Bliższe spojrzenie na dyrektywę NIS2
Dyrektywa NIS2 zwiększa minimalne wymagania dotyczące bezpieczeństwa IT infrastruktury krytycznej i w porównaniu z jej poprzednią wersją znacznie poszerza zakres organizacji, które są nią objęte. Jakie nadchodzą zmiany? Co należy zrobić już teraz, aby przygotować się na zmiany? Poniżej znajdziesz odpowiedzi na najważniejsze pytania.
Co to jest NIS2?
Dyrektywa NIS2 (Network and Information Systems 2) jest aktem prawnym, który wyznacza cel do osiągnięcia przez kraje UE i określa minimalne wymagania dotyczące cyberbezpieczeństwa infrastruktury krytycznej. Wdrażając go, Komisja Europejska dąży do poprawy poziomu cyberbezpieczeństwa w Unii Europejskiej i wzmocnienia współpracy międzynarodowej w zwalczaniu cyberataków. NIS2 obowiązuje od 16 stycznia 2023 r., a państwa członkowskie muszą włączyć ją do swoich przepisów krajowych do 17 października 2024 r. Szacuje się, że nowa dyrektywa dotyczy około 10 000 organizacji w Polsce i wprowadza nowe obowiązki.
RAPORT SPECJALNY
W oczekiwaniu na NIS2: stan przygotowań
Raport opracowanym przez CSO Council, Trend Micro oraz EY Polska analizuje gotowość firm w Polsce na przyjęcie unijnych przepisów.
- Czy polskie firmy są na to gotowe?
- Co sądzą na ten temat CISO?
- Jak organizacje przygotowują się do tej zmiany?
- Jak technologia wspiera przedsiębiorstwa w spełnieniu nowych wytycznych?
W raporcie znajdziesz odpowiedzi na te i na wiele innych pytań.
Skrót głównych zmian w NIS2
Dyrektywa NIS2 zmienia i zastępuje dyrektywę NIS z 2016 roku. Najważniejsze zmiany:
- Znacznie zwiększono liczbę organizacji objętych przepisami. Zwiększono liczbę sektorów do 18. Dodano siedem nowych ważnych sektorów i obniżono progi kwalifikacyjne.
- Organizacje muszą być w stanie oceniać ryzyko cyberataku w całym swoim łańcuchu dostaw.
- Zarządzanie cyberryzykiem jest obowiązkowe.
- Organizacje muszą zapewnić pracownikom szkolenia oraz pełne audyty w zakresie cyberbezpieczeństwa.
- Kierownictwo wyższego szczebla ponosi osobistą odpowiedzialność za wszelkie szkody spowodowane nieprzestrzeganiem obowiązków w zakresie zarządzania cyberryzykiem.
- W przypadku naruszeń mogą zostać nałożone surowe kary.
- Należy przestrzegać rygorystycznych wymogów dotyczących raportowania. Organem nadzorczym jest Federalny Urząd ds. Bezpieczeństwa Informacji (BSI).
- Państwa członkowskie muszą wyznaczyć krajowy zespół reagowania na incydenty bezpieczeństwa komputerowego (CSIRT, Computer Security Incident Response Team). CSIRT będą współpracować w całej UE i podlegać nadrzędnemu organowi koordynującemu ds. cyberbezpieczeństwa ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa).
Czy dyrektywa NIS2 mnie dotyczy?
Organizacje muszą ustalić, czy wchodzą w zakres NIS2. Kryteria są następujące:
Twoja organizacja już teraz jest infrastrukturą krytyczną
W takim przypadku NIS2 dotyczy cię automatycznie.
Należysz do jednego z 18 sektorów
Musisz oprócz tego zatrudniać co najmniej 50 pracowników i osiągać roczny obrót w wysokości co najmniej 10 milionów euro.
Kluczowe sektory a ważne sektory
Dyrektywa NIS2 rozróżnia sektory na kluczowe i ważne, a także sektory średnie i duże. Ten podział wpływa na poziom sankcji i nadzoru ze strony władz.
