NIS2 ir Lietuvos įmonės – ko iš jūsų iš tikrųjų reikalaujama

NIS2 direktyva (ES 2022/2555) pakeičia pirmąją NIS direktyvą ir išplečia organizacijų, kurioms taikomi aiškūs kibernetinio saugumo reikalavimai, ratą. Trumpai: į taikymo sritį patenka daugiau įmonių, reikalavimai konkretesni, o atsakomybė pereina vadovybės lygmeniui.

Štai ką reglamentas reiškia praktiškai – ir nuo ko verta pradėti.

Ar patenkate į taikymo sritį?

Lemia du klausimai: kuriame sektoriuje veikiate ir kokio dydžio esate.

Sektoriai praktiškai skirstomi į dvi grupes. Vienoje yra, be kita ko, energetika, transportas, bankų ir finansų rinka, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, IRT paslaugų valdymas ir kosmosas. Kitoje – pašto ir kurjerių paslaugos, atliekų tvarkymas, cheminės medžiagos, maistas, gamyba, skaitmeninių paslaugų teikėjai ir moksliniai tyrimai.

Dėl dydžio reglamentas pirmiausia taikomas vidutinėms ir didelėms įmonėms – tačiau yra svarbių išimčių. Kai kurie subjektai patenka į taikymo sritį nepriklausomai nuo dydžio, pavyzdžiui, kvalifikuoti patikimi paslaugų teikėjai, viešųjų elektroninių ryšių paslaugų teikėjai ir centrinių DNS paslaugų teikėjai. Mažesnės įmonės taip pat gali patekti į taikymo sritį, jei jos yra vienintelis visuomenei svarbios paslaugos teikėjas.

Išvada: atlikite dokumentuotą vertinimą dėl sektoriaus, dydžio ir galimų specialiųjų taisyklių. Jei nesate tikri, manykite, kad galite patekti į taikymo sritį, ir pasitikrinkite – tai pigiau nei sužinoti priežiūros metu.

Reikalavimai iš esmės

NIS2 nėra produktų kontrolinis sąrašas. Tai reikalavimai informacijos saugumo valdymo sistemai su šiomis pagrindinėmis sritimis:

• Rizikos analizė ir saugumo politika, kuri yra dokumentuota ir faktiškai laikomasi.
• Incidentų valdymas su apibrėžtomis rolėmis, eskaliacijos keliais ir pratybomis.
• Veiklos tęstinumas – atsarginės kopijos, atkūrimas ir planas, kaip palaikyti kritines funkcijas.
• Tiekimo grandinė – atsakote už naudojamų tiekėjų saugumą, ne tik už savo.
• Pažeidžiamumų valdymas ir atnaujinimai, įskaitant tvarką, kaip elgtis su žinomais pažeidžiamumais.
• Daugiafaktorė autentifikacija ir ryšių apsauga, kur tai aktualu.
• Mokymai vadovybei ir darbuotojams.
• Šifravimas, kur tai tikslinga.

Pranešimas – griežčiausias terminas

Incidentų pranešimas yra dalis, kuri dažniausiai vertinama per žemai, nes laikrodis sukasi prieš jus. Apie reikšmingą incidentą pagal NIS2 reikia pranešti keliais etapais: ankstyvasis įspėjimas per 24 valandas, incidento pranešimas per 72 valandas ir baigiamoji ataskaita per mėnesį.

Praktiškai tai reiškia, kad tvarkos negalima sugalvoti incidento metu. Jums reikia:

1. Reikšmingo incidento apibrėžimo, kuris kyla iš verslo, o ne iš IT.
2. Paskirto žmogaus, galinčio išsiųsti ankstyvąjį įspėjimą – ir trečią valandą nakties.
3. Šablono ir ryšio kelio į priežiūros instituciją, paruošto prieš tai prireikiant.
4. Žurnalų, leidžiančių per 72 valandas aprašyti, kas įvyko.

Vadovybės atsakomybė

Vienas svarbiausių pokyčių – vadovybė negali deleguoti atsakomybės. Vadovybė turi patvirtinti rizikos valdymo priemones, stebėti jų įgyvendinimą ir pati išklausyti kibernetinio saugumo mokymus. Už sunkius pažeidimus sankcijos gali būti nukreiptos į organizaciją – o tam tikrais atvejais ir į vadovaujančius asmenis.

Praktiškai tai reiškia, kad NIS2 yra vadovybės, o ne IT klausimas. Geras pirmas žingsnis – kibernetinę riziką įtraukti į darbotvarkę kaip nuolatinį punktą: kuri mūsų sistema yra kritiškiausia, kas nutiks, jei ji stovės 72 valandas, ir kas už tai atsako?

Nuo ko verta pradėti

1. Taikymo srities vertinimas. Sektorius, dydis ir specialiosios taisyklės – dokumentuotai.
2. Atotrūkio analizė pagal aukščiau nurodytus reikalavimus. Kur yra politika, o kur tik ketinimas?
3. Incidentų tvarka pirmiausia. Ji turi griežčiausią terminą ir ją sutvarkyti pigiausia.
4. Tiekėjų sąrašas. Kurios trečiosios šalys turi prieigą prie jūsų kritinių sistemų ir kokius saugumo reikalavimus joms keliate sutartyse?
5. Vadovybės patvirtinimas. Sprendimai, atsakomybė ir mokymai – dokumentuotai.

Darykite tai tokia tvarka. Reglamento reikalavimai iš esmės yra tas pats darbas, kuris iš tikrųjų mažina riziką – skirtumas tas, kad dabar jis turi būti dokumentuotas, turėti savininką ir būti parodytinas.