NIS2 an Entreprisearchitektur: Systemer, Ofhängegkeeten a Fournisseuren dokumentéieren
NIS2 verlaangt Moossnamen fir d’Gestioun vun de Risiken, Opmierksamkeet fir d’Liwwerkette an d’Mellung vu bedeitende Sécherheetsvirfäll. Dës Aarbecht setzt viraus, datt eng Entitéit hir Systemer an hir Ofhängegkeete kennt. De Referentiel vun der Architektur hält dës Dokumentatioun fest; eng Konformitéitsattestatioun ass en net.
Aktualiséiert den
Wat NIS2 vun den essenziellen a wichtegen Entitéite verlaangt
D’Direktiv (EU) 2022/2555, kuerz NIS2, deckt vill méi Entitéiten of wéi d’Direktiv virdrun. Si gëllt fir essenziell a wichteg Entitéiten a Secteure wéi Energie, Transport, Banken, Infrastrukture vun de Finanzmäert, Gesondheet, digital Infrastrukturen an ëffentlech Verwaltung. D’Memberstaate missten se bis den 17. Oktober 2024 ëmsetzen.
Déi betraffen Entitéiten huelen adequat a proportionéiert technesch, operationell an organisatoresch Moossnamen, fir d’Risiken op hir Netzwierker an Informatiounssystemer ze geréieren. Si këmmere sech ëm d’Sécherheet vun hirer Liwwerkette a mellen bedeitend Sécherheetsvirfäll bannent festgeluechte Fristen. Ob eng Entitéit betraff ass a wéi eng Obligatiounen se genee huet, klärt Dir mat engem qualifizéierte Rechtsberoder.
Fir eng Finanzentitéit, déi als essenziell oder wichteg agestuft ass, gëllt DORA als sektorspezifeschen Akt am Sënn vum Artikel 4 vun NIS2, esou wéi den Artikel 1, Paragraph 2, vun DORA et virgesäit. D’Gestioun vum IKT-Risiko an d’Mellung vu Virfäll ginn dann no DORA, am Ëmfang, deen dësen Artikel virgesäit.
Eng Virfro: seng Systemer an hir Ofhängegkeete kennen
D’Gestioun vun de Risiken, d’Sécherheet vun der Liwwerkette an d’Behandlung vu Virfäll hunn eng gemeinsam Viraussetzung. De Risiko vun engem System, deen am Inventar feelt, léisst sech net bewäerten. En Déngschtleeschter léisst sech nëmme bis bei d’Servicer verfollegen, déi en ënnerstëtzt, wann dëse Lien dokumentéiert ass. Den Ëmfang vun engem Virfall hänkt dovun of, wat op der betraffener Komponent opbaut.
Dëst Wëssen ass dacks do, awer verspreet: eng CMDB, déi net méi stëmmt, Netzwierkpläng an engem Wiki, Lëschte vu Fournisseuren am Akaf, eng Bewäertung vun der Kritikalitéit an enger Presentatioun. De Referentiel vun der Architektur verbënnt dës Elementer: Geschäftsservicer, Applikatiounen, Technologien, Ofhängegkeeten a Fournisseuren, all eenzel mat sengem Responsabel.
- D’Gestioun vun de Risiken setzt en Inventar vun den Netzwierker an Informatiounssystemer viraus.
- D’Sécherheet vun der Liwwerkette setzt viraus, datt all Service mat sengen Déngschtleeschter verbonnen ass.
- D’Behandlung vun engem Virfall setzt viraus, datt bekannt ass, wat vun der betraffener Komponent ofhänkt.
Systemer, Servicer an Ausbreedung
Ob d’Moossnamen proportionéiert sinn, hänkt dovun of, wat all System ënnerstëtzt. Eng Lëscht vun Assete weist net, wéi e Service ausfält, wann e System ausfält; e Modell vun den Ofhängegkeete weist et.
An ArchiLU dréit all Applikatioun hire Responsabel, hir Kritikalitéit, hire Liewenszyklus an hire Fournisseur. Si ass mat Fäegkeeten, Prozesser, Schnëttstellen an Technologie verbonnen. D’360-Usiicht vun enger Applikatioun weist hir Flëss, hir Schnëttstellen, d’Prozesser, déi se bedéngt, an d’Fäegkeeten, déi se ëmsetzt. D’Entscheedungen iwwer d’Behandlung vum Risiko bleiwe bei de Funktiounen Sécherheet a Risiko.
- All Applikatioun mat hirem Responsabel, hirer Kritikalitéit an hiren Technologien.
- D’Prozesser an d’Fäegkeeten, déi se bedéngt.
- D’Schnëttstellen, hire Protokoll an d’Daten, déi se transportéieren.
- D’Technologien an hiert Supportenn, bekannt oder onbekannt.
Fournisseuren a Liwwerkette
NIS2 verlaangt, d’Sécherheet vun der Liwwerkette ze berécksiichtegen, och d’Relatioune mat den direkte Fournisseuren an Déngschtleeschter. Dës Expositioun wiisst Kontrakt fir Kontrakt, an all Kontrakt war vernünfteg, wéi en ënnerschriwwe gouf.