Wielkość przedsiębiorstwa
W ramach sektorów obowiązują następujące progi:
- Średnie przedsiębiorstwa = od 50 do 249 pracowników, obrót poniżej 50 mln euro i/lub bilans poniżej 43 mln euro.
- Duże przedsiębiorstwa = co najmniej 250 pracowników, obrót co najmniej 50 mln euro i/lub bilans co najmniej 43 mln euro.
Przypadki szczególne
Dyrektywa NIS2 ma wpływ na kilka przypadków szczególnych w kategorii kluczowych sektorów, niezależnie od ich wielkości. Są to m.in. kwalifikowani dostawcy usług zaufania, rejestry TLD i dostawcy usług DNS.
Kluczowe sektory oraz ważne sektory
Dyrektywa NIS2 definiuje następujących 18 sektorów
Kluczowe sektory
- Energia (elektryczność, ropa naftowa, woda, wodór)
- Zdrowie (szpitale, laboratoria, badania i rozwój, farmaceutyki, producenci urządzeń medycznych)
- Transport (lotniczy, kolejowy, wodny, drogowy)
- Bankowość i finanse
- Woda pitna
- Ścieki
- Infrastruktura cyfrowa (IXP, dostawcy chmury, centra danych, CDN, TSP, dostawcy komunikacji elektronicznej)
- Zarządzanie usługami ICT w B2B
- Kosmos
- Administracja publiczna (rząd centralny, samorządy regionalne)
Ważne sektory
- Usługi pocztowe i kurierskie
- Gospodarka odpadami
- Produkty chemiczne
- Żywność
- Przemysł przetwórczy/produkcyjny
- Usługi cyfrowe (rynki internetowe, wyszukiwarki, sieci społecznościowe)
- Badania
Wymogi dyrektywy NIS2 dla CEO/Zarządu
NIS2 kładzie nacisk na zarządzanie cyberryzykiem w ramach zarządzania ryzykiem korporacyjnym — i nie bez powodu, ponieważ cyberataki są obecnie największym ryzykiem, na jakie narażone są przedsiębiorstwa. Zapewnienie ciągłości działania jest szczególnie ważne w infrastrukturze krytycznej. Dlatego NIS2 nakłada na CEO obowiązki: muszą oni wspierać środki zarządzania cyberryzykiem i monitorować ich wdrażanie. CEO, którzy nie wypełniają tych obowiązków w zakresie zarządzania cyberryzykiem, ponoszą osobistą odpowiedzialność za wynikające z tego ryzyko i/lub szkody.
Dla CEO, którzy do tej pory nie mieli wiele wspólnego z cyberbezpieczeństwem, zarządzanie cyberryzykiem to niezbadany teren. W praktyce NIS2 oznacza, że CEO muszą potrafić identyfikować i oceniać cyberzagrożenia oraz decydować, które z nich są dla organizacji akceptowalne, a które nie. Wiąże się to z analizowaniem prawdopodobieństwa i oczekiwanego zakresu szkód cyberataków dla organizacji. Warunkiem wstępnym są więc regularne konsultacje z osobami odpowiedzialnymi za bezpieczeństwo IT. Tymczasem już dziś, według badania przeprowadzonego przez Trend Micro, 51 procent badanych zespołów IT informuje kierownictwo o cyberzagrożeniach raz w tygodniu.
Wymagania dyrektywy NIS2 dla CISO / menedżerów ds. bezpieczeństwa IT
Menedżerowie ds. bezpieczeństwa IT stoją przed zadaniem wdrożenia wymagań dyrektywy NIS2. Artykuł 21 dyrektywy określa minimalne wymogi dotyczące cyberbezpieczeństwa. Oprócz zarządzania cyberryzykiem lista ta obejmuje również zarządzanie kopiami zapasowymi, zarządzanie incydentami, zasady i procedury dotyczące korzystania z kryptografii, a także na przykład kontrolę dostępu i zarządzanie tożsamością. Dobra wiadomość: Jeśli masz wdrożone standardowe najlepsze praktyki bezpieczeństwa, spełniasz już wiele tych wymagań.
