NIS2; rizici i prilike za preduzeća

Uvod i regulatorne reference

NIS je akronim koji označava "Mrežna i informaciona sigurnost".

Ovim akronimom Evropska zajednica je namjeravala označiti zakonodavni napor da se definiše standardizovani pristup sajber bezbednosti u svim državama članicama EU.

U 2018. godini donesen je prvi evropski propis pod nazivom NIS1 (Direktiva EU 2016/1148); transponiran na nacionalni nivo Zakonodavnom uredbom 65 od 18.05.2018.

Uredba o NIS-u također je predvidjela usvajanje „nacionalne strategije kibernetičke sigurnosti“ osnivanjem italijanskog CSIRT-a (Tima za odgovor na incidente računarske sigurnosti) s tehničkim zadacima vezanim za sprječavanje, odgovor i praćenje kibernetičkih incidenata, u saradnji s evropskim CSIRT-ovima.

NIS1 je naknadno zamijenjen NIS2 (Direktiva EU 2022/2555); transponiran na nacionalni nivo Zakonodavnom uredbom 138 od 4. septembra 2024. godine.

NIS 2 ima za cilj prevazići ograničenja NIS 1; koji je državama članicama ostavio previše diskrecije tokom transpozicije; što je rezultiralo neuspjehom u postizanju cilja harmonizacije; a također je isključio određene kategorije subjekata koje su trebale biti regulirane zbog njihovog značaja za evropsko tržište.

Nadalje, NIS2 je uveden kao odgovor na povećanje stope digitalizacije koje se dogodilo u svim državama članicama, a koje je ubrzala pandemija; što je proširilo područje za sajber napade bez odgovarajućeg povećanja sigurnosnih sistema.

Konačno; još jedan cilj NIS2 je obavezati operatere bitnih i važnih usluga i pružatelje digitalnih usluga da usvoje odgovarajuće sigurnosne mjere i da odmah prijave incidente nadležnim organima i korisnicima svojih usluga.

Nova direktiva je usklađena s drugim specifičnim evropskim sektorskim propisima, uključujući:

- Direktiva o digitalnoj operativnoj otpornosti finansijskog sektora (DORA). Ovo je Uredba odobrena 10.11.2022. s ciljem povećanja sigurnosnih mjera u korist otpornosti i kibernetičke sigurnosti finansijskog sektora kroz implementaciju niza obaveznih sigurnosnih mjera koje garantuju integritet informacija i kibernetičku sigurnost usluga;

- Direktiva o otpornosti kritičnih entiteta (CER); usmjerena na osiguranje pravne jasnoće i dosljednosti između različitih direktiva.

Dotične kompanije su podijeljene na:

• Osnovni entiteti (energija; transport; zdravstvo; vodosnabdijevanje; javna uprava; finansije; svemir; digitalna infrastruktura)
• Važni subjekti (istraživanje; hemikalije; hrana; industrijska proizvodnja; digitalni pružatelji usluga; poštanske usluge; otpad)
• Javni organi: Centralna vlada (ustavna i ustavom relevantna tijela; Ured premijera i ministarstva; poreske agencije; nezavisne administrativne vlasti) | Regionalna vlada (regije i autonomne pokrajine) | Lokalna vlast (gradovi; općine sa > 100.000 stanovnika; regionalni glavni gradovi; lokalne zdravstvene vlasti) | Ostali javni subjekti (ekonomska regulatorna tijela; pružaoci ekonomskih usluga; udruženja; socijalna zaštita; pružaoci rekreacijskih i kulturnih usluga; istraživačka tijela i institucije; eksperimentalni zooprofilaktički instituti) | Druge vrste subjekata (subjekti koji pružaju usluge lokalnog javnog prevoza; obrazovne institucije koje obavljaju istraživačke aktivnosti; subjekti koji obavljaju aktivnosti od kulturnog interesa; interne kompanije; kompanije u koje se investira i kompanije pod javnom kontrolom)
• Dobavljači: organizacije koje pružaju ključne usluge subjektima pogođenim NIS2 moraju ojačati svoju digitalnu sigurnost; čak i ako su eksplicitno uključene u obavezne sektore.

