NIS2 a polskie firmy – czego naprawdę się od was wymaga

Dyrektywa NIS2 (UE 2022/2555) zastępuje pierwszą dyrektywę NIS i poszerza krąg organizacji objętych jednoznacznymi wymaganiami w zakresie cyberbezpieczeństwa. Krótko: w zakresie jest więcej firm, wymagania są konkretniejsze, a odpowiedzialność przenosi się na poziom zarządu.

Oto, co regulacja oznacza w praktyce – i od czego warto zacząć.

Czy jesteście w zakresie?

Decydują dwa pytania: w jakim sektorze działacie i jak duzi jesteście.

Sektory dzielą się w praktyce na dwie grupy. W jednej są m.in. energetyka, transport, rynek bankowy i finansowy, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT i przestrzeń kosmiczna. W drugiej m.in. usługi pocztowe i kurierskie, gospodarka odpadami, chemikalia, żywność, produkcja, dostawcy usług cyfrowych i badania naukowe.

Jeśli chodzi o wielkość, regulacja dotyczy przede wszystkim średnich i dużych przedsiębiorstw – ale istnieją istotne wyjątki. Niektórzy uczestnicy są w zakresie niezależnie od wielkości, na przykład kwalifikowani dostawcy usług zaufania, dostawcy publicznie dostępnych usług łączności elektronicznej i dostawcy centralnych usług DNS. Mniejsze firmy również mogą być w zakresie, jeśli są jedynym dostawcą usługi krytycznej dla społeczeństwa.

Wniosek: przeprowadźcie udokumentowaną ocenę sektora, wielkości i ewentualnych przepisów szczególnych. Jeśli nie jesteście pewni, przyjmijcie, że możecie być w zakresie, i to sprawdźcie – to tańsze niż odkrycie tego podczas kontroli.

Wymagania w istocie

NIS2 nie jest listą produktów. To wymagania wobec systemu zarządzania bezpieczeństwem informacji w następujących obszarach:

• Analiza ryzyka i polityka bezpieczeństwa, udokumentowana i faktycznie stosowana.
• Obsługa incydentów z określonymi rolami, ścieżkami eskalacji i ćwiczeniami.
• Ciągłość działania – kopie zapasowe, odtwarzanie i plan utrzymania funkcji krytycznych.
• Łańcuch dostaw – odpowiadacie za bezpieczeństwo wykorzystywanych dostawców, nie tylko własne.
• Zarządzanie podatnościami i aktualizacje, w tym rutyna postępowania ze znanymi podatnościami.
• Uwierzytelnianie wieloskładnikowe i ochrona łączności tam, gdzie to istotne.
• Szkolenia dla zarządu i pracowników.
• Szyfrowanie tam, gdzie jest to celowe.

Zgłaszanie to najostrzejszy termin

Zgłaszanie incydentów to część najczęściej niedoszacowana, bo zegar tyka przeciwko wam. Poważny incydent należy zgłosić zgodnie z NIS2 w kilku etapach: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin i raport końcowy w ciągu miesiąca.

W praktyce oznacza to, że procedury nie można wymyślać w trakcie incydentu. Potrzebujecie:

1. Definicji poważnego incydentu zakorzenionej w biznesie, a nie w IT.
2. Wskazanej osoby, która może wysłać wczesne ostrzeżenie – także o trzeciej w nocy.
3. Szablonu i ścieżki kontaktu do organu nadzorczego, gotowych zanim będą potrzebne.
4. Logów pozwalających w ciągu 72 godzin opisać, co się stało.

Odpowiedzialność zarządu

Jedną z najważniejszych zmian jest to, że zarząd nie może delegować odpowiedzialności. Zarząd musi zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrażanie i sam przechodzić szkolenia z cyberbezpieczeństwa. W przypadku poważnych naruszeń sankcje mogą być kierowane wobec organizacji – a w niektórych przypadkach wobec osób zarządzających.

W praktyce oznacza to, że NIS2 jest sprawą zarządu, a nie IT. Dobrym pierwszym krokiem jest stały punkt w agendie: który system jest naszym najbardziej krytycznym, co się stanie, jeśli stanie na 72 godziny, i kto za to odpowiada?

Od czego warto zacząć

1. Ocena zakresu. Sektor, wielkość i przepisy szczególne – udokumentowane.
2. Analiza luk wobec powyższych wymagań. Gdzie jest polityka, a gdzie tylko zamiar?
3. Procedura incydentów przede wszystkim. Ma najostrzejszy termin i najtaniej ją uporządkować.
4. Lista dostawców. Które podmioty trzecie mają dostęp do waszych systemów krytycznych i jakie wymagania bezpieczeństwa im stawiacie w umowach?
5. Zatwierdzenie przez zarząd. Decyzje, odpowiedzialność i szkolenia – udokumentowane.

Róbcie to w tej kolejności. Wymagania regulacji to w istocie ta sama praca, która naprawdę zmniejsza ryzyko – różnica polega na tym, że teraz musi być udokumentowana, mieć właściciela i być pokazywalna.