Директива NIS2 – на кого вона поширюється, що вона вимагає і хто несе відповідальність?

Директива NIS2 (Директива про мережеву та інформаційну безпеку 2) – це законодавчий акт ЄС, який встановлює стандарти кібербезпеки, що застосовуються на всій території Європейського Союзу. Акт вже набув чинності як жорсткий закон у всіх державах-членах. Не як рекомендація. Не як галузевий стандарт належної практики. Це обов’язкова вимога, за невиконання якої передбачені штрафи до 10 мільйонів євро та персональна відповідальність керівника компанії.

Що пішло не так з NIS1?

Перша Директива про НІС 2016 року мала одну структурну проблему: держави-члени ЄС імплементували її на власний розсуд. Як наслідок, компанія, що працює в Польщі та Німеччині одночасно, повинна була орієнтуватися в двох різних правових режимах, які випливають з одного і того ж вихідного документа, але кардинально відрізняються в деталях.

До цього додався зростаючий каталог інцидентів з комп’ютерною безпекою, який дав зрозуміти, що NIS1 не реагує на загрози там, де вони насправді виникають – у провайдерів цифрових послуг, хмарних операторів та ІТ-ланцюгах постачання. Атаки на SolarWinds, Colonial Pipeline або лікарні по всій Європі сталися в секторах, яким NIS1 приділяла незначну увагу або не помічала.

NIS2 робить з цього висновки: розширює перелік регульованих секторів, уніфікує вимоги в усіх країнах-членах ЄС і вперше чітко визначає раду директорів як сторону, відповідальну за стан безпеки організації.

На кого поширюється дія Директиви NIS2? Ключові та важливі учасники

NIS2 поділяє регульовані організації на дві категорії: ключові суб’єкти господарювання та важливі суб’єкти господарювання (також відомі як суттєві суб’єкти господарювання). Цей поділ не визначає, що саме ви повинні робити, оскільки обов’язки в обох випадках дуже схожі. Натомість він визначає, наскільки інтенсивно наглядові органи перевірятимуть вас і наскільки високими є штрафи за порушення.

Ключові актори – критичні сектори для держави та суспільства

Ключові гравці працюють у секторах, збій у роботі яких означає реальну загрозу для функціонування держави або життя громадян:

• Енергетика – оператори електроенергії, централізованого теплопостачання, газових мереж;
• Транспорт – авіакомпанії, залізниці, морські та внутрішні порти, оператори дорожньої інфраструктури;
• Банківський сектор – кредитні установи;
• Інфраструктура фінансових ринків – біржі, клірингові системи;
• Охорона здоров’я – заклади охорони здоров’я, дослідницькі лабораторії, виробники ліків та медичного обладнання;
• Управління водними ресурсами – постачальники питної води та оператори очисних споруд;
• Цифрова інфраструктура – точки обміну інтернет-трафіком (IXP), реєстри DNS, реєстри доменних імен TLD, провайдери хмарних сервісів, мережі доставки контенту (CDN), центри обробки даних;
• Управління послугами ІКТ – керовані постачальники послуг та керовані послуги безпеки;
• Космос – оператори наземної інфраструктури, що підтримують космічні послуги;
• Державне управління – органи державної влади та місцевого самоврядування;
• Державна безпека – суб’єкти оборони та національної безпеки.
• Підприємці електронних комунікацій – оператори мереж та послуг зв’язку

Важливі (значні) суб’єкти – ширша сфера діяльності, нижчий рівень нагляду

Важливими суб’єктами є державні та приватні суб’єкти з таких секторів, як:

• Поштові та кур’єрські послуги
• Поводження з відходами
• Виробництво, виготовлення та дистрибуція хімічних речовин
• Дистрибуція продуктів харчування – заводи-виробники продуктів харчування та оптовики
• Виробництво – медичні вироби, електронні вироби, машини, транспортні засоби
• Постачальники цифрових послуг – торгові онлайн-платформи, пошукові системи, соціальні мережі
• Дослідження

Критерій розміру – великі та середні підприємства

Як правило, NIS2 застосовується до великих підприємств (понад 250 працівників або оборот понад 50 млн. євро) та середніх підприємств (50-250 працівників або оборот 10-50 млн. євро), що працюють у перелічених секторах.