Sadržaj NIS2

Opšte obaveze svojstvene sadržaju NIS2 mogu se sažeti na osnovu četiri glavna stuba:

Upravljanje: Uprava mora odobriti mjere upravljanja rizicima koje je organizacija usvojila i procijeniti njihovu učinkovitost tokom vremena: redovno provoditi obuke o pitanjima kibernetičke sigurnosti i ponuditi slične obuke zaposlenima.

Upravljanje rizicima: organizacija mora procijeniti sigurnosne i mrežne rizike i usvojiti odgovarajuće i proporcionalne tehničke, operativne i organizacijske mjere kako bi spriječila ili minimizirala utjecaj incidenata na primaoce svojih usluga.

Kontinuitet poslovanja: organizacija mora usvojiti rješenja kako bi osigurala kontinuitet poslovanja (npr. sigurnosne kopije; plan oporavka od katastrofe i procedure za upravljanje krizama); s ciljem minimiziranja utjecaja bilo kakvih prekida u pruženim uslugama.

Lanac snabdijevanja: kompanija mora procijeniti ranjivosti svakog direktnog dobavljača i ukupni kvalitet proizvoda svojih dobavljača i prakse sajber sigurnosti. Procjena će obuhvatiti dobavljače IKT-a i druge kritične dobavljače koji bi mogli uzrokovati poremećaj usluge zbog koje je organizacija uključena u NIS2 perimetar.

Stoga će kompanije morati biti u mogućnosti mjeriti i izvještavati o:

• Politike analize rizika i sigurnosti informacionog sistema
• Procedure upravljanja incidentima
• Rješenja za kontinuitet poslovanja (sigurnosna kopija i oporavak od katastrofe) i procedure za upravljanje krizama i komunikaciju
• Sigurnosne politike lanca snabdijevanja (dobavljači i pružatelji usluga)
• Sigurnost prilikom akvizicije; razvoj; održavanje i upravljanje ranjivostima informacionog sistema i mreže

Vremenski okvir NIS2

Kompanije i javne uprave morat će provesti procjenu kako bi utvrdile podliježu li obavezama iz NIS2 Direktive.

Od 1. decembra 2024. do 28. februara 2025. godine, kompanije su trebale da se autentifikuju na ACN (Nacionalna agencija za sajber sigurnost) portalu koristeći svoje SPID podatke. Tokom ovog perioda, korisnici su određeni kao /Registracijska služba.

Konkretno, kompanije su dužne da:

• Navedite da li je entitet dio grupe kompanija i navedite poreski kod matične kompanije, ako je primjenjivo.
  
• Navedite povezane kompanije i njihove poreske kodove.
  
• Navedite ATECO kodove koji opisuju aktivnost entiteta.
• Navedite relevantne sektorske propise Evropske unije.
• Navedite podatke o prometu, bilansu stanja i broju zaposlenih kako biste odredili kategoriju kompanije.
• Navedite vrste subjekata kojima kompanija pripada.

Do 17. januara 2025. godine; operateri registara domena najvišeg nivoa; pružaoci sistema domena i usluga registracije domena; računarstvo u oblaku; centri podataka; pružaoci mreža za isporuku sadržaja; pružaoci upravljanih usluga; pružaoci upravljanih sigurnosnih usluga; kao i pružaoci online tržišta; pružaoci online pretraživača i pružaoci platformi za društvene mreže trebali su se registrovati na platformi.

Do 31. marta 2025. godine, ACN je sastavio listu bitnih i važnih subjekata na osnovu registracija primljenih putem platforme.

Između 1. aprila 2025. i 15. aprila 2025. godine; ACN je obavijestio dotične subjekte da li su uvršteni na listu bitnih ili važnih subjekata.

Do 15. aprila 2025. godine, subjekti koji su primili obavještenje bili su dužni da posebnim aktom imenuju subjekt odgovoran za ispunjavanje obaveza iz uredbe.

