zgodność z NIS2 w Microsoft 365
NIS2 daje 24 godziny na raport. Standardowe logi trzymają 90 dni.
Dyrektywa ustawia ustawowe zegary - wczesne ostrzeżenie w 24 godziny, zgłoszenie ze wskaźnikami naruszenia w 72, raport końcowy w miesiąc - a za środki bezpieczeństwa odpowiada osobiście kierownictwo. 1Security mierzy gotowość na NIS2 z samej dzierżawy Microsoft 365: każdy środek z art. 21 jako wymaganie z żywym statusem, do trzech lat historii śledczej za zegarem raportowym i datowany pakiet dowodowy, który można położyć przed organem albo zarządem.
Scenariusz
Prawnik mówi, że jesteście w zakresie. Pierwsza prośba to dowód.
NIS2 (UE 2022/2555) wchodzi do polskiego prawa nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa i obejmuje podmioty kluczowe oraz ważne w 18 sektorach. Przychodzi z zębami: kary do 10 milionów euro albo 2% światowego obrotu dla podmiotów kluczowych, 7 milionów albo 1,4% dla ważnych, a kierownictwo zatwierdza środki i może odpowiadać osobiście. Pierwsze, o co ktokolwiek prosi po ustaleniu zakresu, to nie nowa zapora. To dowód, że środki istnieją i działają.
A oto część, której branża kwestionariuszy nie mówi: ramy się nakładają. W jedenastu regulacjach - NIS2 obok RODO, DORA, ISO/IEC 27001 i unijnego AI Act - obowiązki zwijają się do 15 wspólnych wymagań, z których 11 da się zmierzyć wprost z danych dzierżawy. Tylko cztery to dokumenty, które musi napisać człowiek. Jeśli dobrze prowadzisz dzierżawę, jesteś dalej, niż sugeruje arkusz, a 1Security mierzy dokładnie jak daleko, zanim zmienisz jedno ustawienie.
Nie czeka za to zegar. Art. 23 chce wczesnego ostrzeżenia w 24 godziny, zgłoszenia z powagą, skutkami i wskaźnikami naruszenia w 72 oraz raportu końcowego z przyczyną źródłową w miesiąc. Dowody, na których te raporty stoją, żyją zwykle w logach z 90 dni i rozłącznych centrach administracyjnych - dlatego gotowość śledcza pod NIS2 to wymaganie stałe, a nie coś stawianego w dniu incydentu.
Przejście
Od pisma o zakresie do pakietu dowodowego, na ekranach.
Każdy krok to ekran z filtrem i artefaktem na końcu, nie warsztat.
- 01
Otwórz widok ram NIS2
Ekran Zgodność ocenia dzierżawę względem NIS2 artykuł po artykule, a każdy artykuł cytuje wspólne wymagania, które go spełniają - statusy mierzone dla retencji logów, kontroli dostępu czy kont uśpionych, statusy poświadczane dla czterech dokumentów. Nieocenione nigdy nie liczy się jako zaliczone, a lista robocza układa otwarte wymagania według liczby artykułów, które odblokowują.
- 02
Odpowiedz na artykuł o łańcuchu dostaw
Art. 21 ust. 2 lit. d pyta, kto ma u Ciebie przyczółek i komu przekazujesz dane. Ekran Aplikacje wymienia każdą aplikację OAuth i integrację z wydawcą, kanałem dostępu i administratorem, który wyraził zgodę. Ekran Domeny wymienia każdą zewnętrzną organizację widzianą w gościach, udostępnionych plikach i poczcie, z konfiguracją obok zaobserwowanej aktywności i oznaczonym dryfem.
- 03
Przećwicz pytanie 72 godzin, zanim będzie prawdziwe
Wybierz jedno konto na ekranie Dzienniki aktywności i wyprodukuj jego pełną, przypisaną oś czasu - aktor, zasób, aplikacja, urządzenie, lokalizacja - a potem wszystko, do czego konto wciąż sięga, i ile z tego niesie dane regulowane. Przy do trzech latach historii na standardowych licencjach ćwiczenie zajmuje jedno posiedzenie, a prawdziwe zgłoszenie 72 godzin przestaje przerażać.
