NIS2

Що це означає

NIS2 - європейська директива про кібербезпеку, що розширила коло зобов’язаних суб’єктів. У Словаччині вона перенесена в закон про кібербезпеку та його підзаконні акти.

Вона стосується не лише енергетики й охорони здоров’я: в обсяг входять постачальники цифрових послуг, виробництво, транспорт, поводження з відходами і поштові послуги понад певний розмір.

NIS2 і GDPR перетинаються, але захищають різне. GDPR стосується персональних даних і прав людей, про яких компанія веде дані. NIS2 захищає доступність і безпеку самих послуг і систем, навіть якщо персональних даних у них немає. Один інцидент, наприклад програма-вимагач у бухгалтерській системі, може запустити повідомлення за обома актами одразу, кожне до свого органу.

Як це працює на практиці

Обов’язки конкретні: управління ризиками, резервне копіювання і план відновлення, управління доступом, безпека ланцюга постачання і повідомлення про інциденти в короткі строки.

Для невеликої компанії, що постачає регульованому суб’єкту, це вимоги в договорі: підтвердити заходи, допустити аудит і повідомляти про інциденти замовнику. Регулювання розходиться ланцюгом.

Перший крок - з’ясувати, чи підпадає компанія під дію взагалі: вирішують галузь і розмір за кількістю працівників та оборотом, у групі часто з урахуванням пов’язаних компаній. Для цього ми надаємо клієнту дані із зарплат і бухгалтерії, а результат оцінки радимо зберегти в документації з комплаєнсу, навіть якщо виявиться, що обов’язків немає.

На що звернути увагу

За невиконання відповідає керівництво, а не ІТ-відділ. Закон прямо передбачає відповідальність органів компанії, тому перекласти тему на зовнішнього адміністратора недостатньо.

Страховики при кіберстрахуванні дедалі частіше перевіряють, чи мала компанія заходи, яких вимагає закон. Якщо після інциденту з’ясується, що не було двофакторної автентифікації чи робочих резервних копій, страхове відшкодування можуть зменшити або відмовити в ньому, і збиток компанія несе сама.