W zakresie zarządzania cyberryzykiem CISO / menedżerowie ds. bezpieczeństwa IT muszą być w stanie w każdej chwili jasno poinformować kierownictwo o aktualnym stanie ryzyka, najważniejszych zagrożeniach oraz środkach, jakie powinna podjąć organizacja. Zarządzanie cyberryzykiem musi być procesem ciągłym, ponieważ powierzchnia ataku i środowisko zagrożeń stale się zmieniają.
Trend Micro wspiera wdrażanie NIS2, oferując najbardziej zaawansowane technologie bezpieczeństwa.
Łatwe zarządzanie cyberryzykiem dzięki ASRM
Rozwiązanie ASRM (Attack Surface Risk Management) firmy Trend Micro wykorzystuje sztuczną inteligencję do automatycznego obliczania ryzyka w danym środowisku IT. Środowisko jest analizowane z perspektywy atakującego: ASRM zbiera wewnętrzne dane z podłączonych czujników i koreluje je z informacjami o bezpieczeństwie z niezliczonych źródeł zewnętrznych, w tym publikacji agencji rządowych, policji, firm zajmujących się bezpieczeństwem i analityków. Pulpit nawigacyjny zapewnia przegląd, a kolory czerwony, żółty i zielony natychmiast informują o poziomie ryzyka. ASRM ostrzega, gdy tylko określony próg zostanie przekroczony i pokazuje szczegółowe informacje — np. których systemów dotyczy problem. Zaleca również środki zaradcze, a nawet umożliwia automatyczne eliminowanie zagrożeń.
Zminimalizuj zakres szkód dzięki XDR
Nawet mając najlepsze środki bezpieczeństwa, zawsze trzeba brać pod uwagę ewentualność ataku, ponieważ nigdy nie da się wyeliminować wszystkich zagrożeń. Aby zminimalizować zakres szkód, trzeba móc szybko wykrywać i powstrzymywać wszelkie możliwe incydenty. A najlepszym na to sposobem jest Trend Micro XDR (Extended Detection and Response). XDR zapewnia przejrzystość w całym środowisku IT, gromadzi odczyty czujników zagrożeń ze wszystkich połączonych systemów i używa AI do korelowania tych danych w alerty pozwalające podjąć działania. Zmniejsza to liczbę fałszywych alarmów, umożliwiając szybkie sprawdzenie, co się stało, które systemy zostały dotknięte i gdzie wymagane jest działanie.
Jak ASRM i XDR współpracują ze sobą
ASRM i XDR są zintegrowane z platformą cyberbezpieczeństwa Trend Vision One, z której można je centralnie monitorować i kontrolować. Obie technologie mają dostęp do tych samych czujników i komunikują się ze sobą. Kiedy ASRM wykrywa ryzyko, XDR bada je dokładniej, a kiedy XDR wykrywa znamiona cyberataku, ASRM natychmiast ustawia odpowiedni status ryzyka. Razem obie technologie minimalizują zarówno prawdopodobieństwo cyberataku, jak i zakres szkód.
Trend Micro liderem
Forrester Wave™: Endpoint Security (ochrona punktów końcowych), IV kw. 2023 r.
Firma Trend Micro uzyskała najwyższy wynik w kategorii Strategia oraz najwyższe możliwe oceny w kategoriach Innovation, Roadmap i Adoption.
BEZPŁATNY CYKL
E-SEMINARIÓW
#Przygotuj się na NIS2
Obejrzyj cykl 6 e-seminariów i dowiedz się, jak Trend Micro wspiera przedsiębiorstwa w spełnieniu nowych wytycznych.
