La loi NIS2 (Belgique)

Vaatimuksen kuvaus

Les mesures visées au paragraphe 1er sont fondées sur une approche "tous risques" qui vise à protéger les réseaux et les systèmes d'information ainsi que leur environnement physique contre les incidents, et elles portent au moins sur: les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information

Kuinka täyttää vaatimus

30 § 3.1°: L'analyse des risques et à la sécurité des systèmes d'information

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

T04: Turvallisuusriskien hallinta

Katakri

13 §: Tietoaineistojen ja tietojärjestelmien tietoturvallisuus

TiHL

24. Rekisterinpitäjän vastuu

GDPR

5. Henkilötietojen käsittelyä koskevat periaatteet

GDPR

8.3: Tietoturvariskien käsittely

ISO 27001

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Tietoturvariskien tunnistaminen ja dokumentointi

1. Tehtävän vaatimuskuvaus

Organisaatio pyrkii ennakoivasti listaamaan ja arvioimaan erilaisten tietoturvariskien todennäköisyyttä ja vakavuutta. Dokumentaatio sisältää seuraavat asiat:

Riskin kuvaus
Riskin vakavuus ja todennäköisyys
Riskiä hallitsevat ohjeet ja hallintatehtävät
Riskin hyväksyttävyys

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

T04: Turvallisuusriskien hallinta

Katakri

5.1.1: Tietoturvapolitiikat

ISO 27001

8.2: Tietoturvariskien arviointi

ISO 27001

ID.GV-4: Processes

NIST

ID.RA-5: Risk evaluation

NIST

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Riskienhallinnan menettelykuvaus -raportin julkaisu ja ylläpito

1. Tehtävän vaatimuskuvaus

Organisaatio on määritellyt menettelyt tietoturvariskien arvioimiseksi ja käsittelemiseksi. Menettelyihin sisältyy ainakin:

Riskien tunnistamismenetelmät
Riskianalyysimenetelmät
Riskien arviointiperusteet (vaikutus ja todennäköisyys).
Riskien priorisointi, käsittelyvaihtoehdot ja valvontatehtävien määrittely.
riskien hyväksymiskriteerit
Prosessin toteuttamissykli, resursointi ja vastuut
Tulokset olisi sisällytettävä organisaation riskinhallintaprosessiin.

Tehtävän omistaja tarkistaa säännöllisesti, että menettely on selkeä ja tuottaa johdonmukaisia tuloksia.

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

ID.RM-2: Risk tolerance

NIST

ID.RM-3: Informing of risk tolerance

NIST

6.1: Tietoturvariskien hallinta

ISO 27001

RISK-1: Establish and Maintain Cyber Risk Management Strategy and Program

C2M2

21.2.a: Risk management and information system security

NIS2

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Organisaation hyväksymä riskitaso

1. Tehtävän vaatimuskuvaus

Organisaation täytyy määrittää hyväksyttävä taso riskeille. Taso lasketaan riskien todennäköisyyden, vakavuuden ja hallintakeinojen pohjalta.

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

T05: Jatkuvuuden hallinta

Katakri

24. Rekisterinpitäjän vastuu

GDPR

5. Henkilötietojen käsittelyä koskevat periaatteet

GDPR

8.3: Tietoturvariskien käsittely

ISO 27001

21.2.a: Risk management and information system security

NIS2

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Liittyvien tietoturvariskien dokumentointi tapahtuneille tietoturvahäiriöille

1. Tehtävän vaatimuskuvaus

Organisaatio arvioi tietoturvaan liittyvien riskejä reagoimalla tilanteisiin, joissa tietoturva on lievästi tai vakavasti pettänyt. Dokumentaatio sisältää vähintään seuraavat asiat:

Häiriön kuvaus
Häiriöön liittyneet riskit
Häiriön johdosta käyttöön otetut uudet hallintatehtävät
Häiriön johdosta toteutetut muut toimenpiteet

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

6.3: Muutosten suunnittelu

ISO 27001

8.1: Toiminnan suunnittelu ja ohjaus

ISO 27001

12.1.2: Muutoksenhallinta

ISO 27001

6.5: Tietojärjestelmien asennus, ylläpito ja päivitys

Omavalvontasuunnitelma

PR.IP-3: Configuration change control processes

NIST

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Merkittävien tietoturvaan vaikuttavien muutosten arviointiprosessi ja dokumentointi

1. Tehtävän vaatimuskuvaus

Järjestelmällisessä turvallisuustyössä merkittävien muutosten vaikutukset on arvioitava ennakkoon ja muutokset toteutettava systemaattisesti. Tahattomien muutosten seuraukset on arvioitava ja pyrittävä lieventämään mahdollisia haittavaikutuksia.

Merkittäviä muutoksia voivat olla mm. organisaatioon, toimintaympäristöön, liiketoimintaprosesseihin sekä tietojärjestelmiin kohdistuvat muutokset. Muutoksia voidaan tunnistaa mm. johdon katselmuksissa sekä muuten toiminnan ohessa.

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

20: Jäännösriskien arviointi

Digiturvan kokonaiskuvapalvelu

21.2.a: Risk management and information system security

NIS2

2.5: Riskienhallinta

TiHL tietoturvavaatimukset

7 §: Riskienhallinta

Kyberturvallisuuslaki

ID.GV-4: Governance and risk management processes address cybersecurity risks.

CyberFundamentals

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Jäännösriskien arviointi

1. Tehtävän vaatimuskuvaus

Riskikäsittelyn toteuttamisen jälkeen organisaatio arvioi jäljelle jäävän jäännösriskin tason riskikohtaisesti.

Jäännösriskin suhteen tehdään selkeä päätökset riskin omistajan toimesta joko riskin sulkemiseksi tai riskin palauttamiseksi käsittelyjonoon.

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Riskien hallinta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

21: Riskienhallintaprosessin kehittäminen

Digiturvan kokonaiskuvapalvelu

21.2.a: Risk management and information system security

NIS2

Article 6: ICT risk management framework

DORA

1.4.1: Management of Information Security Risks

TISAX

8 §: Kyberturvallisuutta koskeva riskienhallinnan toimintamalli

Kyberturvallisuuslaki

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Riskienhallintaprosessin jatkuva parantaminen

1. Tehtävän vaatimuskuvaus

Organisaatiolla on toimintamalli riskienhallintaprosessin toimivuuden ja tehokkuuden jatkuvaan parantamiseen.

Parantamisessa voidaan hyödyntää mm. yleisiä standardeja (mm. ISO 27005) tai riskienhallintaan osallistuneiden henkilöiden palautteita.

Politiikkaan sisältyviä tietoturvatehtäviä

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

No items found.

Vaatimuksen kuvaus

Kuinka täyttää vaatimus