Jak przygotować się do dyrektywy NIS2? Przewodnik po wymogach

Jakie podmioty są objęte dyrektywą NIS2?

W państwach członkowskich UE właściwe organy krajowe mają za zadanie określenie, które firmy podlegają pod przepisy dyrektywy NIS2. Kluczowe znaczenie ma sposób klasyfikacji przedsiębiorstw, gdzie pod uwagę brany jest ich roczny przychód, liczba pracowników oraz prawdopodobieństwo wystąpienia incydentów zagrażających cyberbezpieczeństwu na terytorium Unii. Podmioty kluczowe są poddawane różnym rygorom kontroli nadzorczej, co obejmuje ścisłe procedury raportowania i współpracy z organami zarządzającymi.

Rozszerzenie zakresu infrastruktury cyfrowej

W porównaniu do wcześniejszej dyrektywy NIS1, NIS2 obejmuje rozszerzenie zakresu infrastruktury cyfrowej, a co za tym idzie – poważne incydenty bezpieczeństwa komputerowego będą musiały być szybciej i dokładniej zgłaszane do właściwych organów. Nowe przepisy obejmują teraz dodatkowe sektory. Przykłady obejmują dostawców internetu, operatorów usług kluczowych, dostawców usług zaufania, instytucje opieki zdrowotnej, przedsiębiorstwa dostarczające wodę pitną, fabryki produkujące żywność, dostawców energii, a nawet przetwórców odpadów i administrację publiczną. 

W NIS2 wskazano na 18 sektorów gospodarki, z których podmioty (prywatne lub publiczne) będą zobowiązane do wdrożenia wzmocnionych wymagań cyberbezpieczeństwa. Wśród nich wymienia się m.in.:

• przedsiębiorców komunikacji elektronicznej,
• sektor żywności,
• sektor motoryzacyjny,
• podmioty administracji publicznej,
• podmioty gospodarowania odpadami,
• producentów np. komputerów,
• producentów chemikaliów.

Jakie są nowe wymogi bezpieczeństwa, które wprowadza dyrektywa NIS2?

Dyrektywa NIS2 narzuca nowe standardy, które muszą być spełnione przez spółki objęte regulacją. W krajowym systemie cyberbezpieczeństwa organizacje muszą wdrożyć kompleksowe polityki zarządzania ryzykiem. 

Politykę analizy ryzyka narzuca podejście oparte na dokładnym zrozumieniu potencjalnych cyberzagrożeń oraz działań, które mogą być przypuszczalnie wywołane działaniem bezprawnym. Szczególne znaczenie ma bezpieczeństwo łańcucha dostaw, obejmujące zarówno techniczne, jak i organizacyjne środki ochrony.

Kluczowe obszary działań to:

• Zapobieganie, wykrywanie i reagowanie na incydenty;
• Utrzymanie ciągłości działania i zarządzanie kryzysowe;
• Bezpieczeństwo łańcucha dostaw;
• Cyberhigiena oraz szkolenia;
• Bezpieczeństwo sieci i systemów informacyjnych;
• Polityka zarządzania i zgłaszania podatności;
• Bezpieczeństwo zasobów ludzkich, zarządzanie dostępami i aktywami;
• Uwierzytelnianie wieloskładnikowe oraz ciągłe;
• Stosowanie kryptografii i szyfrowania.

Obowiązki raportowania i terminy

Zgłaszanie incydentów jest jednym z najważniejszych elementów NIS2. Operatorzy usług kluczowych oraz dostawcy usług cyfrowych muszą zgłaszać poważne naruszenia w odpowiednich terminach. Termin składania sprawozdania końcowego wynosi 1 miesiąc od daty zgłoszenia lub zakończenia incydentu. Wcześniej, w ciągu 24 godzin, należy dostarczyć wstępne ostrzeżenie o incydentach bezpieczeństwa komputerowego, a pełne zgłoszenie musi być dostarczone do właściwych organów w ciągu 72 godzin.

Jakie są kary i sankcje za nieprzestrzeganie przepisów NIS2?

W przypadku nieprzestrzegania przepisów NIS2, państwa członkowskie UE przewidują surowe sankcje finansowe. Podmioty kluczowe mogą zostać ukarane grzywną do 10 mln EUR lub 2% rocznego obrotu, podczas gdy podmioty ważne – do 7 mln EUR lub 1,4% obrotu. Kary te mają na celu zapewnienie przestrzegania przepisów i promowanie wysokiego poziomu cyberbezpieczeństwa na całym terenie UE.

Jak przygotować swoją organizację do NIS2?

Każda organizacja prowadząca działalność w UE powinna już teraz przystąpić do przygotowań związanych z wdrożeniem środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Od czego należy zacząć?

Zidentyfikuj, czy Twoja firma podlega dyrektywie NIS2

Pierwszym krokiem w przygotowaniach jest określenie, czy Twoja firma znajduje się w grupie podmiotów, których dotyczą nowe przepisy. Dyrektywa NIS2 obejmuje szeroki wachlarz sektorów, w tym energetykę, transport, finanse, ochronę zdrowia, dostawców usług cyfrowych, a także inne kluczowe gałęzie gospodarki. Jeśli świadczysz usługi podstawowe lub działasz w sektorach objętych regulacjami, musisz przygotować się na wdrożenie nowych środków bezpieczeństwa.