Однак існують специфічні критерії, за якими покриття поширюється незалежно від розміру: коли компанія є єдиним постачальником відповідної послуги в державі-члені, коли її відмова матиме прямий вплив на державну безпеку або громадський порядок, або коли вона належить до цифрової інфраструктури – в цьому випадку NIS2 застосовується без порогу зайнятості або доходу.

Що на практиці означає Директива NIS2 для вашої організації?

NIS2 накладає три види відповідальності: впровадження заходів з управління ризиками, звітування про інциденти та управлінська підзвітність. Кожен з них передбачає конкретні дії.

Вимоги до управління ризиками кібербезпеки

Директива не вимагає досконалості – вона вимагає пропорційності та задокументованої ретельності. Організація повинна продемонструвати, що вона ідентифікувала ризики, впровадила адекватні заходи та підтримує їх в актуальному стані. Це включає в себе

1. оцінка ризиків та політика безпеки

Регулярна оцінка ризиків для мереж та ІТ-систем – не як разова вправа при впровадженні, а як живий документ, який оновлюється щоразу, коли середовище суттєво змінюється. Оцінка повинна включати ризики від постачальників і партнерів: компрометація зовнішнього постачальника ІТ-послуг є одним з найпопулярніших способів атак сьогодні.

2. обробка інцидентів

Процедури реагування на інциденти кібербезпеки, призначені ролі, визначені внутрішні та зовнішні канали зв’язку. НСІ2 визначає строки повідомлення про серйозні інциденти до відповідних наглядових органів – первинне повідомлення має бути зроблене протягом 24 годин з моменту виявлення інциденту.

3. безперервність діяльності

Плани забезпечення безперервності бізнесу включають управління резервним копіюванням, процедури відновлення систем після атаки та кризовий менеджмент. Ключове питання: скільки часу потрібно вашій компанії для відновлення критично важливих даних після інциденту з вірусом-здирником? Якщо ви не знаєте – план не існує на практиці, тільки на папері.

4 Безпека ланцюга постачання

Одна зі сфер, якою організації найчастіше нехтують. NIS2 вимагає від вас оцінювати ризики, що виникають у відносинах з постачальниками, і включати вимоги безпеки вже в процесі придбання нових послуг і технологій. Це означає, серед іншого, включення положень про безпеку в контракти, право на аудит постачальників і процедури перевірки.

5. безпека в процесі придбання та обслуговування мережі

Безпечні принципи проектування, що застосовуються протягом усього життєвого циклу системи – від закупівлі обладнання та програмного забезпечення, обслуговування та адміністрування мережі до виведення її з експлуатації. Застаріле програмне забезпечення без підтримки виробника є фактично відкритими воротами.

6. використання багатофакторної автентифікації

NIS2 прямо згадує багатофакторну автентифікацію (MFA) як один з обов’язкових заходів з управління ризиками. Це стосується доступу до ІТ-систем, а не лише зовнішніх додатків. Внутрішні інструменти та віддалений доступ до інфраструктури вимагають такого ж підходу.

7. регулярне навчання з кібербезпеки

Навчання необхідне як для персоналу, так і для керівництва. Не одноразове, не під час розгортання – регулярне, оновлюване в міру зміни ландшафту загроз. Люди залишаються основним вектором атаки: фішинг, соціальна інженерія та помилки конфігурації є причиною більшості реальних інцидентів.

Обов’язок повідомляти про інциденти

Покриті організації зобов’язані повідомляти про інциденти кібербезпеки, які мають значний вплив на безперервність або якість послуг, що надаються. Дедлайни жорсткі:

• 24 години – первинне попередження відповідного CSIRT або наглядового органу;
• 72 години – повне повідомлення з первинною оцінкою інциденту;
• 1 місяць – фінальний звіт з аналізом причин та вжитими заходами щодо виправлення ситуації.