An ArchiLU verbënnt d’Kette d’Funktioune mat den Applikatiounen, dann mat den IKT-Servicer, de Fournisseuren an de Kontrakter. D’Expositiounsanalyse fänkt bei engem Déngschtleeschter un, geet erop bis bei d’Funktiounen, déi vun him ofhänken, a weist op Konzentratiounen hin. Et ass déi selwecht Kette, déi fir DORA gefleegt gëtt. D’Sécherheetsbewäertung vun engem Fournisseur an d’Positioun am Kontrakt bleiwen d’Saach vun der Entitéit.
Behandlung vu Virfäll: den Ëmfang ofgrenzen
No engem Virfall muss séier feststoen, wéi eng Servicer betraff sinn, vu wat se ofhänken a wien informéiert gi muss. Dës Ofgrenzung dauert dacks méi laang wéi déi technesch Behiewung, besonnesch wann d’Pläng verspreet sinn.
Eng aktuell Architektur beschleunegt se: vun der betraffener Komponent op d’Prozesser an d’Funktiounen, déi se ënnerstëtzt, an duerno op d’Technologien an d’Fournisseuren, vun deene se ofhänkt. All Objet nennt säi Responsabel. ArchiLU erkennt keng Virfäll an iwwerhëlt net d’Reaktioun; dës Aufgabe leien bei de Sécherheetstools an -ekippen, déi d’Kaart vun den Ofhängegkeeten informéiert.
Hosting an Zougrëff
Eng Kaart vun de Systemer, déi essenziell Servicer ënnerstëtzen, weist, wou d’Organisatioun am meeschten exponéiert ass. An ArchiLU huet all Organisatioun hir eegen Instanz, an der Europäescher Unioun gehost; eng Installatioun beim Client ass eng Optioun op Devis.
D’Zougrëffer verfollegen d’Berechtegunge vun all Benotzer. En Auditeur kënnt iwwer seng Missioun eran a liest d’Kette am Liesmodus, op säi Perimeter a seng Period begrenzt. D’Auditspuer ass verkett, iwwerpréifbar a ka vum Administrateur exportéiert ginn.
An ArchiLU
Bei der Funktioun ufänken. De Fournisseur fannen.
An ArchiLU: Bezuelungen → Bezuelungsmotor → Maelis Paiements. Véier Ecrane vun der selwechter Applikatioun, verbonne mat de selwechten Objeten.
Erkennt, wat weider funktionéiere muss.
De Funktiounskatalog weist d'Kritikalitéit, d'Verantwortlech an déi dokumentéiert Verbindungen. Kritesch oder wichteg Funktioune si vun ënnerstëtzende Funktiounen z'ënnerscheeden.
Verstitt d'Kritikalitéit an d'Ofhängegkeeten.
D'Fiche Bezuelungen erkläert d'Konsequenze vun enger Ënnerbriechung, nennt de Verantwortlechen a verlinkt d'Applikatioun Bezuelungsmotor. Feelend Verbindunge bleiwen siichtbar.
Identifizéiert de Prestataire: Maelis Paiements.
Den Acteursregister weist d'Fiche vum Fournisseur Maelis Paiements mat senger Identitéit, sengem Status a senger Roll. D'Ofhängegkeetskette verbënnt dee selwechte Fournisseur mat der Applikatioun Bezuelungsmotor an dem IKT-Maintenanceservice.
Ofhängegkeete gesinn. Lücken erkennen.
Déi dedizéiert Vue verbënnt Bezuelungen mat senger Applikatioun, den IKT-Servicer an den dokumentéierte Fournisseuren. Kontrakter erschéngen, wa si dës Servicer ofdecken; feelend Verbindunge gi pro Objet gewisen.
Heefeg Froen
- Mécht e Referentiel vun der Architektur eng Organisatioun NIS2-konform?
- Nee. Déi zoustänneg Autoritéit beurteelt d’Konformitéit no den organisatoreschen, techneschen a prozeduralen Moossnamen vun der Entitéit. De Referentiel dokumentéiert d’Systemer, hir Ofhängegkeeten an hir Fournisseuren. Dat mécht d’Virbereedung vun den Dossieren an hir Aktualiséierung méi einfach.
- Wéi hëlleft d’Kartéierung bei der Liwwerkette?
- All Applikatioun ass mat hiren IKT-Servicer, hire Fournisseuren an hire Kontrakter verbonnen. D’Entitéit verfollegt e Service bis bei déi Drëtt, déi en ënnerstëtzen, a fënnt d’Déngschtleeschter, vun deenen e puer Funktiounen ofhänken. D’Sécherheetsbewäertung vun engem Fournisseur bleift eng Aufgab vun der Entitéit an hire Beroder.
- Applizéiert eng Bank ënner DORA och NIS2?
- Fir eng Finanzentitéit, déi als essenziell oder wichteg agestuft ass, gëllt DORA als sektorspezifeschen Akt am Sënn vum Artikel 4 vun NIS2. D’Gestioun vum IKT-Risiko an d’Mellung vu Virfäll ginn dann no DORA, am Ëmfang, deen dësen Artikel virgesäit. D’Zesummespill klärt de Rechtsberoder; d’Kette vun den Ofhängegkeete déngt béiden Dossieren.
- Wat liwwert d’Kartéierung bei engem Virfall?
- Den éischten Ëmfang: d’Prozesser an d’Funktiounen, déi op der betraffener Komponent opbauen, d’Technologien an d’Fournisseuren, vun deene se ofhänkt, an de Responsabele vun all Objet. D’Erkennung, d’Androtung an d’Erëmhierstellung bleiwen an de Sécherheetstools an -prozesser.