Jeśli Twoja firma dostała pismo od krajowego organu ds. cyberbezpieczeństwa albo klient poprosił o potwierdzenie, że spełniasz wymagania NIS2, pierwsze pytanie było zapewne proste: czy to w ogóle nas dotyczy? Drugie jest zwykle trudniejsze: co dokładnie musimy mieć, żeby to udowodnić?
NIS2 to dyrektywa Unii Europejskiej o bezpieczeństwie sieci i systemów informacyjnych. Każde państwo członkowskie przenosi ją do własnego prawa, z własnymi terminami rejestracji, organem nadzorczym i karami, więc szczegóły różnią się w zależności od kraju (w Polsce dyrektywę wdraża ustawa o krajowym systemie cyberbezpieczeństwa, KSC). W odróżnieniu od wcześniejszych przepisów, które obejmowały stosunkowo wąskie grono operatorów, nowe ramy obejmują wiele średnich, a nawet mniejszych firm, które dotąd kojarzyły cyberbezpieczeństwo z programem antywirusowym i hasłami.
W tym artykule omawiamy prostym językiem, kogo dotyczą wymagania, co oznaczają w praktyce i jakich dokumentów potrzebujesz. Na końcu: od czego zacząć, jeśli dziś nie masz nic.
Kogo dotyczy NIS2: podmioty kluczowe i ważne
Dyrektywa dzieli organizacje na dwie grupy: podmioty kluczowe i podmioty ważne. Różnica nie leży w treści wymagań, lecz w rygorze nadzoru i wysokości sankcji. Podmioty kluczowe są nadzorowane proaktywnie, podmioty ważne głównie po incydencie lub skardze.
O tym, do której grupy należysz, decydują dwie rzeczy: sektor i wielkość firmy. Ogólnie sektory dzielą się następująco:
- Sektory o wysokiej krytyczności: energetyka, transport, bankowość i infrastruktura rynku finansowego, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa (centra danych, dostawcy chmury, DNS, sieci łączności elektronicznej), zarządzanie usługami ICT (dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa), administracja publiczna, przestrzeń kosmiczna.
- Pozostałe sektory krytyczne: usługi pocztowe i kurierskie, gospodarka odpadami, przemysł chemiczny, produkcja i dystrybucja żywności, różne gałęzie produkcji (wyroby medyczne, elektronika, pojazdy, maszyny), dostawcy cyfrowi (platformy handlowe, wyszukiwarki, sieci społecznościowe), badania naukowe.
Próg wielkości to zazwyczaj firma średniej wielkości, czyli co najmniej 50 pracowników lub określony roczny obrót. Są jednak wyjątki: niektóre podmioty (na przykład dostawcy łączności elektronicznej lub usług zaufania) są objęte niezależnie od wielkości, a organ może też objąć mniejszą firmę, jeśli jest jedynym dostawcą ważnej usługi w regionie.
Z naszego doświadczenia najczęstszy przypadek to firma produkcyjna, logistyczna lub z branży ochrony zdrowia, zatrudniająca od 60 do 200 osób, która o NIS2 słyszy po raz pierwszy z ankiety klienta. Jeśli to Ty, bardzo prawdopodobne, że jesteś podmiotem ważnym. Ponieważ każde państwo członkowskie samo ustala szczegóły zakresu i terminy, sprawdź przepisy kraju, w którym działasz.
Czego wymaga się w praktyce
Dyrektywa nie narzuca konkretnych technologii. Wymaga, aby firma zarządzała ryzykami cyberbezpieczeństwa proporcjonalnie do swojej wielkości i zagrożeń, z którymi się mierzy. W praktyce oznacza to pięć obszarów.
Zarządzanie ryzykiem
Musisz wiedzieć, jakich systemów używasz, jakie dane w nich są, co im zagraża i co robisz, żeby te zagrożenia się nie zmaterializowały. Formalizuje się to w rejestrze ryzyk i politykach bezpieczeństwa: kontrola dostępu, hasła i uwierzytelnianie wieloskładnikowe, aktualizacje, segmentacja sieci, stosowanie kryptografii. Ocena ryzyka to pierwsze zadanie, od którego zależy wszystko pozostałe.
Zarządzanie incydentami i ich zgłaszanie
Potrzebujesz procedury określającej, jak rozpoznaje się incydent, kto za niego odpowiada i jak się go zgłasza. Terminy zgłaszania są surowe: wczesne ostrzeżenie do krajowego organu ds. cyberbezpieczeństwa (w Polsce CSIRT NASK) w ciągu 24 godzin od stwierdzenia poważnego incydentu, bardziej szczegółowe zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Bez planu przygotowanego z wyprzedzeniem tych terminów prawie nie da się dotrzymać.
Bezpieczeństwo łańcucha dostaw
Twoja odpowiedzialność nie kończy się na własnych serwerach. Jeśli księgowość działa u dostawcy chmury, a Twoim IT opiekuje się zewnętrzna firma, musisz ocenić ich bezpieczeństwo i zapisać wymagania w umowach. Oznacza to listę dostawców, ocenę ryzyka dla każdego z nich oraz zapisy umowne o bezpieczeństwie, zgłaszaniu incydentów i prawie do audytu.
