Закон про кібербезпеку

Що це означає

Закон про кібербезпеку - це словацький закон, що переносить європейську директиву NIS2. Він зобов'язує окремі компанії та установи запровадити заходи безпеки, повідомляти про серйозні кіберінциденти і підлягати перевірці з боку держави.

Закон поширюється на операторів основних і важливих послуг у таких галузях, як енергетика, транспорт, банківська справа, охорона здоров'я, цифрова інфраструктура, державне управління, а також виробництво, харчова промисловість чи поштові та кур'єрські послуги. Вирішальне значення мають розмір і галузь суб'єкта.

Центральний орган з кібербезпеки - Національне управління безпеки, яке веде реєстр операторів, приймає повідомлення про інциденти, надає методичні вказівки і перевіряє виконання обов'язків. Директива NIS2 значно розширила коло зобов'язаних суб'єктів порівняно з попереднім регулюванням.

Як це працює на практиці

Зобов'язані суб'єкти мають запровадити управління ризиками і заходи безпеки, наприклад політику безпеки, керування доступом, резервне копіювання, шифрування, захист ланцюга постачання і план реагування на інциденти. Заходи мають бути співмірними ризикам і розміру суб'єкта.

Про серйозні інциденти треба повідомляти в короткі законні строки, спершу раннім попередженням, потім детальнішим повідомленням. Тому компанія має мати готовий порядок, хто оцінює інцидент, хто повідомляє про нього і як відбувається спілкування з клієнтами та відомствами.

Закон наголошує і на відповідальності керівництва, яке має затверджувати заходи безпеки і стежити за їх виконанням. Частиною цього є регулярне навчання працівників і менеджменту, бо людський чинник - часта причина інцидентів.

На що звернути увагу

За порушення обов'язків загрожують великі штрафи, які можуть залежати й від обороту компанії, а відповідальність може нести і керівництво. Компаніям варто перевірити, чи підпадають вони під закон, і якщо так, вчасно зареєструватися і почати виконувати обов'язки.

Навіть компанії, що не підпадають під закон безпосередньо, можуть бути зачеплені опосередковано, якщо постачають зобов'язаним суб'єктам. Ті дедалі частіше вимагають від постачальників підтвердження заходів безпеки. Додатковим захистом може бути кіберстрахування.