Poruszane tematu:
- 09.02.2024 – Przygotuj się na NIS2 – najważniejsze zmiany w zarządzaniu cyberbezpieczeństwem wg dyrektywy NIS2.
- 16.02.2024 – Miary i wskaźniki ryzyka – co i jak mierzyć, aby spełniać wymogi NIS2.
- 23.02.2024 – Ryzyko w Trend Vision One pod kontrolą. Sposoby minimalizacji ryzyka - automatyzacja zarządzania ryzykiem w zgodzie z NIS2.
- 01.03.2024 – Wytyczne NIS2 a raportowanie incydentów i ryzyka.
- 08.03.2024 – Trend Vision One na co dzień. Optymalizacja pracy SOC z wykorzystaniem dostępnych funkcjonalności w Trend Vision One.
- 15.03.2024 – Szkolenia bezpieczeństwa w praktyce – zarządzaj odpornością pracowników na phishing.
Możliwe rozwiązania w związku z NIS2
Rozwiązania Trend Micro wspierające wdrożenie NIS2
Wymagania dyrektywy NIS2 dla działów compliance
Aby zapewnić zgodność organizacji z NIS2, należy dokładnie zapoznać się z wymogami regulacyjnymi, udokumentować podjęte środki i zweryfikować ich skuteczność. Należy również zapewnić szkolenia w celu podniesienia świadomości pracowników w zakresie zgodności z NIS2. W przypadku dotknięcia organizacji cyberatakiem, należy wdrożyć procedurę terminowego zgłaszania incydentu w ciągu 24 godzin.
Ostateczne wymagania, jakie będą obowiązywać w Polsce, zostaną określone dopiero po aktualizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC).
NIS2 i RODO
Mimo że polskie przepisy dotyczące NIS2 wciąż czekają na uchwalenie, jedno już dziś jest jasne: Przepisy RODO będą miały pierwszeństwo nad NIS2. W przypadku incydentów objętych oboma zestawami przepisów, surowość kar będzie opierać się na RODO. Kary przewidziane w RODO za szczególnie poważne naruszenia są dwukrotnie wyższe i mogą sięgać 20 milionów euro lub 4 procent rocznego światowego obrotu.
Często zadawane pytania
Jakie kary mogą zostać nałożone w przypadku nieprzestrzegania dyrektywy NIS2?
Ci, którzy nie wywiążą się ze swoich obowiązków wynikających z NIS2, muszą spodziewać się surowych sankcji. Wdrożenie dyrektywy przewiduje różne kary mające zastosowanie do ważnych sektorów lub dostawców infrastruktury krytycznej i sektorów kluczowych. W przypadku przestępstw pospolitych wobec wszystkich grup obowiązują te same surowe kary.
- Sektory istotne: (tymczasowo) zawieszają certyfikację lub zezwolenia dotyczące części lub całości odpowiednich usług świadczonych lub działań prowadzonych przez podmiot oraz uniemożliwiają osobom fizycznym odpowiedzialnym za wykonywanie obowiązków zarządczych na poziomie dyrektora generalnego lub przedstawiciela prawnego podmiotu sprawowanie funkcji kierowniczych
- Dostawcy infrastruktury krytycznej i sektory kluczowe: do 10 mln euro lub 2 procent rocznych obrotów
- Ważne sektory: do 7 mln euro lub 1,4 procent rocznego obrotu.
Przydatne materiały
W oczekiwaniu na NIS2: stan przygotowań
Raport specjalny o gotowości firm w Polsce na przyjęcie unijnych przepisów dyrektywy NIS2
BEZPŁATNY CYKL
E-SEMINARIÓW
#Przygotuj się na NIS2
Obejrzyj cykl 6 e-seminariów i dowiedz się, jak Trend Micro wspiera przedsiębiorstwa w spełnieniu nowych wytycznych
Informacje o NIS2
Jak Trend Micro wspiera Twoją drogę do zapewnienia zgodności z NIS2
Czy masz pytania?