Неповідомлення про інцидент або затримка можуть розглядатися як окреме порушення – незалежно від того, чи були в організації належні процедури в інших сферах.

Персональна відповідальність ради директорів – що це означає на практиці?

Це той елемент NIS2, який змінює розмову на рівні правління. Досі кібербезпека іноді делегувалася вниз по структурі, розглядаючись як технічне, а не стратегічне питання. NIS2 усуває це за допомогою правового механізму.

Директива чітко визначає, що ради директорів підприємств, які входять до сфери її дії:

• повинен затвердити заходи з управління ризиками кібербезпеки;
• відповідають за їх реалізацію та ефективність;
• може нести персональну відповідальність за порушення, що призвели до серйозних інцидентів.

Правила імплементації окремих держав-членів ЄС можуть передбачати можливість тимчасового відсторонення голови або члена ради директорів від виконання своїх обов’язків, якщо порушення були кричущими або повторюваними.

На практиці це означає, що генеральний директор компанії, на яку поширюється НСР2, повинен бути в змозі відповісти на питання: “Яким був результат останньої оцінки ризиків і які коригувальні дії були вжиті?”. Відсутність відповідей – це не проблема ІТ-директора, це проблема генерального директора.

Фінансові санкції – цифри, які спонукають до дій

Директива NIS2 встановлює такі граничні розміри штрафів:

• Ключові підприємства – до 10 мільйонів євро або 2% від загального річного обороту (застосовується вища сума)
• Дійсні юридичні особи – до 7 мільйонів євро або 1,4% від загального річного обороту

Суттєва відмінність від попереднього режиму: фінансові санкції можуть бути накладені за невиконання примусових вимог – незалежно від того, чи стався інцидент. Контролюючому органу не потрібно чекати на інцидент. Достатньо провести аудит, щоб продемонструвати відсутність належних процедур, політик або технічних заходів.

NIS2 та національна система кібербезпеки в Польщі

Польща імплементує Директиву NIS2 шляхом внесення змін до Закону про національну систему кібербезпеки (KSC). Закон визначає роль окремих установ у польській екосистемі цифрової безпеки:

• CSIRT NASK, CSIRT GOV і CSIRT MON – три національні групи реагування на інциденти комп’ютерної безпеки, які отримують повідомлення з різних секторів;
• Міністри, відповідальні за конкретні сектори – діють як наглядові органи для суб’єктів, що працюють у своїй сфері;
• Урядовий уповноважений з питань кібербезпеки – координація політики на національному рівні.

Варто знати, що польська імплементація виходить за рамки мінімальних вимог директиви в декількох пунктах, розширюючи, серед іншого, коло суб’єктів, на яких поширюється регулювання. Це означає, що простого ознайомлення з текстом Директиви NIS2 недостатньо – вирішальну роль відіграють національні нормативні акти.

Сектори, охоплені NIS2 – що це означає для конкретних галузей?

Енергетика та критична інфраструктура

Оператори енергетичного сектору – постачальники електроенергії, газу, нафти, розподільчих та передавальних мереж – є одними з ключових суб’єктів з найвищим наглядовим пріоритетом. Вплив атаки на електромережу виходить далеко за межі самої організації: страждають лікарні, водоочисні споруди, транспортні системи. Ось чому вимоги до безпеки в цьому секторі сформульовані так суворо.

Заклади охорони здоров’я

Сектор охорони здоров’я вже кілька років поспіль є однією з головних цілей атак зловмисників-здирників у всьому світі. Заклади охорони здоров’я – лікарні, клініки, лабораторії – мають специфічний профіль ризику: системи часто старі, підключені до більш сучасних платформ, а простої ІТ-систем мають прямі клінічні наслідки. NIS2 розглядає їх як критично важливі об’єкти і вимагає від них впровадження тих самих заходів, що й від банків чи енергетичних операторів.

