NIS2

Čo to znamená

NIS2 je európska smernica o kybernetickej bezpečnosti, ktorá rozšírila okruh povinných subjektov. Na Slovensku je premietnutá do zákona o kybernetickej bezpečnosti a jeho vyhlášok.

Netýka sa len energetiky a zdravotníctva: do rozsahu patria aj poskytovatelia digitálnych služieb, výroba, doprava, odpadové hospodárstvo a poštové služby nad určitú veľkosť.

NIS2 a GDPR sa prekrývajú, ale chránia iné veci. GDPR sa týka osobných údajov a práv ľudí, o ktorých firma údaje vedie. NIS2 chráni dostupnosť a bezpečnosť samotných služieb a systémov, aj keď v nich žiadne osobné údaje nie sú. Jeden incident, napríklad ransomvér v účtovnom systéme, môže spustiť hlásenie podľa oboch predpisov naraz, každé inému úradu.

Ako to funguje v praxi

Povinnosti sú konkrétne: riadenie rizík, zálohovanie a plán obnovy, riadenie prístupov, bezpečnosť dodávateľského reťazca a hlásenie incidentov v krátkych lehotách.

Pre menšiu firmu, ktorá dodáva regulovanému subjektu, to znamená požiadavky v zmluve: preukázať opatrenia, umožniť audit a hlásiť incidenty odberateľovi. Regulácia sa tak šíri cez reťazec.

Prvým krokom je zistiť, či firma do rozsahu vôbec patrí: rozhoduje odvetvie a veľkosť podľa počtu zamestnancov a obratu, pri skupine často so započítaním prepojených firiem. Klientovi na to dodáme údaje z miezd a účtovníctva a výsledok posúdenia odporúčame založiť v dokumentácii compliance, aj keď vyjde, že povinnosti nemá.

Na čo si dať pozor

Za nesplnenie zodpovedá vedenie, nie IT oddelenie. Zákon výslovne počíta so zodpovednosťou štatutárov, takže odsunúť tému na externého správcu siete nestačí.

Poisťovne pri kybernetickom poistení čoraz častejšie skúmajú, či firma mala zavedené opatrenia, ktoré od nej vyžaduje zákon. Ak sa po incidente ukáže, že chýbala dvojfaktorová autentifikácia alebo funkčné zálohy, poistné plnenie môže byť krátené alebo odmietnuté a firma znáša škodu sama.