Nakon toga; subjekti na koje se odnosi Direktiva morat će ispunjavati daljnje zahtjeve:

• do 1. januara 2026. godine; obaveza prijavljivanja incidenata
• do 1. oktobra 2026. godine; obaveze u vezi s administrativnim tijelima i sigurnosnim mjerama moraju biti ispunjene

ACN će svake godine ažurirati listu uključenih subjekata. Kompanije i javne uprave imat će priliku da se registruju svake godine između januara i februara, ako smatraju da su među dotičnim subjektima.

Rizici za kompanije, ali i prilike

Nakon stupanja na snagu NIS2 i identifikacije uključenih operatera, nadležni organi mogu provoditi nadzor i provjere na licu mjesta kako bi provjerili njihovu usklađenost s Direktivom. U slučaju nepoštovanja, na uključene kompanije će se primijeniti kazne.

Kazne su veoma stroge: za velike kompanije; do 10 miliona eura ili 2% globalnog prometa; za srednja preduzeća; do 7 miliona eura ili 1,4% globalnog prometa.

Iako poštivanje propisa zahtijeva jasan napor i ulaganja od strane kompanija, mora se također priznati da sami propisi nastoje pružiti značajno rješenje za problem sajber napada; na koje su italijanske kompanije i dalje vrlo podložne i koje često nastoje prikriti iz razloga imidža. U ekonomskom smislu, procijenjena prosječna šteta za svaki pojedinačni sajber napad iznosi više od 2 miliona eura; bez obzira na promet kompanije.

Kako ERA može pomoći u upravljanju usklađenošću sa NIS2

Uprkos svemu navedenom, što bi moglo ukazivati ​​na to da su kompanije izuzetno zainteresovane i uključene u pitanja sajber sigurnosti, nije neuobičajeno, posebno među malim i srednjim preduzećima, pronaći kompanije koje su malo ili ništa učinile po ovom pitanju i trenutno nisu u stanju da definišu svoj stav u pogledu rizika kojima su izložene, kako sa tehničkog stanovišta, tako i u pogledu usklađenosti sa različitim postojećim propisima.

Neke kompanije se bave pitanjem sajber sigurnosti putem osiguranja. Međutim, osiguravajuća društva često nerado nude ovu vrstu zaštite kompanijama koje nikada nisu poduzele konkretne akcije u sajber sferi. To je zato što ne postoji pouzdana metoda za tačnu procjenu štete uzrokovane sajber napadom. Kao rezultat toga, „NIS2 paketi“ fokusiraju se na usluge procjene sajber rizika, ali ostavljaju kompanijama da preduzmu potrebne mjere za rješavanje bilo kakvih nedostataka. ERA može ponuditi sveobuhvatniju uslugu, oslanjajući se na mrežu visokokvalifikovanih dobavljača po vrlo konkurentnim komercijalnim uslovima.

Detaljno; ERA-ina podrška se sastoji od:

• Procjena organizacijske i tehničke strukture kompanije; uz pomoć upitnika za samoprocjenu koristeći unaprijed definirane pokazatelje;
• Kursevi podizanja svijesti i obuke; s osnovnim kursevima za sve zaposlenike i naprednim modulima za viši i srednji menadžment; u skladu sa smjernicama NIS2;
• Specifični i visokokvalifikovani testovi analize ranjivosti; tretmana od phishinga i procjene rizika od ransomwarea;
• Podrška posvećenih konsultanata tokom faze sanacije nakon procjene;
• Specijalizovana podrška posvećenih konsultanata za vođenje strateških odluka u oblasti sajber bezbednosti.

Naše rješenje uključuje analizu usklađenosti s NIS2 propisima; što je svakako najhitniji problem; ali također može pratiti klijenta u upravljanju projektom faze sanacije; tj. faze u kojoj klijent mora otkloniti različite 'nedostatke' identificirane u procesu dijagnoze; i to je faza u kojoj su poteškoće nekih kompanija najočitije; kako u smislu internih vještina, tako i dostupnosti vremena i resursa.