Цифрова інфраструктура та постачальники цифрових послуг

Хмарні обчислення, CDN, DNS-сервіси, центри обробки даних – порушення в цій сфері має багаторазові наслідки: один атакований постачальник цифрових послуг означає, що сотні або тисячі організацій одночасно втратили доступ до своїх інструментів. Отже, тут NIS2 застосовується незалежно від розміру компанії – для організацій цієї категорії немає порогу зайнятості.

Фінансовий сектор та інфраструктура фінансового ринку

Банки та інфраструктура фінансового ринку роками підпадали під дію окремих правил безпеки (наприклад, DORA для фінансового сектору). NIS2 гармонізує ці вимоги із загальноєвропейським стандартом кібербезпеки, створюючи єдиний рівень захисту в Європейському Союзі.

Державне управління

Державні установи: офіси, міністерства, органи місцевого самоврядування в останні роки стали об’єктами атак з чітким геополітичним забарвленням. Витоки даних громадян, параліч публічного документообігу, дезінформація через зламані канали зв’язку – це реальні сценарії, яким NIS2 намагається запобігти.

Підприємці у сфері електронних комунікацій

Оператори телекомунікаційних мереж та інтернет-провайдери формують інфраструктуру, через яку проходить весь цифровий трафік. Як підприємці у сфері електронних комунікацій, вони зобов’язані не лише захищати власні системи, але й забезпечувати безпечний та безперервний доступ до послуг для їхніх отримувачів.

Управління водними ресурсами, космос, розподіл продовольства

NIS2 також охоплює сектори, присутність яких у списку може стати несподіванкою. Управління водними ресурсами – постачальники питної води та оператори очисних споруд – включені до переліку, оскільки кібератака на системи управління може в буквальному сенсі забруднити питну воду. Серед важливих гравців – фабрики з виробництва продуктів харчування та оператори з дистрибуції продуктів харчування. Космічна галузь (оператори наземної супутникової інфраструктури) була включена до NIS2 після того, як супутники зв’язку Viasat були атаковані за кілька годин до вторгнення в Україну, що позбавило тисячі користувачів у Європі доступу до мережі.

Технічні та організаційні заходи – що конкретно впроваджувати?

NIS2 встановлює категорії заходів з управління ризиками, які організації повинні впроваджувати. Слово “пропорційні” у поєднанні з “технічними заходами” тут доречне: директива не вимагає від невеликої клініки того ж, що й від центру обробки даних, який обслуговує половину польської електронної комерції.

Безпека ІТ-інфраструктури:

• Управління вразливостями та регулярне оновлення програмного забезпечення;
• Сегментація мережі та контроль доступу;
• Шифрування даних у стані спокою та під час передачі;
• Багатокомпонентна автентифікація на всіх системах з привілейованим доступом.

Моніторинг та виявлення загроз:

• SIEM (Security Information and Event Management) системи;
• Постійний моніторинг мереж та ІТ-систем на наявність аномалій;
• Визначені процедури реагування на інциденти.

Резервне копіювання та відновлення:

• Регулярне, перевірене резервне копіювання даних;
• Плани аварійного відновлення з виміряними показниками RTO та RPO;
• Процедури відновлення критично важливих систем у визначений час.

Організаційні та правові заходи

На додаток до технології, NIS2 вимагає побудови організаційної структури:

• Письмові політики інформаційної безпеки та управління ризиками;
• Процедури управління інцидентами з визначеними ролями та каналами ескалації;
• Регулярне навчання персоналу на всіх рівнях, включаючи керівництво;
• Механізми обміну інформацією про ризики з відповідними органами влади та галузевими партнерами;
• Застереження щодо безпеки та оцінки при придбанні нових технологій та послуг.

Як провести оцінку відповідності NIS2?

Крок 1: Визначте, чи стосується вас NIS2 і в якій ролі

Перевірте сектор та розмір організації. Пам’ятайте про винятки з порогового розміру – цифрова інфраструктура, єдині постачальники послуг у країні, організації, що мають особливе значення для громадської безпеки. Якщо ви сумніваєтеся, вважати, що директива вас не стосується, ризикованіше, ніж бути надмірно обережним.

