# ISO 27001 ir NIS2 vadovams — be žargono > Kas iš tikrųjų yra ISO 27001, kaip jis susijęs su NIS2 Lietuvoje, kelias iki sertifikato, penki dokumentai, be kurių auditas neprasideda — ir kaip AI per vieną popietę padaro atotrūkio analizę. ## Kam ši pamoka Dviem vadovams. Pirmam didelis klientas ar konkursas parašė: „Reikalingas ISO 27001 sertifikatas." Antram atėjo laiškas apie NIS2 ir neaišku, ar tai liečia jo įmonę. Abiem reikia to paties: suprasti, apie ką tai, kiek tai kainuoja laiko ir nuo ko pradėti — be konsultantų žargono.

Ši pamoka nėra teisinė konsultacija. Ar jūsų įmonei taikomas NIS2 — pasitikrinkite Nacionaliniame kibernetinio saugumo centre ↗ ar pas teisininką.

## ISO 27001 vienu sakiniu **Tai ne IT projektas, o valdymo sistema:** įmonė nusprendžia, kokią informaciją saugo, įvertina, kas jai gali nutikti, parenka priemones, jas taiko, tikrina, ar veikia, ir nuolat gerina. Sertifikatas nepatvirtina, kad įsilaužti neįmanoma. Jis patvirtina, kad šis ciklas tikrai vyksta — ir auditorius tai mato iš įrodymų, ne iš pažadų. ## Iš ko standartas susideda Dvi dalys: - **4–10 skyriai** — reikalavimai pačiai valdymo sistemai: apimtis, vadovybės vaidmuo, rizikų vertinimas, mokymai, vidaus auditas, vadovybės peržiūra, gerinimas. Juos privaloma įvykdyti visus. - **A priedas** — 93 saugumo priemonės (kontrolės), suskirstytos į keturias temas. Kurias taikyti, nusprendžiate pagal savo rizikas ir pagrindžiate. > **Schema.** ISO 27001:2022 A priedo 93 kontrolės pagal temas: organizacinės 37, technologinės 34, fizinės 14 ir žmonių 8. Dauguma kontrolių — ne technologinės. Nuo 2025 m. lapkričio sertifikuojama tik pagal 2022 m. standarto versiją — jei kas nors siūlo dokumentų rinkinį „pagal 2013", jis pasenęs. ## NIS2 ir Lietuva: kas pasikeitė ES direktyva NIS2 Lietuvoje įgyvendinta atnaujintu **Kibernetinio saugumo įstatymu**, kuris įsigaliojo **2024 m. spalio 18 d.** Prižiūrinti institucija — **NKSC**. Ką vadovui svarbu žinoti: - **Daugiau sektorių ir įmonių.** Įstatymas apima ne tik energetiką ar bankus, bet ir daugelį kitų sektorių. Įmonės skirstomos į esmines ir svarbias. - **Atsakomybė — vadovybės.** Vadovai tvirtina saugumo priemones, prižiūri jų įgyvendinimą ir turi patys mokytis. - **Pranešimai apie incidentus** nustatytais terminais. NIS2 modelis — ankstyvas įspėjimas per 24 valandas, pranešimas per 72 valandas ir galutinė ataskaita per mėnesį. Tikslias Lietuvos taisykles pasitikrinkite NKSC. - **Baudos** esminiams subjektams — iki 10 mln. eurų arba 2 % metinės apyvartos. **Ryšys su ISO 27001:** didelė dalis NIS2 priemonių sutampa su ISO 27001. Sertifikuota įmonė turi tvirtą pagrindą, bet teisinės pareigos (registracija, pranešimai NKSC) vykdomos atskirai. ## Kelias iki sertifikato > **Schema.** Kelias iki ISO 27001 sertifikato: sprendimas ir apimtis, rizikų vertinimas, kontrolių parinkimas ir taikomumo pareiškimas, įgyvendinimas ir įrodymų kaupimas kelis mėnesius, vidaus auditas ir vadovybės peržiūra, sertifikavimo auditas dviem etapais, vėliau kasmetiniai priežiūros auditai. ## Penki dokumentai, be kurių auditas neprasideda 1. **Apimtis** — kokia įmonės dalis, kokios vietos, sistemos ir procesai. 2. **Informacijos saugumo politika** — trumpa, vadovybės patvirtinta. 3. **Rizikų vertinimas ir rizikų valdymo planas** — kas gali nutikti ir ką su tuo darome. 4. **Taikomumo pareiškimas (SoA)** — 93 kontrolės: taikoma ar ne, ir kodėl. 5. **Vidaus audito ir vadovybės peržiūros įrašai** — įrodymas, kad sistema tikrina pati save. Prie to — **įrodymai**: mokymų sąrašai, prieigų peržiūros, atsarginių kopijų bandymai, incidentų registras. Būtent jų auditorius ieško daugiausiai. ## Kur AI tikrai padeda — ir kur ne **Padeda:** atotrūkio analizė, pirmieji politikų ir procedūrų juodraščiai, rizikų registro šablonas, SoA juodraštis pagal jūsų rizikas, mokymų medžiaga, vidaus audito klausimynas. Tai sutaupo savaites rašymo. **Nepadeda:** sukurti tikrovės. Dokumentas „visi darbuotojai kas ketvirtį mokosi", kai niekas nesimoko, — tiesus kelias į neatitiktį auditu. Ir viena griežta riba: ISO projekte atsiranda daug jautrios informacijos — sistemų sąrašai, spragos, rizikos. Ją dėkite tik į **įmonės patvirtintą AI įrankį**. Kodėl — pamokoje [Kaip pradėti naudoti AI darbe (saugiai)](/pamokos/ai-darbe-saugiai). ## Atotrūkio analizė per vieną popietę Pirmas žingsnis visada tas pats: kur esame dabar. Nukopijuokite ir įklijuokite į įmonės patvirtintą AI: ```text Tu esi ISO 27001:2022 konsultantas. Padėk man atlikti atotrūkio analizę mūsų įmonei: kur esame dabar ir ko trūksta iki sertifikato. APIE MUS - Veikla, darbuotojų skaičius, biurų skaičius: [...] - Kodėl mums to reikia: [klientas / konkursas / NIS2 / kita] - Svarbiausios sistemos: [pvz. Microsoft 365, buhalterija, CRM, svetainė] - Kas jau yra: [pvz. MFA, atsarginės kopijos, antivirusas, jokių dokumentų] EIGA 1. KLAUSK. Užduok klausimus pagal 4–10 skyrius ir keturias A priedo temas. Po vieną. Jei nežinau atsakymo — pažymėk kaip „nežinoma", ne kaip „yra". 2. LENTELĖ. Reikalavimas → būklė (yra / iš dalies / nėra / nežinoma) → ko trūksta → prioritetas → kas atsakingas. 3. PIRMI ŽINGSNIAI. Pasiūlyk apimties formuluotę ir 10 svarbiausių darbų pirmiems trims mėnesiams. TIKSLAS Darbas baigtas, kai turiu atotrūkio lentelę ir pirmų trijų mėnesių darbų sąrašą su atsakingais žmonėmis. TAISYKLĖS - Neišgalvok, kad kažkas „įgyvendinta". Abejonė = „nežinoma". - Neteik teisinių išvadų apie NIS2 — pasakyk, ką pasitikrinti NKSC. - Necituok standarto teksto pažodžiui; aiškink savais žodžiais. PABAIGOJE Atskirai — KO NEPATIKRINAI ir kokius klausimus užduoti sertifikavimo įstaigai. ```

