvadas, bet ir prioritetizuotą veiksmų planą. NIS2 subjektams auditas privalomas bent kartą per 3 metus, todėl auditorius dažnai tampa ilgalaikiu partneriu.

Kada auditas privalomas, o kada tiesiog naudingas

Pagal Kibernetinio saugumo įstatymą, perkeliantį NIS2 direktyvą, į NKSC registrą įtraukti subjektai turi atlikti kibernetinio saugumo auditą ne rečiau kaip kartą per 3 metus. Jį turi atlikti nepriklausomi sertifikuoti auditoriai pagal NKSC patvirtintą audito metodiką. Be to, kasmet reikia atlikti atitikties vertinimą ir turėti trūkumų šalinimo planą.

Jei jūsų įmonės registre nėra, auditas vis tiek dažnai reikalingas: jo prašo klientai, bankai, draudikai ar investuotojai. Tokiu atveju auditas leidžia parodyti atitiktį ISO/IEC 27001 ar NIS2 reikalavimams, nors jų ir neprivalote taikyti.

NIS2 auditas ir ISO/IEC 27001 – ne tas pats

• NIS2 (Kibernetinio saugumo įstatymo) auditas vertina, ar įgyvendinti teisės aktuose nustatyti organizaciniai ir techniniai reikalavimai. Jo ataskaita gali būti reikalinga NKSC patikrinimo metu.
• ISO/IEC 27001 sertifikavimo auditą atlieka akredituota sertifikavimo įstaiga, o rezultatas yra sertifikatas. Tai savanoriškas standartas, bet jo kontrolės didele dalimi sutampa su NIS2 reikalavimais.
• Vidinis arba pasirengimo (gap) auditas parodo, kiek trūksta iki atitikties, prieš ateinant išorės auditoriui ar NKSC.

Prieš rinkdamiesi auditorių aiškiai įvardykite, kurio audito jums reikia. Nuo to priklauso ir auditoriaus kvalifikacija, ir kaina.

7 klausimai, kuriuos verta užduoti auditoriui

1. Ar esate nepriklausomi nuo mūsų IT tiekėjų? Auditorius neturėtų vertinti sistemų, kurias pats diegė ar prižiūri.
2. Kokią metodiką taikysite? NIS2 subjektams auditas turi atitikti NKSC metodiką. ISO auditui – standarto reikalavimus.
3. Kokią patirtį turite mūsų sektoriuje? Energetikos, finansų ar gamybos įmonių rizikos skiriasi.
4. Ką tiksliai gausime? Paprašykite ataskaitos pavyzdžio: ar yra santrauka vadovybei, rizikos lygiai ir konkretus veiksmų planas.
5. Ar vertinsite tik dokumentus, ar ir realią praktiką? Geras auditas tikrina įrodymus: prieigų peržiūras, atsarginių kopijų atkūrimo testus, incidentų registrą.
6. Kiek laiko užtruks ir ko reikės iš mūsų? Sužinokite, kiek darbuotojų laiko reikės pokalbiams ir įrodymams surinkti.
7. Ar padėsite po audito? Svarbu, kad būtų galima aptarti išvadas ir patikrinti, ar trūkumai pašalinti.

Dažniausios klaidos renkantis auditorių

• Renkamasi tik pagal kainą. Pigus auditas dažnai reiškia patikrą pagal klausimyną be įrodymų – NKSC patikrinimo metu tai nepadės.
• Auditą atlieka IT tiekėjas. Tai interesų konfliktas: tiekėjas vertina savo paties darbą.
• Auditas užsakomas paskutinę minutę. Iki techninių reikalavimų termino (registruotiems 2025 m. balandį – 2027 m. balandis) verta turėti laiko trūkumams pašalinti.
• Neįtraukiama vadovybė. Pagal NIS2 atsakomybė už kibernetinio saugumo priemones tenka vadovybei, todėl išvados turi būti suprantamos ir jai.

Kaip pasiruošti, kad auditas būtų greitesnis ir pigesnis

Iš anksto sudarykite sistemų ir tiekėjų sąrašą, surinkite galiojančias politikas ir procedūras, paskirkite vieną atsakingą asmenį. Jei iki šiol nieko nevertinote, pradėkite nuo trumpo pasirengimo vertinimo – jis parodys, ar verta iš karto kviesti išorės auditorių.

Dažniausiai užduodami klausimai

Kas turi teisę atlikti NIS2 kibernetinio saugumo auditą Lietuvoje?

Nepriklausomi sertifikuoti auditoriai, atitinkantys NKSC audito metodikoje nustatytus reikalavimus (nepriklausomumas, nešališkumas, kvalifikacija). Prieš sutartį paprašykite auditoriaus patvirtinti, kad jis atitinka šiuos reikalavimus.

Kaip dažnai reikia atlikti auditą?

NIS2 subjektams – ne rečiau kaip kartą per 3 metus. Atitikties vertinimas atliekamas kasmet.

Ar ISO/IEC 27001 sertifikatas pakeičia NIS2 auditą?

Ne automatiškai. Kontrolės didele dalimi sutampa, todėl ISO pagrindu lengviau pasiruošti, bet NIS2 auditas turi būti atliktas pagal NKSC metodiką.

AuraGroup atlieka nepriklausomus kibernetinio saugumo ir pasirengimo NIS2 auditus bei padeda pasiruošti ISO/IEC 27001. Daugiau apie kibernetinio saugumo auditą arba susisiekite – pirmasis pokalbis nemokamas.