Крок 2: Проведіть оцінку ризиків

Визначте активи, загрози та вразливості у вашій мережі та ІТ-системах. Розгляньте ризики, пов’язані із зовнішніми постачальниками – будь-яка компанія, що має доступ до ваших систем, є потенційним вектором атаки. Оцінка ризиків – це документ, який вам потрібно буде подати до наглядового органу на його вимогу.

Крок 3: Визначте прогалини

Порівняйте результати оцінки ризиків з переліком вимог безпеки NIS2. Які сфери незахищені? Де бракує документації? Де процедури існують лише в теорії? Результати цієї вправи покажуть, наскільки ви далекі від дотримання вимог і що потребує негайної уваги.

Крок 4: Впроваджуйте план реабілітації за участю керівництва

На основі аналізу прогалин визначте пріоритети та терміни. Важливо не лише впроваджувати нові процеси, але й залучати до них раду директорів – не як керівників, що затверджують документи, а як власників напрямків, які розуміють стан безпеки організації та можуть нести за нього відповідальність.

Крок 5: Підтримуйте та перевіряйте

Відповідність NIS2 – це стан, який необхідно підтримувати проактивно. Регулярний перегляд політик безпеки, тестування процедур на випадок надзвичайних ситуацій, оновлення оцінок ризиків після будь-яких значних змін в ІТ-середовищі – все це є частиною стандартного операційного циклу організації, що відповідає вимогам стандарту.

Оцінка відповідності та аудит – як виглядає нагляд?

Наглядові органи в різних державах-членах мають широкі наглядові повноваження щодо суб’єктів НС2. У випадку з ключовими суб’єктами це насамперед такі повноваження:

• Аудит безпеки, що проводиться за посадою або акредитованими аудиторами;
• Виїзні та дистанційні перевірки;
• Запити на документацію та докази впровадження;
• Сканування вразливостей інфраструктури.

Ключові суб’єкти підлягають реактивному нагляду – органи влади втручаються після інциденту або скарги, а не за власною ініціативою. Однак це не означає, що вони можуть діяти без планів і процедур: якщо відбувається перевірка, вони повинні проявити таку ж ретельність, як і ключові суб’єкти. Різниця полягає в тому, коли ця перевірка відбудеться, а не в тому, чи відбудеться вона взагалі.

Як виглядає реалізація NIS2 з ITH?

Адаптація організації до вимог NIS2 не повинна означати роботу з декількома постачальниками, самостійне створення документації та координацію декількох незалежних проектів. В ITH ми впроваджуємо NIS2 в рамках наскрізної моделі – від оцінки відповідності до постійного моніторингу безпеки.

Етап 1 Комплаєнс-аудит

Ми починаємо процес з детального аналізу організації на відповідність вимогам NIS2, ISO 27001 та Закону про національну систему кібербезпеки (NSC).

В рамках аудиту:

• оцінюємо поточний рівень комплаєнсу;
• виявляємо прогалини та невідповідності;
• аналізуємо процеси, документацію та технічні засоби захисту;
• підготувати звіт з рекомендаціями щодо подальших дій.

Результатом є детальний звіт з переліком пріоритетів впровадження.

Етап 2 Документація та відповідність вимогам

NIS2 вимагає не лише адекватних технічних гарантій, але й задокументованих процесів управління кібербезпекою.

Ми, серед іншого, допомагаємо підготуватися:

• політику інформаційної безпеки;
• процедури обробки інцидентів;
• процедури повідомлення про інциденти до компетентних органів;
• документація з управління ризиками;
• принципи безперервності бізнесу та аварійного відновлення;
• вимоги до безпеки постачальників і партнерів.

Це дозволяє організації продемонструвати комплаєнс не тільки під час аудиту, але й у разі фактичного інциденту.

