NIS2 · Директива (ЄС) 2022/2555
Відповідність NIS2 для суттєвих і важливих суб’єктів
NIS2 поширює правила кібербезпеки ЄС на галузі, які раніше не регулювалися, і робить керівництво особисто відповідальним.
на раннє попередження про значущий інцидент; повідомлення — протягом 72 годин, фінальний звіт — протягом місяця.
17 жовтня 2024 року минув строк транспозиції директиви для держав-членів.
ЩО ЗМІНИЛОСЯ З NIS2
NIS2 встановлює заходи управління ризиками, які мають бути належними і пропорційними, і охоплюють щонайменше десять сфер. Майже кожен пункт вимагає доказу того, що захід працює, а не того, що він просто задокументований.
Десять сфер: аналіз ризиків і політики безпеки інформаційних систем; управління інцидентами; безперервність бізнесу та кризове управління; безпека ланцюга постачання; безпека при придбанні, розробці та обслуговуванні систем; політики оцінки того, чи заходи справді працюють; кібергігієна та навчання; криптографія; безпека персоналу, контроль доступу та управління активами; багатофакторна автентифікація та захищені комунікації.
ДИРЕКТИВА (ЄС) 2022/2555
Замінила початкову Директиву NIS. Строк транспозиції для держав-членів — 17 жовтня 2024 року.
ШИРША СФЕРА ЗАСТОСУВАННЯ
NIS2 охоплює 18 секторів (за першої директиви NIS їх було 7), зокрема: енергетика, транспорт, банківська сфера, охорона здоров’я, водопостачання, цифрова інфраструктура, управління ІКТ-послугами, державне управління, поштові послуги, поводження з відходами, хімічна і харчова промисловість, виробництво, цифрові провайдери.
ВІДПОВІДАЛЬНІСТЬ КЕРІВНИЦТВА
Керівні органи мають затверджувати заходи управління кіберризиками та наглядати за їх виконанням і можуть нести особисту відповідальність — аж до тимчасової заборони обіймати керівні посади.
БЕЗПЕКА ЛАНЦЮГА ПОСТАЧАННЯ
Забезпечення безпеки ваших постачальників — це пряме зобов’язання, а не рекомендація.
Що ми робимо
Визначення периметра та класифікація
Ми визначаємо, чи потрапляєте ви в периметр директиви і до якої категорії, у кожній державі-члені, де ви працюєте.
Аналіз прогалин
Ми оцінюємо вашу відповідність заходам управління ризиками NIS2 і зіставляємо їх із контролями ISO 27001 чи NIST, які у вас уже працюють.
Безпека ланцюга постачання
Критерії оцінки постачальників, договірні вимоги безпеки та цикл перевірки, який справді працює на практиці.
Готовність до звітування про інциденти
Налаштовуємо фіксацію моменту, коли вам стало відомо про інцидент, визначаємо пороги суттєвості й відпрацьовуємо 24- та 72-годинний процес звітування до того, як він знадобиться.
Управління та відповідальність керівництва
Затвердження заходів на рівні керівного органу, чіткі лінії звітності й навчання керівників — щоб відповідальність лежала саме на тих, кого визначає директива.
Пакет доказів
Документальне підтвердження для наглядових органів і для клієнтів, які тепер самі вас перевіряють.
Спершу ми встановлюємо вашу категорію за національним законом — і лише потім будуємо все інше.
NIS2 — це директива чи регламент, і чому це важливо?
Це директива, а отже, вона не діє на вас напряму: діє ваш національний закон транспозиції. Держави-члени впроваджують її з відмінностями в порогах, процедурах реєстрації, режимах нагляду та санкціях. Це має практичний наслідок, який часто недооцінюють. Якщо ви працюєте в кількох державах-членах, ви розв’язуєте не одну проблему комплаєнсу, а кілька пов’язаних. Будь-який провайдер, що обіцяє єдине уніфіковане рішення для NIS2 на весь ЄС, спрощує те, що насправді не є простим.
Ви суттєвий чи важливий суб’єкт?
Ця відмінність визначає, як за вами наглядають, а не що ви повинні робити: вимоги безпеки в основному однакові. Суттєві суб’єкти. Зазвичай більші організації у секторах високої критичності. Нагляд проактивний: перевірки та інспекції можуть відбуватися без приводу. Максимальний штраф: до 10 млн євро або 2% сукупного світового річного обороту, залежно від того, що більше. Важливі суб’єкти. Зазвичай середні організації або організації з інших перелічених секторів. Нагляд реактивний — за наявності доказів недотримання вимог. Максимальний штраф: до 7 млн євро або 1,4% сукупного світового річного обороту, залежно від того, що більше. Категорію визначають сектор і розмір, із винятками для суб’єктів, які є єдиним постачальником критичної послуги. Перший крок у будь-якому проєкті з NIS2 — встановити, до якої категорії ви належите за вашим національним законом, бо помилка тут знецінює все, що будується поверх неї.
Як працює звітування про інциденти?
NIS2 використовує поетапну модель звітування про значущі інциденти: раннє попередження протягом 24 годин з моменту, коли стало відомо про інцидент, повідомлення про інцидент протягом 72 годин і фінальний звіт протягом одного місяця. Найскладніше тут не дедлайни. Найскладніше — фраза «стало відомо», бо більшість організацій не можуть довести, коли саме їм стало відомо: виявлення й ескалація не налаштовані так, щоб фіксувати час. Це технічна прогалина, і саме її ми найчастіше знаходимо першою.
Ми вже сертифіковані за ISO 27001. Чи означає це відповідність NIS2?
Ні, але ви вже пройшли значну частину шляху. ISO 27001 покриває більшість заходів управління ризиками. Чого вона не покриває — це національного обов’язку реєстрації, строків і порогів звітування про інциденти та вимог щодо відповідальності керівництва. Спершу ми зіставляємо вашу наявну СУІБ (систему управління інформаційною безпекою) і пропонуємо роботу лише там, де є реальні прогалини.
Ми поза межами ЄС. Чи стосується нас NIS2?
Може стосуватися — двома способами. Якщо ви надаєте в ЄС окремі цифрові послуги з переліку директиви (хмарні, дата-центри, керовані ІТ- чи ІБ-послуги тощо), ви можете підпадати під неї напряму й маєте призначити представника в ЄС. А якщо ви постачаєте суб’єкту в периметрі дії, його зобов’язання щодо безпеки ланцюга постачання стає вашою договірною вимогою.
Які штрафи передбачені?
Їх визначають на національному рівні в межах стель, встановлених директивою, і вони вищі для суттєвих суб’єктів. Більш нагальний комерційний ризик зазвичай інший: клієнти в периметрі дії починають вимагати доказів від постачальників, і ті, хто не може їх надати, втрачають контракт.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.