- 04
Wyeksportuj datowane dowody
Cały dokument statusu jest zrzucany automatycznie w każdy poniedziałek i na żądanie, więc pytanie o status na konkretny dzień ma prawdziwą odpowiedź. Pakiet dowodowy per rama eksportuje się jako datowany dokument i jest serwowany przez REST API tylko do odczytu - ten sam artefakt dla organu, audytora i zarządu.
Co za tym stoi
Trzy części platformy za odpowiedzią na NIS2.
Te same 15 wymagań ocenia RODO, DORA, ISO/IEC 27001 i unijny AI Act w tym samym przebiegu - jedna naprawa rusza każdą ramę, która ją cytuje.
Monitorowanie zgodności
Jedenaście ram mierzonych ciągle z danych dzierżawy, ze zrzutami, listą roboczą i pakietem dowodowym per rama.
Poznaj funkcję →Audyt i dowody
Do trzech lat ujednoliconej historii aktywności z przypisaniem per aktor - zapis, na którym stoją raporty 24 i 72 godzin oraz miesiąca.
Poznaj funkcję →Nadzór nad aplikacjami
Każda zewnętrzna aplikacja i zgoda z wydawcą, zasięgiem i osobą, która ją wpuściła - programowa połowa artykułu o łańcuchu dostaw.
Poznaj funkcję →
FAQ
Częste pytania.
Czy w ogóle jesteśmy w zakresie NIS2?
Zakres obejmuje podmioty kluczowe i ważne w 18 sektorach, co do zasady od 50 pracowników albo 10 milionów euro obrotu, a granice wyznacza nowelizacja ustawy o KSC. Ta decyzja należy do Twojego prawnika. Praktyczny punkt: środki, o które prosi NIS2, to te, których dobrze prowadzona dzierżawa i tak potrzebuje, więc zmierzenie gotowości nic nie kosztuje, nawet jeśli odpowiedź o zakresie okaże się przecząca.
Czy to zastępuje prawnika albo audytora?
Nie. Czy incydent jest poważny, który organ dostaje zgłoszenie i jak stosuje się polska transpozycja - to decyzje dla doradcy zgodności. 1Security zastępuje tygodnie zbierania dowodów przed tymi decyzjami: doradca pracuje na zmierzonym, datowanym zapisie zamiast na kwestionariuszu.
Czy potrzebujemy do tego licencji E5?
Nie. Pomiar gotowości, przechowywana historia i pakiet dowodowy działają na standardowym połączeniu tylko do odczytu i licencjach, które już masz. Tam, gdzie konkretna naprawa wymaga premium SKU Microsoftu, produkt mówi to na samej akcji, zamiast pozwolić Ci odkryć to w połowie naprawy.
A co z systemami poza Microsoft 365?
Mierzymy stronę Microsoft 365: tożsamości, pliki, pocztę, aplikacje, agentów i ślad audytowy wokół nich. Dla większości organizacji pracy biurowej to tam żyje większość dowodów istotnych dla NIS2, ale sieci OT i systemy lokalne potrzebują własnych źródeł dowodów. Pakiet dowodowy jest uczciwy co do tego, co obejmuje.
Jak szybko dostaniemy pierwszy obraz gotowości?
Tego samego dnia, w którym dzierżawa zostanie podłączona tylko do odczytu. Gotowość liczy się z danych, które platforma zbiera sama, ze świadomie ostrożnymi statusami - nieocenione nigdy nie liczy się jako zaliczone - więc pierwszy obraz nadaje się już do pokazania wewnętrznie, a cotygodniowe zrzuty zaczynają się od pierwszego poniedziałku.
Wejdź w zakres NIS2 z odpowiedziami już zmierzonymi.
Podłącz tylko do odczytu, a statusy wymagań NIS2, lista robocza i pierwszy pakiet dowodowy lądują tego samego dnia - zanim cokolwiek naprawisz.
Albo dalej odpowiadaj na kwestionariusze NIS2 z segregatora.