Етап 3: Навчання та підготовка організації

NIS2 покладає відповідальність не лише на ІТ-відділ, а й на керівництво та працівників.

Тому наступний етап – це навчання, в тому числі:

• управління;
• працівники організації;
• відповідальні за безпеку та обробку інцидентів.

Наприкінці процесу організація має навчальні матеріали та підтвердження про проходження навчання, необхідні під час аудитів та інспекцій.

Етап 4 Закриття впровадження та SOC 24/7

Заключний етап передбачає перевірку виконаних дій та активацію механізмів безперервного нагляду за безпекою.

В рамках цього етапу:

• проводимо аудит закриття;
• ми підтверджуємо впровадження документації та процедур;
• готуємо організацію до наглядового контролю;
• у нас є служба Security Operations Centre (SOC), яка працює 24/7/365.

Таким чином, відповідність NIS2 не обмежується документами, а підтримується постійним моніторингом та реагуванням на інциденти.

ITH – один партнер, відповідальний за всю реалізацію

ITH поєднує в собі аудиторські, юридичні, організаційні та технічні компетенції. Замість того, щоб працювати з кількома організаціями, організація отримує одного партнера, відповідального за весь процес дотримання вимог NIS2 – від першого аудиту до постійної підтримки безпеки.

Хочете побачити, як NIS2 впроваджується у вашій організації?

Зверніться до експертів ITH та отримайте первинну оцінку відповідності та план дій, адаптований до специфіки вашої компанії.

Найпоширеніші запитання про NIS2

• Чи застосовується NIS2 до моєї компанії, якщо я працюю тільки в Польщі?

Так, якщо ви працюєте в одному з охоплених секторів і відповідаєте критерію розміру або спеціальним критеріям. NIS2 – це директива ЄС, але вона застосовується через національне імплементаційне законодавство. У Польщі це Закон про національну систему кібербезпеки. Саме по собі питання територіального охоплення діяльності не визначає сферу дії регулювання.

• Чи поширюється NIS2 на моїх постачальників?

Як суб’єкт господарювання, на який поширюється дія NIS2, ви несете відповідальність за безпеку свого ланцюга постачання. Ви повинні оцінити ризики, що виникають у ваших відносинах з постачальниками, врахувати вимоги безпеки вже під час процесу закупівель і мати механізми перевірки. Ваші постачальники цифрових або керованих ІТ-послуг можуть самі підпадати під дію NIS2, тому варто перевірити це при виборі партнера.

• Скільки часу потрібно для впровадження NIS2?

Це залежить від вихідного рівня. Організації зі зрілими процесами безпеки в основному потребують документування та коригування процедур – від кількох тижнів до кількох місяців. Компанії, що починають з нуля, стикаються з горизонтом 6-18 місяців для повного впровадження. Тому не варто відкладати впровадження NIS2.

Підсумок

Директива NIS2 не є ще одним документом, який можна відкласти на потім. Жорсткі вимоги, персональна відповідальність керівництва та штрафи до 10 мільйонів євро створюють середовище, в якому бездіяльність є більш дорогим вибором, ніж імплементація.

Хороша новина полягає в тому, що Директива не вимагає досконалості – вона вимагає пропорційної та задокументованої ретельності. Організація, яка може продемонструвати проведену оцінку ризиків, впроваджені заходи з управління ризиками, процедури звітування про інциденти та регулярне навчання, знаходиться в зовсім іншому становищі, ніж та, яка не вжила жодних заходів.

Перший крок – з’ясувати, чи застосовується НСД2 до вашої організації, і якщо так, то в якій ролі. Далі – оцінка ризиків та аналіз прогалин. Обидва ці кроки можна зробити за зовнішньої підтримки, не залучаючи цілу команду на місяці.

Хочете дізнатися, чи застосовується NIS2 до вашого бізнесу?

Наші експерти допоможуть оцінити базовий рівень та спланувати наступні кроки.

Ніяких загальних презентацій: конкретний аналіз вашої інфраструктури та перелік вимог, які необхідно виконати.