NIS2

Что это значит

NIS2 - европейская директива о кибербезопасности, расширившая круг обязанных субъектов. В Словакии она перенесена в закон о кибербезопасности и его подзаконные акты.

Она касается не только энергетики и здравоохранения: в объём входят поставщики цифровых услуг, производство, транспорт, обращение с отходами и почтовые услуги свыше определённого размера.

NIS2 и GDPR пересекаются, но защищают разное. GDPR касается персональных данных и прав людей, о которых компания ведёт данные. NIS2 защищает доступность и безопасность самих услуг и систем, даже если персональных данных в них нет. Один инцидент, например вирус-вымогатель в бухгалтерской системе, может запустить уведомление по обоим актам сразу, каждое в свой орган.

Как это работает на практике

Обязанности конкретны: управление рисками, резервное копирование и план восстановления, управление доступом, безопасность цепочки поставок и уведомления об инцидентах в короткие сроки.

Для небольшой компании, поставляющей регулируемому субъекту, это требования в договоре: подтвердить меры, допустить аудит и сообщать об инцидентах заказчику. Регулирование расходится по цепочке.

Первый шаг - выяснить, подпадает ли компания под действие вообще: решают отрасль и размер по числу работников и обороту, в группе часто с учётом связанных компаний. Для этого мы предоставляем клиенту данные из зарплат и бухгалтерии, а результат оценки советуем сохранить в документации по комплаенсу, даже если выяснится, что обязанностей нет.

На что обратить внимание

За невыполнение отвечает руководство, а не ИТ-отдел. Закон прямо предусматривает ответственность органов компании, поэтому переложить тему на внешнего админа недостаточно.

Страховые при киберстраховании всё чаще проверяют, были ли у компании меры, которые требует закон. Если после инцидента выяснится, что не было двухфакторной аутентификации или рабочих резервных копий, страховое возмещение могут уменьшить или отказать в нём, и ущерб компания несёт сама.