NIS2 in slovenska podjetja – kaj se od vas resnično zahteva

Direktiva NIS2 (EU 2022/2555) nadomešča prvo direktivo NIS in širi krog organizacij, ki morajo izpolnjevati jasne zahteve glede kibernetske varnosti. Na kratko: v obsegu je več podjetij, zahteve so konkretnejše, odgovornost pa se prenaša na raven vodstva.

Tukaj je, kaj ureditev pomeni v praksi – in s čim je vredno začeti.

Ali ste v obsegu?

Odločata dve vprašanji: v katerem sektorju delujete in kako veliki ste.

Sektorji se v praksi delijo v dve skupini. V eni so med drugim energetika, promet, bančni in finančni trg, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT in vesolje. V drugi so med drugim poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja, ponudniki digitalnih storitev in raziskave.

Glede velikosti se ureditev nanaša predvsem na srednja in velika podjetja – vendar obstajajo pomembne izjeme. Nekateri subjekti so v obsegu ne glede na velikost, na primer kvalificirani ponudniki storitev zaupanja, ponudniki javno dostopnih elektronskih komunikacijskih storitev in ponudniki centralnih storitev DNS. Tudi manjša podjetja so lahko v obsegu, če so edini ponudnik storitve, kritične za družbo.

Sklep: naredite dokumentirano oceno sektorja, velikosti in morebitnih posebnih pravil. Če niste prepričani, izhajajte iz tega, da ste lahko v obsegu, in to preverite – to je ceneje kot odkritje med nadzorom.

Zahteve po vsebini

NIS2 ni seznam izdelkov. To so zahteve za sistem upravljanja informacijske varnosti z naslednjimi osnovnimi področji:

• Analiza tveganj in varnostna politika, ki je dokumentirana in se dejansko upošteva.
• Obvladovanje incidentov z določenimi vlogami, potmi stopnjevanja in vajami.
• Neprekinjeno poslovanje – varnostne kopije, obnovitev in načrt za ohranjanje kritičnih funkcij.
• Dobavna veriga – odgovorni ste za varnost dobaviteljev, ki jih uporabljate, ne le za svojo.
• Upravljanje ranljivosti in posodobitve, vključno z rutino za ravnanje z znanimi ranljivostmi.
• Večfaktorska avtentikacija in zaščita komunikacij, kjer je to smiselno.
• Usposabljanje vodstva in zaposlenih.
• Šifriranje, kjer je to smotrno.

Poročanje je najstrožji rok

Poročanje o incidentih je del, ki je najpogosteje podcenjen, saj ura teče proti vam. O pomembnem incidentu je treba po NIS2 poročati v več korakih: zgodnje opozorilo v 24 urah, obvestilo o incidentu v 72 urah in končno poročilo v enem mesecu.

V praksi to pomeni, da rutine ni mogoče izmisliti med incidentom. Potrebujete:

1. Opredelitev pomembnega incidenta, ki izhaja iz poslovanja in ne iz IT.
2. Imenovano osebo, ki lahko pošlje zgodnje opozorilo – tudi ob treh zjutraj.
3. Predlogo in pot do nadzornega organa, pripravljeno, preden je potrebna.
4. Dnevnike, ki omogočajo, da v 72 urah opišete, kaj se je zgodilo.

Odgovornost vodstva

Ena najpomembnejših sprememb je, da vodstvo ne more prenesti odgovornosti. Vodstvo mora odobriti ukrepe za obvladovanje tveganj, nadzorovati njihovo izvajanje in opraviti usposabljanje o kibernetski varnosti. Pri hudih kršitvah so sankcije lahko usmerjene v organizacijo – v nekaterih primerih pa tudi v vodilne osebe.

V praksi to pomeni, da je NIS2 vprašanje vodstva, ne IT. Dober prvi korak je, da kibernetsko tveganje postane stalna točka dnevnega reda: kateri je naš najbolj kritičen sistem, kaj se zgodi, če stoji 72 ur, in kdo je za to odgovoren?

S čim je vredno začeti

1. Ocena obsega. Sektor, velikost in posebna pravila – dokumentirano.
2. Analiza vrzeli glede na zgornje zahteve. Kje je politika, kje le namera?
3. Rutina obvladovanja incidentov najprej. Ima najstrožji rok in jo je najceneje urediti.
4. Seznam dobaviteljev. Katere tretje strani imajo dostop do vaših kritičnih sistemov in katere varnostne zahteve jim postavljate v pogodbah?
5. Potrditev vodstva. Odločitve, odgovornost in usposabljanje – dokumentirano.

Delajte v tem vrstnem redu. Zahteve ureditve so v bistvu isto delo, ki resnično zmanjšuje tveganje – razlika je v tem, da mora biti zdaj dokumentirano, imeti lastnika in biti prikazljivo.