Закон о кибербезопасности

Что это значит

Закон о кибербезопасности - это словацкий закон, переносящий европейскую директиву NIS2. Он обязывает отдельные компании и учреждения внедрить меры безопасности, сообщать о серьёзных киберинцидентах и подлежать проверке со стороны государства.

Закон распространяется на операторов основных и важных услуг в таких отраслях, как энергетика, транспорт, банковское дело, здравоохранение, цифровая инфраструктура, госуправление, а также производство, пищевая промышленность или почтовые и курьерские услуги. Решающее значение имеют размер и отрасль субъекта.

Центральный орган по кибербезопасности - Национальное управление безопасности, которое ведёт реестр операторов, принимает сообщения об инцидентах, даёт методические указания и проверяет выполнение обязанностей. Директива NIS2 значительно расширила круг обязанных субъектов по сравнению с прежним регулированием.

Как это работает на практике

Обязанные субъекты должны внедрить управление рисками и меры безопасности, например политику безопасности, управление доступом, резервное копирование, шифрование, защиту цепочки поставок и план реагирования на инциденты. Меры должны быть соразмерны рискам и размеру субъекта.

О серьёзных инцидентах нужно сообщать в короткие законные сроки, сначала ранним предупреждением, затем более подробным сообщением. Поэтому у компании должен быть готов порядок, кто оценивает инцидент, кто сообщает о нём и как идёт общение с клиентами и ведомствами.

Закон делает акцент и на ответственности руководства, которое должно утверждать меры безопасности и следить за их выполнением. Частью этого является регулярное обучение сотрудников и менеджмента, поскольку человеческий фактор - частая причина инцидентов.

На что обратить внимание

За нарушение обязанностей грозят крупные штрафы, которые могут зависеть и от оборота компании, а ответственность может нести и руководство. Компаниям стоит проверить, подпадают ли они под закон, и если да, вовремя зарегистрироваться и начать выполнять обязанности.

Даже компании, не подпадающие под закон напрямую, могут быть затронуты косвенно, если поставляют обязанным субъектам. Те всё чаще требуют от поставщиков подтверждения мер безопасности. Дополнительной защитой может служить киберстрахование.