🤖 AI kelias rekomenduojama

AI klausia, komanda atsako

Geriausias rezultatas — kai į AI klausimus atsakote kartu su tuo, kas prižiūri IT, ir su vadovu ar buhaltere. Viena popietė vietoj kelių susitikimų su konsultantu.

„Kai baigsime lentelę, parašyk apimties juodraštį ir informacijos saugumo politikos juodraštį — ne ilgesnius nei vienas puslapis."

Jūsų darbas: sąžiningai atsakyti „nežinau", kai nežinote, ir perskaityti juodraščius taip, lyg būtumėte auditorius.

✋ Rankinis kelias

Dešimt klausimų sau

  1. Ar žinome, kokią informaciją saugome ir kur ji yra?
  2. Ar kas nors įvertino, kas jai gali nutikti?
  3. Ar yra vadovo patvirtinta saugumo politika?
  4. Ar žinome, kas prie ko turi prieigą — ir ar tai kas nors peržiūri?
  5. Ar atsarginės kopijos išbandytos? Ar MFA įjungtas visiems?
  6. Ar darbuotojai mokomi ir ar tai užfiksuota?
  7. Ar registruojame incidentus, net mažus?
  8. Ar tiekėjai, turintys prieigą prie mūsų duomenų, įvertinti?
  9. Ar kas nors tikrina, ar tvarka tikrai laikomasi?
  10. Ar vadovybė bent kartą per metus tai peržiūri?
## Ką padaryti šį mėnesį 1. Pasitikrinkite, ar jūsų įmonei taikomas NIS2 (NKSC svetainėje ar pas teisininką). 2. Su promptu aukščiau atlikite atotrūkio analizę kartu su IT žmogumi. 3. Įjunkite tris greitus laimėjimus: MFA visiems, kopijų bandymą, apsaugą visuose kompiuteriuose. Jei norite, kad atotrūkio analizę atliktume kartu — **pagalba@itbroliai.lt** ## Pasitikrinkite Penki klausimai apie tai, ką ką tik perskaitėte. Pabaigoje gausite sertifikatą su savo rezultatu.