NIS2: kogo dotyczy i od czego zacząć?
Europejska dyrektywa NIS2 znacznie zwiększa liczbę organizacji objętych obowiązkami w zakresie cyberbezpieczeństwa. Oto wskazówki, jak ustalić, czy Cię dotyczy, i jak się przygotować, bez zastępowania analizy specjalisty.
Zespół redakcyjny Kayzen Security4 min czytania
Co przewiduje dyrektywa
Przyjęta 14 grudnia 2022 r. dyrektywa NIS2 zastępuje dyrektywę NIS z 2016 r. Nakłada na objęte nią podmioty obowiązek stosowania środków zarządzania ryzykiem cyberbezpieczeństwa (art. 21), zgłaszania poważnych incydentów (art. 23) oraz wprowadza odpowiedzialność organów zarządzających, które muszą zatwierdzać te środki i przechodzić szkolenia (art. 20).
We Francji transpozycja odbywa się w drodze ustawy i aktów wykonawczych. Stan ich zaawansowania i daty wejścia w życie należy sprawdzić na stronie ANSSI w chwili czytania tego poradnika.
Czy mnie to dotyczy? Trzy kryteria
- Sektor: dyrektywa wymienia 11 sektorów „o wysokim znaczeniu krytycznym” (załącznik I: energetyka, transport, bankowość, ochrona zdrowia, woda, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna…) i 7 „innych sektorów krytycznych” (załącznik II: usługi pocztowe, gospodarowanie odpadami, chemikalia, żywność, produkcja niektórych wyrobów, dostawcy usług cyfrowych, badania naukowe). W sektorze finansowym w zakresie zarządzania ryzykiem i zgłaszania incydentów pierwszeństwo ma rozporządzenie DORA (UE) 2022/2554.
- Wielkość: co do zasady średnie przedsiębiorstwa (co najmniej 50 pracowników lub obrót i suma bilansowa przekraczające 10 milionów euro) i duże przedsiębiorstwa z tych sektorów; liczby pracowników i kwoty przedsiębiorstw powiązanych lub partnerskich mogą wymagać zsumowania.
- Wyjątki dotyczące wielkości: niektóre podmioty są objęte niezależnie od wielkości, w szczególności dostawcy publicznych sieci lub usług łączności elektronicznej, dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu i dostawcy usług DNS, a także, zależnie od krajowego wyznaczenia, podmiot będący jedynym dostawcą usługi kluczowej w kraju.
- Samorządy i administracja mogą być objęte w zależności od krajowej transpozycji.
Podmioty kluczowe i podmioty ważne
Obie kategorie muszą stosować te same rodzaje środków, ale nadzór jest inny: możliwe kontrole ex ante w przypadku podmiotów kluczowych, ex post w przypadku podmiotów ważnych. Dyrektywa ustala także wyższe górne granice kar administracyjnych dla podmiotów kluczowych. Kwoty obowiązujące we Francji zależą od ustawy transponującej.
Środki z art. 21 w skrócie
- Analiza ryzyka i polityki bezpieczeństwa.
- Obsługa incydentów.
- Ciągłość działania, kopie zapasowe i zarządzanie kryzysowe.
- Bezpieczeństwo łańcucha dostaw.
- Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania systemów, w tym zarządzanie podatnościami.
- Ocena skuteczności środków.
- Podstawowa cyberhigiena i szkolenia.
- Kryptografia i szyfrowanie.
- Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami.
- Uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja.
Zgłaszanie poważnych incydentów
Dyrektywa przewiduje wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin, a następnie sprawozdanie końcowe najpóźniej miesiąc po tym zgłoszeniu. Zgłoszenia kieruje się do CSIRT lub właściwego organu. Wymaga to umiejętności wykrycia incydentu, jego zakwalifikowania i wcześniejszej wiedzy, kto jest właściwym adresatem.
Od czego zacząć
- Sprawdzić swoją sytuację za pomocą usługi online ANSSI i potwierdzić analizę ze specjalistą.
- Zinwentaryzować swoje systemy, dane i usługodawców.
- Wdrożyć podstawowe środki higieny: aktualizacje, uwierzytelnianie dwuskładnikowe, kopie zapasowe offline, kontrolowane konta administratorów.
- Spisać procedurę obsługi i zgłaszania incydentów.
- Zaangażować kierownictwo, które musi zatwierdzać środki i przechodzić szkolenia.
Ten poradnik streszcza dyrektywę (UE) 2022/2555 w celach informacyjnych. Nie stanowi porady prawnej: to, czy podlegasz dyrektywie, i Twoje obowiązki należy potwierdzić ze specjalistą, na podstawie obowiązującego aktu transponującego i informacji ANSSI. Narzędzie takie jak Kayzen może przyczyniać się do środków z art. 21, ale nie zapewnia organizacji zgodności.
Oficjalne źródła
- ANSSI (nowa karta) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (nowa karta) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (nowa karta) — Agence nationale de la sécurité des systèmes d'information — guides et publications
Cytowane materiały są publikowane przez ich autorów w języku oryginału. Kayzen nie jest powiązany z żadną z tych instytucji.
Ten poradnik ma charakter informacyjny i ogólny. Nie zastępuje porady prawnej ani interwencji specjalisty ds. bezpieczeństwa IT.