Senior Information Security Consultant (NIS2)

• Wynagrodzenie: 200-240 PLN/h netto + VAT (w zależności od doświadczenia)
• Współpraca międzynarodowa

• Dogłębna znajomość dyrektywy NIS2, w szczególności:
• obowiązków organów zarządzających (art. 20),
• środków zarządzania ryzykiem w cyberbezpieczeństwie (art. 21),
• obowiązków związanych ze zgłaszaniem incydentów (art. 23),
• sposobu implementacji dyrektywy do krajowych porządków prawnych.
• Praktyczne doświadczenie we wdrażaniu środków wymaganych przez NIS2 w organizacjach objętych zakresem dyrektywy, poparte referencjami z realizowanych projektów wdrożeniowych.
• Doświadczenie w pracy z normą ISO/IEC 27001 oraz dobra znajomość jej struktury i wymagań, w tym umiejętność powiązania wymagań regulacyjnych, takich jak NIS2, z mechanizmami kontrolnymi normy.
• Doświadczenie w realizacji zadań GRC w obszarze bezpieczeństwa informacji, obejmujących:
• analizę ryzyka,
• oceny bezpieczeństwa,
• ciągłość działania,
• zarządzanie kryzysowe,
• zgłaszanie incydentów,
• bezpieczeństwo dostawców.
• Doświadczenie w prowadzeniu warsztatów z udziałem kadry zarządzającej i przedstawicieli biznesu.
• Umiejętność przygotowywania praktycznych szablonów i wytycznych, z których mogą korzystać również osoby spoza działów IT i bezpieczeństwa.
• Doświadczenie w prowadzeniu programów obejmujących kilka spółek lub krajów.
• Biegła znajomość języka angielskiego w mowie i piśmie.

Dodatkowym atutem będzie

• Doświadczenie w branży żeglugowej, portowej lub transportowej, w tym znajomość Kodeksu ISPS (International Ship and Port Facility Security Code – Międzynarodowy kodeks ochrony statków i obiektów portowych).
• Posiadanie certyfikatu, takiego jak:
• CISM (Certified Information Security Manager),
• CISSP (Certified Information Systems Security Professional),
• ISO/IEC 27001 Lead Implementer.
• Znajomość języka szwedzkiego.

Obowiązki

• Systematyczne podnoszenie poziomu dojrzałości NIS2 w dziewięciu podmiotach: planowanie działań, comiesięczne monitorowanie postępów, usuwanie przeszkód oraz raportowanie statusu do Dyrektora ds. Bezpieczeństwa Informacji i Cyberbezpieczeństwa Grupy (Group Head of Information and Cybersecurity).
• Rozwijanie programu: doskonalenie metod, szablonów i sposobów monitorowania postępów na podstawie doświadczeń zdobytych podczas współpracy z poszczególnymi podmiotami.
• Wspieranie lokalnych osób odpowiedzialnych za NIS2 w ich codziennej pracy: wyjaśnianie praktycznego znaczenia poszczególnych wymagań, określanie, jakie dowody potwierdzają ich spełnienie, pomoc w planowaniu oraz weryfikacji dokumentacji i dowodów.
• Planowanie i prowadzenie warsztatów, stacjonarnie lub zdalnie, dotyczących:
• oceny ryzyka,
• analizy wpływu na działalność biznesową (BIA – Business Impact Analysis),
• ciągłości działania (Business Continuity),
• zarządzania kryzysowego,
• ćwiczeń symulacyjnych (tabletop exercises), sprawdzających gotowość do dotrzymania terminów zgłaszania incydentów wynoszących 24 i 72 godziny.
• Przygotowywanie praktycznych szablonów i krótkich instrukcji napisanych prostym, zrozumiałym językiem biznesowym, zgodnych z istniejącą dokumentacją.
• Przygotowywanie materiałów i decyzji wymagających zatwierdzenia przez organy zarządzające poszczególnych podmiotów, monitorowanie realizacji tych decyzji oraz wspieranie szkoleń kadry zarządzającej dotyczących NIS2.
• Opracowanie, wspólnie z działem zakupów, procesu oceny bezpieczeństwa dostawców, a następnie wsparcie poszczególnych podmiotów we wdrażaniu tego procesu. Obejmuje to:
• kategoryzację dostawców według poziomu ryzyka,
• uwzględnianie wymagań bezpieczeństwa w umowach,
• przeprowadzanie ocen ryzyka dostawców.
• Zapewnienie, że każdy podmiot jest przygotowany do zgłoszenia poważnego incydentu do właściwego krajowego organu nadzorczego.
• Mapowanie wymagań NIS2 na normę ISO/IEC 27001, tak aby zarządzanie zgodnością z NIS2 odbywało się w ramach systemu zarządzania bezpieczeństwem informacji (SZBI), funkcjonującego zgodnie z ISO/IEC 27001.
• Udział w innych działaniach z obszaru GRC realizowanych przez dział Cyberbezpieczeństwa, takich jak oceny bezpieczeństwa i analizy ryzyka.