Ви є оператором інтернет-послуг (ISP)? Ви підпадаєте під дію NIS2 як ключовий суб’єкт.

Офіційні політики безпеки, аналіз ризиків мережевої інфраструктури та інформаційних систем, реєстр кіберризиків, доступний для наглядового органу. Управління ризиками має бути безперервним процесом, а не одноразовою дією.

Процедури реагування на інциденти з встановленими термінами: попереднє повідомлення про інциденти до CSIRT протягом 24 годин, детальний звіт — протягом 72 годин. Без цілодобового оперативного центру (SOC) дотримання цих термінів є оперативно неможливим.

План забезпечення безперебійної роботи, що охоплює сценарії аварій інфраструктури інтернет-провайдера, а також план відновлення після аварії, який регулярно перевіряється. Кризове управління має бути задокументовано та відпрацьовано на практиці, а не лише викладено на папері.

Архітектура мережевої безпеки, що включає сегментацію, брандмауер, моніторинг трафіку, захист від DDoS-атак та системи виявлення вторгнень (IDS/IPS). Безпека інформаційних систем, що використовуються для управління інфраструктурою, має бути задокументована.

Політика контролю доступу до систем управління мережею та інфраструктурою реалізується з використанням багатофакторної автентифікації (MFA), принципу мінімальних прав доступу та повного ведення журналу. Кожен адміністративний доступ має підлягати аудиту протягом щонайменше 12 місяців.

Перевірка та документування стандартів безпеки бізнес-партнерів та субпідрядників: постачальників обладнання, програмного забезпечення, операторів колокації. Постачальники послуг DNS та зовнішні партнери потребують офіційної оцінки ризиків.

Регулярні тренінги для співробітників з питань кібербезпеки, тренінги для керівного складу щодо обов’язків, що випливають із NIS2. Поінформованість співробітників є умовою ефективної роботи системи та формальною вимогою директиви.

Політики шифрування даних під час передачі та зберігання в інфраструктурі інтернет-провайдера. Управління інформаційною безпекою охоплює дані клієнтів, дані журналів, конфігурації мережевих пристроїв та білінгові дані.

Систематичне сканування інформаційних систем з метою забезпечення безпеки, управління встановленням оновлень для мережевих пристроїв, документування вразливостей. Потенційні загрози необхідно виявляти до того, як вони перетворяться на реальні загрози для мережі.

Так — директива NIS2 (ЄС 2022/2555) прямо класифікує постачальників публічних мереж та послуг електронного зв’язку як ключові суб’єкти у секторі цифрової інфраструктури. Якщо ви надаєте доступ до Інтернету, голосові послуги або послуги передачі даних зовнішнім клієнтам і маєте понад 50 співробітників або ваш оборот перевищує 10 млн євро — ви є ключовим суб’єктом без жодних винятків. Менші інтернет-провайдери можуть бути включені до цього переліку на підставі рішення національного наглядового органу, якщо вони надають послуги критичного значення. Зв’яжіться з нами — ми проведемо безкоштовну перевірку.

Ключові суб’єкти (до яких належать інтернет-провайдери) підлягають більш суворому режиму нагляду, ніж важливі суб’єкти. Відмінності є суттєвими: вищий верхній поріг штрафних санкцій (10 млн євро проти 7 млн євро), активний проактивний нагляд з боку органів (а не лише реактивний після інциденту), обов’язок реєстрації та регулярного звітування. Щодо ключових суб’єктів органи нагляду можуть проводити перевірки без попереднього повідомлення, вимагати проведення зовнішніх аудитів та видавати накази про негайне припинення діяльності. Щодо важливих суб’єктів нагляд є реактивним — здійснюється переважно після інциденту.

Управління безперервністю діяльності в інтернет-провайдера — це формальна, задокументована система, яка гарантує, що оператор здатний підтримувати або швидко відновити надання послуг після збою чи атаки. NIS2 конкретно вимагає: плану забезпечення безперебійної діяльності (BCP), що описує процедури підтримки послуг за різних сценаріїв аварій, плану відновлення після аварії (DRP) з вимірюваними цілями RTO та RPO, регулярного тестування обох планів (щонайменше раз на рік) та документування результатів тестувань. ITH розробляє та тестує обидва плани в рамках впровадження NIS2 для інтернет-провайдерів.

NIS2 покладає на інтернет-провайдерів як ключових суб’єктів триетапний обов’язок повідомлення про серйозні інциденти: (1) попереднє повідомлення протягом 24 годин з моменту виявлення — основна інформація про характер інциденту, (2) повне повідомлення про інцидент протягом 72 годин — детальна оцінка, масштаб та потенційні наслідки, (3) підсумковий звіт протягом 30 днів — опис вжитих коригувальних заходів та зроблених висновків. CSIRT Polska є головним органом, що приймає повідомлення. Наш SOC, що працює цілодобово, автоматизує весь цей процес — від виявлення та класифікації до надсилання необхідного звіту від імені вашого інтернет-провайдера.

Відповідальність керівного складу є одним із найважливіших елементів NIS2 і є цілком реальною. Директива покладає на органи держав-членів обов’язок запровадити механізми особистої відповідальності осіб, які обіймають керівні посади. У Польщі це означає можливість накладення штрафу в розмірі до 300 % місячної заробітної плати, а в крайніх випадках — заборону обіймати керівні посади. Відповідальність має наглядовий характер — правління відповідає за впровадження та підтримку системи безпеки, навіть якщо не бере участі в повсякденному технічному обслуговуванні. Тому навчання керівного складу є обов’язковим елементом нашого впровадження.

Так — компанія ITH здійснює впровадження NIS2 як зовнішня група експертів, мінімізуючи залучення внутрішнього ІТ-відділу. Весь адміністративний, документаційний та юридичний тягар ми беремо на себе. Це стосується: аудиту, розробки політик і процедур, навчання, технічного впровадження заходів безпеки та постійного моніторингу SOC 24/7. Для інтернет-провайдерів, які не мають спеціалізованої команди з безпеки, це найефективніша та найшвидша модель впровадження.