NIS2: कौन प्रभावित है और कहाँ से शुरू करें?
यूरोपीय NIS2 निर्देश साइबर सुरक्षा दायित्वों के अधीन संगठनों की संख्या को काफ़ी बढ़ा देता है। यहाँ यह जानने के लिए मुख्य बातें हैं कि क्या आप प्रभावित हैं और तैयारी कैसे करें, किसी पेशेवर के विश्लेषण का स्थान लिए बिना।
Kayzen Security संपादकीय टीमपढ़ने में 4 मिनट
निर्देश में क्या प्रावधान है
14 दिसंबर 2022 को अपनाया गया NIS2 निर्देश 2016 के NIS निर्देश की जगह लेता है। यह संबंधित इकाइयों पर साइबर सुरक्षा जोखिम प्रबंधन के उपाय करने (अनुच्छेद 21) और महत्वपूर्ण घटनाओं की रिपोर्ट करने (अनुच्छेद 23) का दायित्व डालता है, और प्रबंधन निकायों की ज़िम्मेदारी तय करता है, जिन्हें इन उपायों को स्वीकृत करना और प्रशिक्षण लेना होता है (अनुच्छेद 20)।
फ़्रांस में इसका रूपांतरण (ट्रांसपोज़िशन) एक क़ानून और कार्यान्वयन पाठों के माध्यम से होता है। उनकी प्रगति और लागू होने की तारीख़ें, यह गाइड पढ़ते समय, ANSSI की साइट पर सत्यापित की जानी चाहिए।
क्या मैं प्रभावित हूँ? तीन मानदंड
- क्षेत्र: निर्देश 11 «अत्यधिक महत्वपूर्ण» क्षेत्रों (अनुलग्नक I: ऊर्जा, परिवहन, बैंकिंग, स्वास्थ्य, जल, डिजिटल अवसंरचना, सार्वजनिक प्रशासन, अंतरिक्ष…) और 7 «अन्य महत्वपूर्ण क्षेत्रों» (अनुलग्नक II: डाक सेवाएँ, अपशिष्ट प्रबंधन, रसायन, खाद्य, कुछ उत्पादों का निर्माण, डिजिटल प्रदाता, अनुसंधान) को सूचीबद्ध करता है। वित्तीय क्षेत्र के लिए, जोखिम प्रबंधन और घटना रिपोर्टिंग हेतु DORA विनियमन (UE) 2022/2554 प्राथमिकता से लागू होता है।
- आकार: सामान्य नियम के रूप में, इन क्षेत्रों की मध्यम कंपनियाँ (कम से कम 50 कर्मचारी, या 1 करोड़ यूरो से अधिक का कारोबार और बैलेंस शीट कुल) और बड़ी कंपनियाँ; संबद्ध या साझेदार कंपनियों के कर्मचारियों और राशियों को जोड़ना पड़ सकता है।
- आकार के अपवाद: कुछ इकाइयाँ आकार की परवाह किए बिना दायरे में हैं, विशेष रूप से सार्वजनिक इलेक्ट्रॉनिक संचार नेटवर्क या सेवाओं के प्रदाता, विश्वास सेवा प्रदाता, शीर्ष-स्तरीय डोमेन नाम रजिस्ट्री और DNS सेवा प्रदाता, और साथ ही, राष्ट्रीय नामांकन के अनुसार, देश में किसी आवश्यक सेवा की एकमात्र प्रदाता इकाई।
- स्थानीय निकाय और प्रशासन राष्ट्रीय रूपांतरण के अनुसार दायरे में आ सकते हैं।
आवश्यक इकाइयाँ और महत्वपूर्ण इकाइयाँ
दोनों श्रेणियों को एक ही प्रकार के उपाय लागू करने होते हैं, लेकिन पर्यवेक्षण अलग है: आवश्यक इकाइयों के लिए पूर्व-निरीक्षण संभव है, महत्वपूर्ण इकाइयों के लिए बाद में (घटना के बाद)। निर्देश आवश्यक इकाइयों के लिए प्रशासनिक दंड की अधिक ऊँची सीमाएँ भी तय करता है। फ़्रांस में लागू राशियाँ रूपांतरण क़ानून पर निर्भर करती हैं।
अनुच्छेद 21 के उपाय, संक्षेप में
- जोखिम विश्लेषण और सुरक्षा नीतियाँ।
- घटना प्रबंधन।
- व्यवसाय निरंतरता, बैकअप और संकट प्रबंधन।
- आपूर्ति श्रृंखला की सुरक्षा।
- सिस्टम के अधिग्रहण, विकास और रखरखाव की सुरक्षा, जिसमें कमज़ोरियों का प्रबंधन शामिल है।
- उपायों की प्रभावशीलता का मूल्यांकन।
- बुनियादी साइबर स्वच्छता और प्रशिक्षण।
- क्रिप्टोग्राफ़ी और एन्क्रिप्शन।
- मानव संसाधन सुरक्षा, एक्सेस नियंत्रण और परिसंपत्ति प्रबंधन।
- बहु-कारक प्रमाणीकरण और सुरक्षित संचार।
महत्वपूर्ण घटनाओं की रिपोर्ट करना
निर्देश में किसी महत्वपूर्ण घटना की जानकारी मिलने के 24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना की सूचना, और फिर इस सूचना के अधिकतम एक महीने बाद अंतिम रिपोर्ट का प्रावधान है। ये रिपोर्टें CSIRT या सक्षम प्राधिकरण को भेजी जाती हैं। इसके लिए ज़रूरी है कि आप पहले से जानते हों कि घटना का पता कैसे लगाएँ, उसका वर्गीकरण कैसे करें और सही संपर्क कौन है।
कहाँ से शुरू करें
- ANSSI की ऑनलाइन सेवा की मदद से अपनी स्थिति जाँचें और विश्लेषण की पुष्टि किसी पेशेवर से कराएँ।
- अपने सिस्टम, अपने डेटा और अपने सेवा प्रदाताओं की इन्वेंटरी बनाएँ।
- बुनियादी स्वच्छता उपाय लागू करें: अपडेट, दो-चरणीय प्रमाणीकरण, ऑफ़लाइन बैकअप, नियंत्रित एडमिनिस्ट्रेटर खाते।
- घटनाओं के प्रबंधन और रिपोर्टिंग की एक प्रक्रिया लिखें।
- प्रबंधन को शामिल करें, जिसे उपायों को स्वीकृत करना और प्रशिक्षण लेना होता है।
यह गाइड जानकारी के उद्देश्य से directive (UE) 2022/2555 का सारांश देती है। यह कानूनी सलाह नहीं है: आप इसके दायरे में आते हैं या नहीं और आपके दायित्व क्या हैं, इसे लागू रूपांतरण पाठ और ANSSI की जानकारी के आधार पर किसी पेशेवर से सत्यापित कराना चाहिए। Kayzen जैसा टूल अनुच्छेद 21 के उपायों में योगदान दे सकता है, यह किसी संगठन को अनुपालक नहीं बनाता।
आधिकारिक स्रोत
- ANSSI (नया टैब) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (नया टैब) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (नया टैब) — Agence nationale de la sécurité des systèmes d'information — guides et publications
उद्धृत संसाधन उनके लेखकों द्वारा मूल भाषा में प्रकाशित किए गए हैं। Kayzen इनमें से किसी भी संस्था से संबद्ध नहीं है।
यह गाइड सामान्य जानकारी के लिए है। यह न तो कानूनी सलाह का और न ही किसी आईटी सुरक्षा पेशेवर की सहायता का विकल्प है।