הבעיה
לקוח אומר DORA. משקיע אומר NIS2. לקוח פוטנציאלי בגרמניה אומר חוק ה-AI. אין לכם מושג אילו מאלה חלים על חברה בגודל שלכם, במגזר שלכם, ומה כל אחד באמת דורש בפועל. המחיר של ניחוש שגוי הוא או ריצה מבוהלת או שנה של עבודה שמעולם לא הייתם צריכים לעשות.
השיטה.
קביעת תחולה, בכתב
ניתוח תחולה לכל משטר רגולטורי: איזה גוף, איזו פעילות, איזו סמכות שיפוט, איזה סף. DORA חל על גופים פיננסיים וספקי ה-ICT הקריטיים שלהם; NIS2 תלוי במגזר ובמצבת כוח אדם; חוק ה-AI של האיחוד האירופי תלוי במחלקת הסיכון של המערכת ובתפקידכם כספק או כמפעיל. רוב החברות נמצאות בתחולה של פחות משטרים ממה שהן חוששות, ושל אחד שלא שמו לב אליו.
תרגום חובות לבקרות
כל משטר שבתחולה מפורק לחובות קונקרטיות (חלונות דיווח על אירועים, מרשם מידע, תניות חוזה מול ספקים, תיעוד טכני, שמירת לוגים) וממופה אל בקרות ISO 27001 ו-SOC 2 שאתם כבר מפעילים, כך שאותה ראיה משרתת כמה אדונים.
הפקת הדלתא
העבודה היחידה שמשנה היא מה שהמשטר החדש מוסיף מעבר למה שכבר יש לכם. אנחנו מפרסמים את הדלתא כתוכנית עבודה תחומה עם אומדני מאמץ, אחראים ומועדים סטטוטוריים, ואומרים בבירור אילו חובות אתם כבר מקיימים.
טיפול בשרשרת החוזית
סקירת תניות האבטחה והרגולציה שהלקוחות שלכם דוחפים אליכם, ואלו שאתם חייבים לדחוף אל הספקים שלכם (תנאי קבלנות משנה של DORA, תניות מעבד לפי סעיף 28 ל-GDPR, זכויות יציאה וביקורת) כך שהחובות שנחתמות הן אלו שאתם באמת יכולים לבצע.
קיום מעקב רגולטורי
משטרים מוגדרים נעקבים אחר שינוי: תקנות יישום, תקנים טכניים, הנחיות מהרשות להגנת הפרטיות הישראלית, ציפיות הפיקוח. אתם מקבלים את השינויים שנוגעים לכם, עם הפעולה הנדרשת, ותו לא.
מהו ייעוץ רגולטורי בתחום הסייבר?
ייעוץ רגולטורי הוא העיסוק בקביעה אילו רגולציות אבטחה ופרטיות חלות על ארגון מסוים, תרגום כל חובה לבקרות טכניות וארגוניות קונקרטיות, ומעקב אחר שינויים ברגולציות הללו לאורך זמן. זהו תחום ציות, לא שירות משפטי.
האם NIS2 או DORA חלים על חברת טכנולוגיה ישראלית?
ייתכן. NIS2 ו-DORA חלים על בסיס פעילות ושוק ולא על בסיס מקום ההתאגדות: חברה ישראלית יכולה להיכנס לתחולה כספקית שירותי ICT לגוף פיננסי אירופי, כגוף חיוני או חשוב הפועל באיחוד האירופי, או באופן חוזי דרך לקוחותיה, שמעבירים את החובות הלאה. יש להעריך תחולה לכל גוף ולכל חוזה בנפרד.
מה ההבדל בין ייעוץ רגולטורי לבין שירותים משפטיים?
ייעוץ רגולטורי קובע אילו מסגרות חלות, אילו בקרות הן דורשות, וכיצד ליישם ולתעד את הבקרות הללו במערכות ובתהליכים שלכם. הוא אינו מספק חוות דעת משפטיות, ניסוח חוזים או ייצוג. היכן ששאלה תלויה בפרשנות של חוק, היא שייכת לעורכי הדין שלכם, ואנחנו עובדים לצידם.