Kiek kainuoja NIS2 (TIS2) diegimas?
Tipinio projekto kaina — 8 500–15 000 EUR + PVM. Į tą rėžį telpa viena veiklos vieta, iki 150 darbuotojų, iki 3 pagrindinių informacinių sistemų ir tiekėjų valdymas iki 20 tiekėjų. Kainą lemia apimtis, ne derybos.
Kas telpa į 8 500–15 000 EUR
Dirbu fiksuotu biudžetu, ne valandomis. Tai reiškia, kad apimtis sutariama prieš pradedant, o ne skaičiuojama pabaigoje.
Pasirengimo darbai
- Pasirengimo vertinimas ir spragų analizė
- Rizikos vertinimas pagal reikalavimų aprašą
- Valdymo dokumentai ir politikos
- Atsakomybių paskirstymas ir vadovybės sprendimai
- Incidentų valdymo ir pranešimo tvarka
- Tiekėjų valdymas iki 20 tiekėjų
- Įrodymų rinkinys užsakovų saugumo klausimynams
Už rėžio ribų
- Vadovybės kibernetinio saugumo mokymai
- Nuotolinis priežiūros modelis po diegimo — 3 000–7 000 EUR + PVM per metus
- ISO 27001 sertifikavimo lydėjimas
- Techninių priemonių diegimas (tai atlieka jūsų IT arba jų tiekėjas)
Kodėl priežiūra atskirai. Atitiktis nėra vienkartinis projektas. Rizikos ir atitikties vertinimas atliekamas ne rečiau kaip kartą per metus, vadovo mokymai kartą per dvejus metus, auditas kartą per trejus, o esminiai subjektai dar kasmet pildo savideklaraciją. Nuotolinis priežiūros modelis reiškia, kad tie darbai nelieka kabėti ir dokumentai nepasensta. Kaina 3 000–7 000 EUR + PVM per metus priklauso nuo tos pačios apimties kaip ir diegimas.
Ką atliekate patys. Duomenų suvedimą ir dokumentų teikimą Kibernetinio saugumo informacinėje sistemoje (KSIS) atlieka pati įmonė savo prisijungimais — konsultantas ten patekti negali. Paruošiu, ką reikės suvesti ir kokius dokumentus pateikti.
Nuo ko priklauso, ar 8 500, ar 15 000
Kelios veiklos ar gamybos vietos, daugiau nei 150 darbuotojų arba kartu siekiamas ISO 27001 sertifikatas reiškia didesnę apimtį. Tokiu atveju kainą skaičiuoju atskirai, pagal tuos pačius penkis veiksnius.
Ką kaina reiškia jūsų kalendoriuje
Apie 10 savaičių
- Nuo pasirengimo vertinimo iki veikiančios sistemos
- Brandos vertinimas atskirai — per 48 val.
- Jei reikia tik dokumentų atsakyti užsakovui — greičiau
Apie 4 valandos vadovui
- Vadovui apie 4 valandas per visą projektą
- Paskirtam darbuotojui apie 24 valandas
- Likusį darbą atlieku aš
Už ką mokate
Didžioji reikalavimų dalis yra valdymo, ne technologijų: rizikos vertinimas, atsakomybių paskirstymas, tiekėjų valdymas, incidentų tvarka, vadovybės įsitraukimas. Programinė įranga gali padėti tai dokumentuoti, bet ji už jus nepriims sprendimų ir neprisiims atsakomybės. Patikrinimo metu žiūrima, ar sprendimai priimti ir ar yra įrodymų, o ne kokia licencija nupirkta.
Nepardavinėju to, ką paskui turėčiau vertinti. Nesiūlau stebėsenos paslaugų, įrankių ar licencijų, kurių veikimą vėliau turėčiau pats įvertinti. Reglamentavimas saugumo vadovo rolę nuo administravimo atskiria būtent dėl nepriklausomumo, ir man tai atrodo teisinga riba.
Dažniausi klausimai apie kainą
Kodėl rėžis, o ne vienas skaičius?
Nes apimtis skiriasi. Įmonė su viena gamykla ir dviem sistemomis ir įmonė su trimis padaliniais ir dešimčia sistemų negali kainuoti vienodai. Rėžis rodo tikras ribas, o konkretus skaičius atsiranda po pasirengimo vertinimo, kai apimtis aiški. Vieno skaičiaus skelbimas reikštų, kad arba pervertinu mažesnius, arba nuvertinu didesnius projektus.
Ar kaina fiksuota, ar gali išaugti darbo eigoje?
Fiksuota. Apimtis sutariama prieš pradedant ir užrašoma. Jei projekto eigoje paaiškėja, kad apimtis realiai didesnė nei buvo sutarta, apie tai pasakau iškart ir sprendžiame kartu, o ne pateikiu didesnę sąskaitą pabaigoje.
Kiek laiko tai atims iš mūsų pusės?
Vadovui apie 4 valandas per visą projektą, paskirtam darbuotojui apie 24 valandas. Tai sąmoningas modelis: jūsų žmonės turi savo darbą, o reikalavimų skaitymas ir dokumentų rengimas yra mano dalis.
Ar nebūtų pigiau nusipirkti NIS2 platformą?
Pagal metinį mokestį — taip. Pagal rezultatą — priklauso nuo to, kas platformą pildys. Platforma duoda šablonus ir struktūrą, bet rizikos vertinimą, atsakomybių paskirstymą ir sprendimus vis tiek turi priimti įmonė. Jei turite žmogų, kuris tai padarys ir turi laiko, platforma gali pakakti. Jei tokio žmogaus nėra, nupirkta platforma lieka tuščia.
Ar po diegimo reikia tęstinės priežiūros?
Reikalavimai nenurodo jos pirkti iš konsultanto, bet patys darbai yra kasmetiniai: rizikos vertinimas, atitikties vertinimas, dokumentų atnaujinimas po pokyčių, vadovo mokymai kas dvejus metus, auditas kas trejus. Jei įmonėje yra žmogus, kuris tai prižiūrės, priežiūros pirkti nereikia. Jei nėra — nuotolinis priežiūros modelis kainuoja 3 000–7 000 EUR + PVM per metus, priklausomai nuo apimties.
Ar į kainą įeina ISO 27001 sertifikavimas?
Ne. Rėžis skirtas TIS2 ir Kibernetinio saugumo įstatymo reikalavimams. ISO 27001 sertifikavimo lydėjimas perkamas atskirai, nors persidengimas didelis ir daryti abu kartu dažnai pigiau nei atskirai. Pats sertifikatas išduodamas nepriklausomos sertifikavimo įstaigos, ir jos mokestis yra atskiras nuo konsultanto darbo.
Jau turime dalį dokumentų. Ar bus pigiau?
Taip, jei tie dokumentai realiai veikia. Pirmas žingsnis yra pasirengimo vertinimas, kuris parodo, kas iš turimo tinka, ką reikia perdaryti ir ko trūksta. Neretai paaiškėja, kad dokumentai yra, bet jie buvo rengti kitam tikslui ir reikalavimų neuždengia.
Pradėkime nuo apimties
Per 2 minutes atsakysite į kelis klausimus apie veiklą ir dydį. Pamatysiu apimtį ir pasakysiu, kurioje rėžio vietoje jūsų atvejis atsiduria.
Nurodytos kainos yra orientacinės ir galioja tipinei aprašytai apimčiai. Galutinė kaina nustatoma po pasirengimo vertinimo.