Jesteś operatorem ISP?

Formalne polityki bezpieczeństwa, analiza ryzyka infrastruktury sieciowej i systemów informatycznych, rejestr ryzyk cybernetycznych dostępny dla organu nadzorczego. Zarządzanie ryzykiem musi być procesem ciągłym, nie jednorazowym.

Procedury reagowania na incydenty z wymaganymi terminami: wstępne zgłoszenie incydentów do CSIRT w 24 h, raport szczegółowy w 72 h. Bez SOC 24/7 dotrzymanie tych terminów jest niemożliwe operacyjnie.

Plan ciągłości działania obejmujący scenariusze awarii infrastruktury ISP, plan odtwarzania po awarii testowany regularnie. Zarządzanie kryzysowego musi być udokumentowane i ćwiczone, a nie tylko zapisane na papierze.

Architektura bezpieczeństwa sieci obejmująca segmentację, firewall, monitoring ruchu, ochronę DDoS i systemy wykrywania włamań (IDS/IPS). Bezpieczeństwo systemów informacyjnych wykorzystywanych do zarządzania infrastrukturą musi być dokumentowane.

Politykę kontroli dostępu do systemów zarządzania siecią i infrastrukturą wdraża się z MFA, zasadą minimalnych uprawnień i pełnym logowaniem. Każdy dostęp administracyjny musi być audytowany przez minimum 12 miesięcy.

Weryfikacja i dokumentowanie standardów bezpieczeństwa partnerów biznesowych i podwykonawców: dostawców sprzętu, oprogramowania, operatorów kolokacji. Dostawcy usług DNS i zewnętrzni partnerzy wymagają formalnej oceny ryzyka.

Regularne szkolenia pracowników z obszaru cyberbezpieczeństwa, szkolenia kadry zarządzającej z odpowiedzialności wynikających z NIS2. Świadomość pracowników to warunek skutecznego systemu i wymóg formalny dyrektywy.

Polityki szyfrowania danych w tranzycie i spoczynku w infrastrukturze ISP. Zarządzanie bezpieczeństwem informacji obejmuje dane klientów, dane logów, konfiguracje urządzeń sieciowych i dane bilingowe.

Systematyczne skanowanie bezpieczeństwa systemów informatycznych, zarządzanie patchowaniem urządzeń sieciowych, dokumentowanie podatności. Potencjalne zagrożenia muszą być identyfikowane zanim staną się realnymi zagrożeniami dla sieci.

Tak – dyrektywa NIS2 (UE 2022/2555) wprost klasyfikuje dostawców publicznych sieci i usług łączności elektronicznej jako podmioty kluczowe w sektorze infrastruktury cyfrowej. Jeśli świadczysz dostęp do internetu, usługi głosowe lub transmisję danych dla klientów zewnętrznych i zatrudniasz 50+ pracowników lub osiągasz 10M+ EUR obrotu – jesteś podmiotem kluczowym bez żadnych wyjątków. Mniejsze ISP mogą być objęte na mocy decyzji krajowego organu nadzorczego, jeśli świadczą usługi o znaczeniu krytycznym. Skontaktuj się z nami – przeprowadzimy bezpłatną weryfikację.

Podmioty kluczowe (do których należą ISP) podlegają surowszemu reżimowi nadzorczemu niż podmioty ważne. Różnice są istotne: wyższy pułap kar finansowych (10 mln € vs 7 mln €), aktywny nadzór proaktywny organów (nie tylko reaktywny po incydencie), obowiązek rejestracji i regularnego raportowania. Dla podmiotów kluczowych organy nadzorcze mogą przeprowadzać kontrole bez wcześniejszego zawiadomienia, żądać audytów zewnętrznych i wydawać nakazy natychmiastowego zaprzestania działalności. Dla podmiotów ważnych nadzór jest reaktywny – następuje głównie po incydencie.

Zarządzanie ciągłością działania w ISP to formalny, udokumentowany system zapewniający, że operator jest w stanie utrzymać lub szybko przywrócić usługi po awarii lub ataku. NIS2 wymaga konkretnie: planu ciągłości działania (BCP) opisującego procedury utrzymania usług przy różnych scenariuszach awarii, planu odtwarzania po awarii (DRP) z mierzalnymi celami RTO i RPO, regularnego testowania obu planów (minimum raz w roku) i dokumentowania wyników testów. ITH tworzy i testuje oba plany w ramach wdrożenia NIS2 dla ISP.

NIS2 nakłada na ISP jako podmiot kluczowy trzyetapowy obowiązek zgłaszania poważnych incydentów: (1) wczesne ostrzeżenie w ciągu 24 h od wykrycia – podstawowe informacje o charakterze incydentu, (2) pełne zgłoszenie incydentu w ciągu 72 h – szczegółowa ocena, zakres i potencjalne skutki, (3) raport końcowy w ciągu 30 dni – opis podjętych działań naprawczych i wyciągniętych wniosków. CSIRT Polska jest głównym organem przyjmującym zgłoszenia. Nasz SOC 24/7 automatyzuje cały ten proces – od wykrycia przez klasyfikację po wysłanie wymaganego raportu w imieniu Twojego ISP.

Odpowiedzialność kadry zarządzającej to jeden z najpoważniejszych elementów NIS2 i jest jak najbardziej realna. Dyrektywa nakłada na organy państw członkowskich obowiązek wdrożenia mechanizmów osobistej odpowiedzialności osób piastujących funkcje zarządcze. W Polsce oznacza to możliwość nałożenia kary do 300% miesięcznego wynagrodzenia, a w skrajnych przypadkach zakazu pełnienia funkcji kierowniczych. Odpowiedzialność ma charakter nadzorczy – zarząd odpowiada za wdrożenie i utrzymanie systemu bezpieczeństwa, nawet jeśli nie uczestniczy w codziennej obsłudze technicznej. Dlatego szkolenia kadry zarządzającej są obowiązkowym elementem naszego wdrożenia.

Tak – ITH prowadzi wdrożenie NIS2 jako zewnętrzny zespół ekspertów, minimalizując zaangażowanie wewnętrznego działu IT. Cały ciężar administracyjny, dokumentacyjny i prawny bierzemy na siebie. Dotyczy to: audytu, tworzenia polityk i procedur, szkoleń, wdrożenia technicznego kontroli bezpieczeństwa oraz stałego monitoringu SOC 24/7. Dla ISP bez dedykowanego security team jest to najskuteczniejszy i najszybszy model wdrożenia.