NIS2 direktyva svetainių savininkams

NIS2 yra Europos Sąjungos atnaujintas kibernetinio saugumo teisės aktas esminiams ir svarbiems subjektams. Jis išplečia pirminės 2016 m. NIS direktyvos taikymo sritį, kelia iš aprėptų subjektų tikimo bazinio saugumo kartelę ir uždeda realią atsakomybę vadovybei. Jei jūsų verslas veikia tam tikruose sektoriuose, dabar jis gali būti jums taikomas, net jei anksčiau nebuvo.

Kas iš tiesų yra NIS2

NIS2 pakeičia pirmąją Tinklų ir informacijos saugumo direktyvą nuo 2016 m. Pirminė paliko per daug spragų ir buvo taikoma nenuosekliai skirtingose valstybėse narėse. NIS2 praplečia aprėptų sektorių ratą, standartizuoja reikalavimus, sustiprina priežiūrą ir įveda aiškesnius incidentų pranešimo terminus. Kadangi tai direktyva, o ne reglamentas, ji įsigalioja per nacionalinius įstatymus kiekvienoje ES šalyje — taigi tikslios detalės priklauso nuo to, kur veikiate.

Kam ji taikoma

NIS2 aprėptas organizacijas skirsto į esminius ir svarbius subjektus tokiuose sektoriuose kaip energetika, transportas, bankininkystė, sveikata, geriamasis ir nuotekų vanduo, skaitmeninė infrastruktūra, viešasis administravimas ir tam tikri skaitmeninių paslaugų teikėjai. Kritinių produktų gamyba, pašto paslaugos, maistas ir chemija yra tarp papildomai įtrauktų sektorių. Svarbus ir dydis: taisyklės paprastai taikomos vidutinėms ir didelėms organizacijoms, nors kai kurie subjektai aprėpiami nepriklausomai nuo dydžio dėl savo kritinio vaidmens.

Bazinės saugumo priemonės

NIS2 prašo aprėptų subjektų imtis „tinkamų ir proporcingų“ techninių, veiklos ir organizacinių priemonių. Praktikoje tai virsta pažįstamu kontrolės priemonių rinkiniu:

• Rizikos analizė ir informacinių sistemų saugumo politikos
• Incidentų valdymo ir reagavimo procedūros
• Veiklos tęstinumas, atsarginės kopijos ir atkūrimas po nelaimių
• Tiekimo grandinės ir tiekėjų saugumas
• Saugumas įsigyjant, kuriant ir prižiūrint sistemas, įskaitant pažeidžiamumų valdymą ir atskleidimą
• Politikos, skirtos įvertinti, kiek tos priemonės veiksmingos
• Bazinė kibernetinė higiena, mokymai bei kriptografijos ir šifravimo naudojimas
• Prieigos kontrolė, turto valdymas ir, kur tinkama, kelių veiksnių autentifikavimas

Svetainei didelė šio pagrindo dalis persidengia su įprasta gerąja praktika: priverskite HTTPS, laikykite programinę įrangą atnaujintą, naudokite stiprų autentifikavimą ir pridėkite saugumo antraštes. Mūsų svetainių saugumo pagrindų planas yra protingas atspirties taškas, o nemokama patikra išryškina akivaizdžiausias technines spragas.

Pranešimas ir atsakomybė

Aprėpti subjektai apie reikšmingus incidentus turi pranešti savo nacionalinei institucijai pagal nustatytą terminą — išankstinis įspėjimas netrukus po aptikimo, po jo — išsamesnė ataskaita. NIS2 taip pat padaro vyresniąją vadovybę atsakingą už kibernetinio saugumo priemonių patvirtinimą ir priežiūrą, todėl saugumas traktuojamas kaip valdysenos klausimas, o ne kažkas paliekama vien IT.

Kur NIS2 dera ES vaizde

NIS2 stovi šalia kitų ES sistemų. Ji papildo BDAR, kuris reglamentuoja asmens duomenis, ir tokias taisykles kaip Skaitmeninės veiklos atsparumo aktas finansams. Kartu jos signalizuoja aiškią kryptį: stipresnis, atsakingesnis kibernetinis saugumas visoje Europos ekonomikoje. Mūsų atitikties apžvalga parodo, kaip šie elementai tarpusavyje susiję.

Šis vadovas yra bendro pobūdžio informacija, padedanti suprasti NIS2, o ne teisinė konsultacija. Nacionaliniai įgyvendinimai skiriasi; norėdami patvirtinti savo pareigas, kreipkitės į kvalifikuotą specialistą.

Dažniausiai užduodami klausimai

Susiję vadovai