Oprogramowanie compliance
dla gospodarki wodnej

Complaica zapisuje, które części Państwa organizacji podlegają NIS2, ewidencjonuje obiekty, IT, systemy sterowania i dostawców, ocenia ryzyka i środki z § 30 BSIG, śledzi działania z odpowiedzialnymi i terminami oraz dokumentuje incydenty bezpieczeństwa z terminami z § 32 BSIG. Oprogramowanie nie sprawdza automatycznie, czy Państwa organizacja jest objęta, a zgłoszenie do punktu zgłoszeń składają Państwo sami. Więcej na stronie oprogramowania NIS2.

Nie, nie automatycznie. Woda pitna i ścieki należą do sektorów BSIG; to, czy organizacja jest podmiotem ważnym lub kluczowym albo operatorem obiektu krytycznego, zależy od działalności, wielkości, progów i formy prawnej i wymaga oceny w każdym przypadku.

Oba są w Complaica osobnymi katalogami wymagań na tych samych obiektach, systemach i dostawcach. Ryzyka i działania prowadzi się raz i przypisuje do odpowiednich wymagań obu katalogów; stan nadal można oceniać osobno dla każdego katalogu. Nie powstaje drugi ISMS obok pierwszego. Więcej o oprogramowaniu ISMS dla ISO 27001.

Oba działają na tych samych procesach, aplikacjach i dostawcach. Odpowiednie środki ISMS mogą zostać udokumentowane również jako środki techniczne i organizacyjne i przypisane do odpowiednich wymagań ochrony danych. Naruszenie ochrony danych to incydent bezpieczeństwa z własnym 72-godzinnym terminem wg art. 33 RODO. Więcej o oprogramowaniu RODO.

Tak. Zaczynają Państwo od regulacji, które obowiązują dziś — często ochrony danych i bezpieczeństwa informacji — i dodają kolejne, gdy się pojawią; baza danych rośnie razem z Państwem. Odpowiedzialność można jasno przypisać także wtedy, gdy niewiele osób ma wiele zadań, a nasi doradcy mogą przejąć zadania, dla których nie ma osobnego stanowiska, np. rolę zewnętrznego pełnomocnika ds. bezpieczeństwa informacji.

Branżowym standardem bezpieczeństwa DVGW i DWA dla bezpieczeństwa IT zaopatrzenia w wodę i odprowadzania ścieków: arkusz DVGW W 1060 lub DWA-M 1060 oraz przewodnik bezpieczeństwa IT z podręcznikiem. BSI stwierdził jego przydatność; według jego zestawienia jest ona ważna do sierpnia 2027.

ISO/IEC 27019 uzupełnia ISO/IEC 27002 o zabezpieczenia dla sterowania procesami w energetyce. Jest obowiązkowa dla operatorów sieci elektroenergetycznych i gazowych przez katalog bezpieczeństwa IT Federalnej Agencji Sieci, a nie dla przedsiębiorstw wyłącznie wodnych. Przedsiębiorstwa wielobranżowe stosują ją obok B3S WA; dla systemów sterowania w wodociągach jest przydatnym punktem odniesienia.

Tak. Systemy sterowania procesami, sterowniki, stacje telemetrii i dyspozytornie są obiektami tak jak serwery i aplikacje — z zależnościami od obiektów, którymi sterują, i od dostawców, którzy je serwisują.

BSIG reguluje cyberbezpieczeństwo, KRITIS-Dachgesetz — fizyczną odporność obiektów krytycznych, z własną analizą ryzyka, planem odporności i zgłoszeniami do BBK. W Complaica obie regulacje dotyczą tych samych obiektów; działanie takie jak zasilanie awaryjne można przypisać do wymagań obu.

Zagrożenia, oceny ryzyka i działania można prowadzić dla każdej części systemu — od ujęcia po dystrybucję — i zestawić jako dokumentację do wniosku do urzędu zdrowia. Obszary zasilania według TrinkwEGV są osobnymi obiektami z własną oceną.

Tworzą Państwo audyt w programie audytów z zakresem i kryteriami, dzielą go na sesje, oceniają każde wymaganie, zapisują ustalenia przy wymaganiu i tworzą działania dla niezgodności. Raport z audytu przechodzi przez statusy aż do wydania; wyniki trafiają do przeglądu zarządzania. ISO 19011 to wytyczne i nie podlega certyfikacji — oprogramowanie wspiera opisane w niej procesy. Więcej na stronie o zarządzaniu audytami.

W wersji SaaS w Niemczech. Alternatywnie mogą Państwo uruchomić Complaica on-premises we własnej infrastrukturze — licencja kosztuje w obu przypadkach tyle samo.

Tak. Listy obiektów, analizy ryzyka i działania można importować z Excela i przez REST API; nasi specjaliści wspierają przeniesienie.

My. Katalogi regulacji są dostarczane z Complaica i przez nas utrzymywane; gdy zmienia się regulacja, aktualizujemy katalog. O tym, czy i jak regulacja dotyczy Państwa organizacji, decydują Państwo — w razie potrzeby z naszymi doradcami.

Nie. Complaica prowadzi wymagania, oceny, działania i dowody tak, aby audytorzy, organy nadzoru i urząd zdrowia mogli je prześledzić. Sama kontrola i zatwierdzenie pozostają po ich stronie; „certyfikacja NIS2” oprogramowania nie istnieje.