NIS2 un Latvijas uzņēmumi – kas no jums patiešām tiek prasīts

NIS2 direktīva (ES 2022/2555) aizstāj pirmo NIS direktīvu un paplašina to organizāciju loku, kurām jāievēro skaidras kiberdrošības prasības. Īsi: tvērumā ir vairāk uzņēmumu, prasības ir konkrētākas, un atbildība pāriet vadības līmenī.

Lūk, ko regulējums nozīmē praksē – un ar ko vērts sākt.

Vai esat tvērumā?

Divi jautājumi izšķir: kurā nozarē darbojaties un cik lieli esat.

Nozares praksē iedala divās grupās. Vienā ir, cita starpā, enerģētika, transports, banku un finanšu tirgus, veselības aprūpe, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība un kosmoss. Otrā ir, cita starpā, pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtika, ražošana, digitālie pakalpojumu sniedzēji un pētniecība.

Attiecībā uz lielumu regulējums galvenokārt attiecas uz vidējiem un lieliem uzņēmumiem – taču ir svarīgi izņēmumi. Daži dalībnieki ir tvērumā neatkarīgi no lieluma, piemēram, kvalificēti uzticami pakalpojumu sniedzēji, publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji un centrālie DNS pakalpojumu sniedzēji. Arī mazāki uzņēmumi var būt tvērumā, ja tie ir vienīgais sabiedrībai kritiskā pakalpojuma sniedzējs.

Secinājums: veiciet dokumentētu novērtējumu par nozari, lielumu un iespējamiem īpašajiem noteikumiem. Ja neesat pārliecināti, pieņemiet, ka varat būt tvērumā, un pārbaudiet to – tas ir lētāk nekā atklāt uzraudzības laikā.

Prasības pēc būtības

NIS2 nav produktu kontrolsaraksts. Tās ir prasības informācijas drošības pārvaldības sistēmai ar šādām pamatjomām:

• Risku analīze un drošības politika, kas ir dokumentēta un faktiski ievērota.
• Incidentu pārvaldība ar noteiktām lomām, eskalācijas ceļiem un mācībām.
• Darbības nepārtrauktība – dublēšana, atjaunošana un plāns kritisko funkciju uzturēšanai.
• Piegādes ķēde – jūs atbildat par izmantoto piegādātāju drošību, ne tikai par savējo.
• Ievainojamību pārvaldība un atjauninājumi, tostarp rutīna zināmo ievainojamību apstrādei.
• Daudzfaktoru autentifikācija un saziņas aizsardzība, kur tas ir būtiski.
• Apmācība vadībai un darbiniekiem.
• Šifrēšana, kur tas ir lietderīgi.

Ziņošana ir stingrākais termiņš

Incidentu ziņošana ir tā daļa, kas visbiežāk tiek novērtēta par zemu, jo pulkstenis iet pret jums. Nozīmīgs incidents saskaņā ar NIS2 jāpaziņo vairākos posmos: agrīnais brīdinājums 24 stundu laikā, incidenta paziņojums 72 stundu laikā un noslēguma ziņojums mēneša laikā.

Praksē tas nozīmē, ka rutīnu nevar izdomāt incidenta laikā. Jums nepieciešams:

1. Nozīmīga incidenta definīcija, kas sakņojas uzņēmējdarbībā.
2. Nosaukta persona, kas var nosūtīt agrīno brīdinājumu – arī pulksten trijos naktī.
3. Veidne un saziņas ceļš uz uzraudzības iestādi, gatavs pirms tas nepieciešams.
4. Žurnālieraksti, kas ļauj 72 stundu laikā aprakstīt, kas noticis.

Vadības atbildība

Viena no svarīgākajām izmaiņām ir tā, ka vadība nevar deleģēt atbildību. Vadībai jāapstiprina risku pārvaldības pasākumi, jāuzrauga to ieviešana un jāiziet kiberdrošības apmācība. Nopietnu pārkāpumu gadījumā sankcijas var vērst pret organizāciju – un atsevišķos gadījumos pret vadošajām amatpersonām.

Praksē tas nozīmē, ka NIS2 ir vadības, nevis IT jautājums. Labs pirmais solis ir iekļaut kiberrisku darba kārtībā kā pastāvīgu punktu: kura ir mūsu kritiskākā sistēma, kas notiek, ja tā stāv 72 stundas, un kas par to atbild?

Ar ko vērts sākt

1. Tvēruma novērtējums. Nozare, lielums un īpašie noteikumi – dokumentēti.
2. Atbilstības analīze pret iepriekš minētajām prasībām. Kur ir politika, kur ir tikai nodoms?
3. Incidentu rutīna vispirms. Tai ir stingrākais termiņš, un to ir vislētāk sakārtot.
4. Piegādātāju saraksts. Kurām trešajām pusēm ir piekļuve jūsu kritiskajām sistēmām, un kādas drošības prasības jūs tām izvirzāt līgumos?
5. Vadības apstiprinājums. Lēmumi, atbildība un apmācība – dokumentēti.

Dariet to šādā secībā. Regulējuma prasības būtībā ir tas pats darbs, kas patiešām samazina risku – atšķirība ir tā, ka tagad tam jābūt dokumentētam, ar īpašnieku un parādāmam.