Kopie zapasowe i ciągłość działania
Firma musi umieć przywrócić działanie po incydencie. Wymaga to kopii zapasowych przechowywanych oddzielnie od głównej infrastruktury i przetestowanego planu odtwarzania. Kopia zapasowa, której nikt nigdy nie przywracał, na papierze nic nie jest warta. Tu często zalecamy niezmienialne kopie zapasowe, których nie można zmienić i które są niewidoczne z sieci, bo to właśnie one wytrzymują ataki ransomware.
Odpowiedzialność kierownictwa
To nowy element i dla wielu zaskoczenie. Kierownictwo musi zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrażanie i uczestniczyć w szkoleniach. Za naruszenia może grozić odpowiedzialność osobista. W praktyce oznacza to, że tematy bezpieczeństwa muszą pojawiać się w porządku obrad zarządu lub spotkań kierownictwa, a decyzje muszą być zapisane w protokołach.
Jakie dokumenty są potrzebne
Podczas kontroli lub przy odpowiedzi na ankietę klienta pyta się o dokumenty, a nie o opowieści. Minimalny zestaw, który zalecamy każdemu podmiotowi:
- Polityka bezpieczeństwa informacji zatwierdzona przez kierownictwo.
- Rejestr zasobów (systemy, urządzenia, dane).
- Raport z oceny ryzyka oraz rejestr ryzyk z osobami odpowiedzialnymi i terminami.
- Polityka kontroli dostępu i zapisy z przeglądów uprawnień.
- Procedura zarządzania incydentami z szablonami zgłoszeń i kontaktami.
- Rejestr incydentów (nawet jeśli na razie jest pusty).
- Polityka kopii zapasowych i zapisy z testów odtwarzania.
- Plan ciągłości działania.
- Lista dostawców, ocena ich ryzyka i aneksy o bezpieczeństwie do umów.
- Procedura zarządzania łatkami (patch) i podatnościami.
- Zapisy ze szkoleń pracowników i kierownictwa.
- Decyzje kierownictwa (protokoły) zatwierdzające środki.
Nie potrzebujesz stu stron dokumentów. Dziesięć krótkich dokumentów, których ludzie faktycznie przestrzegają, jest lepsze niż jeden gruby segregator, którego nikt nie przeczytał.
Osobno warto wspomnieć o rejestracji. Podmioty muszą zarejestrować się w wykazie prowadzonym przez krajowy organ ds. cyberbezpieczeństwa i podać dane kontaktowe, na które będą wysyłane ostrzeżenia i pod które organ będzie się z Tobą kontaktował po incydencie. Terminy i tryb zależą od kraju. To prosty krok, ale bez niego cała reszta wygląda na niezaczętą. Wyznacz też osobę odpowiedzialną za cyberbezpieczeństwo i sformalizuj to pisemnym poleceniem, bo organ zapyta właśnie o nią.
Najczęstsze błędy, które widzimy
Po pierwsze, zaczynanie od dokumentów zamiast od rzeczywistości. Skopiowana polityka głosząca, że uwierzytelnianie wieloskładnikowe jest włączone wszędzie, podczas gdy działa tylko dla poczty, zaszkodzi Ci podczas kontroli bardziej niż brak polityki.
Po drugie, założenie, że dostawca IT „zapewni” zgodność za Ciebie. Dostawca może poprawić stronę techniczną i przygotować dokumenty, ale odpowiedzialność, decyzje i zaangażowanie kierownictwa zostają po stronie firmy.
Po trzecie, zapominanie o terminach zgłaszania incydentów. Firma ma doskonałą ochronę, ale gdy dochodzi do incydentu, nikt nie wie, kto ma zgłosić go i gdzie, w ciągu 24 godzin.
Od czego zacząć
Jeśli dziś masz tylko program antywirusowy i dobre chęci, realistyczna ścieżka wygląda tak:
- Ustal, czy jesteś podmiotem objętym dyrektywą i do której grupy należysz. W razie wątpliwości lepiej sprawdzić, niż dowiedzieć się od organu.
- Przeprowadź ocenę ryzyka i inwentaryzację zasobów. Tworzy to fundament dla wszystkich pozostałych dokumentów i pokazuje, gdzie są realne luki.
- Uporządkuj podstawy techniczne: uwierzytelnianie wieloskładnikowe, ochronę stacji roboczych, oddzielnie przechowywane kopie zapasowe, proces aktualizacji.
- Przygotuj procedurę zarządzania incydentami i przejdź ją „na papierze” razem z kierownictwem.
- Zapewnij zaangażowanie kierownictwa: zatwierdź polityki, zaplanuj szkolenia, wpisz bezpieczeństwo do porządku obrad.
Możemy przejść całą tę drogę razem z Tobą. Nasza usługa zgodności z NIS2 obejmuje ocenę statusu podmiotu, ocenę ryzyka, przygotowanie dokumentów i wdrożenie środków technicznych, a jeśli potrzebujesz stałego lidera bezpieczeństwa bez zatrudniania go na pełny etat, CISO jako usługa utrzymuje dokumenty przy życiu także po kontroli. Nasz zespół posiada ważne certyfikaty ISACA, a usługi świadczymy zgodnie z wymaganiami ISO 27001, więc wiemy, o co pytają audytorzy i co sprawdzają najpierw.