Przeanalizuj aktualne procedury bezpieczeństwa

Kolejnym krokiem powinno być zbadanie, czy obecne procedury w Twojej firmie spełniają wymagania w zakresie bezpieczeństwa sieci i systemów informatycznych. Analiza powinna obejmować takie elementy jak procedury stosowania kryptografii, zabezpieczenia danych, zgłaszania incydentów oraz monitorowanie zagrożeń. Przedsiębiorstwa muszą dostosować swoje procedury do nowych wymagań dyrektywy NIS2 i przygotować się w sprawie środków zapobiegawczych na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa.

Przeprowadź wdrożenie nowych środków bezpieczeństwa

Firmy muszą wprowadzić stosowanie uwierzytelniania wieloskładnikowego, a także przestrzegać rygorystycznych norm w krajowym systemie cyberbezpieczeństwa. W ramach przygotowań do NIS2 konieczne jest wprowadzenie lub aktualizacja kluczowych środków ochrony:

• Polityki utrzymania sieci – upewnij się, że sieci i systemy informatyczne są na bieżąco aktualizowane, a dostęp do nich jest kontrolowany i monitorowany.
• Stosowanie kryptografii – szyfrowanie danych powinno być standardem, zwłaszcza w przypadku wrażliwych informacji.
• Procedury nabywania technologii informatycznych – przemyśl proces zakupu oprogramowania i sprzętu pod kątem ich bezpieczeństwa. Dotyczy to także rozwiązań open source, które mogą stanowić lukę w zabezpieczeniach, jeśli nie są właściwie zarządzane.

Jakie procedury są kluczowe w zakresie cyberbezpieczeństwa?

Przygotowanie się do wdrożenia NIS2 wymaga kompleksowego podejścia do zagadnień w zakresie cyberbezpieczeństwa. Opracowanie jasnej strategii i dostosowanie procedur do nowych wymogów pomoże uniknąć wysokich kar oraz zabezpieczy firmę przed rosnącymi zagrożeniami cyfrowymi. Podmioty kluczowe i ważne powinny wdrożyć szereg następujących procedur:

• Monitorowanie i raportowanie incydentów — organizacja musi być gotowa na szybkie reagowanie na cyberataki. Wymaga to wdrożenia systemów monitorowania, które wykryją problemy, oraz procesów do raportowania incydentów w odpowiednim czasie.
• Analiza ryzyka — konieczna jest identyfikacja zagrożeń, ocena ich wpływu i wprowadzenie środków zapobiegawczych. Pozwoli to na ochronę kluczowych obszarów, których potencjalnie dotyczy poważne cyberzagrożenie.
• Zarządzanie incydentami — wiele firm nie posiada odpowiedniego personelu, by samodzielnie zarządzać incydentami. W takich przypadkach warto rozważyć współpracę z zewnętrznymi dostawcami usług cyberbezpieczeństwa, którzy mogą wesprzeć firmę w sytuacjach kryzysowych oraz monitorować bezpieczeństwo na bieżąco.
• Zarządzanie ciągłością działania — NIS2 kładzie duży nacisk na utrzymanie ciągłości operacji w przypadku cyberincydentów. Oznacza to konieczność posiadania procedur nie tylko na wypadek awarii systemów, ale także na odzyskiwanie danych i przywracanie działalności operacyjnej. Zarządzanie kryzysowe powinno obejmować pełne wsparcie zarówno techniczne, jak i organizacyjne, aby minimalizować skutki przerw w funkcjonowaniu.
• Bezpieczeństwo w łańcuchu dostaw — firmy muszą dbać o to, by partnerzy biznesowi również stosowali odpowiednie środki bezpieczeństwa, ponieważ ataki na ich infrastrukturę mogą wpłynąć na funkcjonowanie całej sieci. 
• Zarządzanie lukami w zabezpieczeniach — monitorowanie i szybkie usuwanie luk w systemach to kluczowy element prewencji. Regularne skanowanie i aktualizacje są niezbędne, by uniknąć poważnych incydentów.
• Uwierzytelnianie wieloskładnikowe (MFA) — dyrektywa NIS2 wymaga wdrożenia MFA, które dodają dodatkową warstwę ochrony. Weryfikacja tożsamości użytkownika przy użyciu kilku metod minimalizuje ryzyko nieautoryzowanego dostępu.

Wsparcie w procesie wdrożenia

Dostosowanie się do wymogów dyrektywy może być trudne, dlatego wiele firm decyduje się na współpracę z zewnętrznymi ekspertami w dziedzinie cyberbezpieczeństwa. Specjaliści mogą pomóc w ocenie gotowości firmy, a także w opracowaniu strategii, która zagwarantuje zgodność z nowymi regulacjami.

Podsumowanie

Dyrektywa NIS2 jest kluczowym elementem dążenia Unii Europejskiej do zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa na całym jej terytorium. Państwa członkowskie mają czas do 18 października 2024 r., aby wdrożyć nowe przepisy do prawa krajowego. Tymczasem organizacje powinny już teraz przygotować się na te zmiany poprzez wprowadzenie odpowiednich procedur i środków. Operatorzy usług kluczowych, dostawcy usług cyfrowych, instytucje opieki zdrowotnej i inne przedsiębiorstwa muszą być gotowe na nowe wyzwania w zakresie ochrony swoich sieci i systemów informatycznych.

Wdrożenie odpowiednich środków pomoże nie tylko w uniknięciu kar, ale także w zwiększeniu bezpieczeństwa operacyjnego, co jest kluczowe w czasach rosnących zagrożeń cybernetycznych.