NIS2; ризици и можности за бизнисите

Вовед и регулаторни референци

NIS е акроним што значи „Безбедност на мрежата и информациите“.

Со овој акроним, Европската заедница имаше намера да го означи законодавниот напор за дефинирање на стандардизиран пристап кон сајбер безбедноста во сите земји-членки на ЕУ.

Во 2018 година беше донесена првата европска регулатива наречена NIS1 (Директива на ЕУ 2016/1148); транспонирана на национално ниво со Законодавна уредба 65 од 18.05.2018 година.

Уредбата за НИС, исто така, предвиде усвојување на „национална стратегија за сајбер безбедност“ преку воспоставување на италијанскиот CSIRT (Тим за одговор на инциденти поврзани со компјутерска безбедност) со технички задачи поврзани со превенција; одговор и следење на сајбер инциденти; во соработка со европските CSIRT.

NIS1 последователно беше заменет со NIS2 (Директива на ЕУ 2022/2555); транспониран на национално ниво со Законодавна уредба 138 од 4 септември 2024 година.

НИС 2 има за цел да ги надмине ограничувањата на НИС 1; кој им остави премногу дискреционо право на земјите-членки за време на транспонирањето; што резултираше со неуспех во постигнувањето на целта за хармонизација; а исто така исклучи одредени категории на субјекти кои требаше да бидат регулирани поради нивната важност за европскиот пазар.

Понатаму; NIS2 беше воведен како одговор на зголемувањето на стапката на дигитализација што се случи во сите земји-членки и беше забрзана од пандемијата; што ја прошири површината за сајбер напади без соодветно зголемување на безбедносните системи.

Конечно, друга цел на NIS2 е да ги обврзе операторите на основни и важни услуги и давателите на дигитални услуги да усвојат соодветни безбедносни мерки и навремено да ги пријавуваат инцидентите до надлежните органи и корисниците на нивните услуги.

Новата директива е усогласена со други специфични европски секторски регулативи; вклучувајќи:

- Директивата за дигитална оперативна отпорност за финансискиот сектор (DORA). Ова е Регулативата одобрена на 10.11.2022 година со цел зголемување на безбедносните мерки во корист на отпорноста и сајбер безбедноста на финансискиот сектор преку имплементација на низа задолжителни безбедносни мерки што го гарантираат интегритетот на информациите и сајбер безбедноста на услугите;

- Директивата за отпорност на критични субјекти (CER); насочена кон обезбедување правна јасност и конзистентност помеѓу различните директиви.

Засегнатите компании се поделени на:

• Основни субјекти (енергија; транспорт; здравство; водоснабдување; јавна администрација; финансии; простор; дигитална инфраструктура)
• Важни субјекти (истражување; хемикалии; храна; индустриско производство; дигитални добавувачи; поштенски услуги; отпад)
• Јавни тела: Централна власт (уставни и уставно релевантни тела; Канцеларија на премиерот и министерства; даночни агенции; независни административни органи) | Регионална власт (региони и автономни покраини) | Локална власт (метрополитенски градови; општини со > 100.000 жители; регионални престолнини; локални здравствени власти) | Други јавни субјекти (економски регулаторни тела; даватели на економски услуги; здруженија; социјални услуги; даватели на рекреативни и културни услуги; истражувачки тела и институции; експериментални зоопрофилактички институти) | Други видови субјекти (субјекти што обезбедуваат локални услуги за јавен превоз; образовни институции што вршат истражувачки активности; субјекти што вршат активности од културен интерес; интерни компании; компании во кои се инвестира и јавно контролирани компании)
• Добавувачи: организациите кои обезбедуваат критични услуги за субјектите погодени од NIS2 мора да ја зајакнат својата дигитална безбедност; дури и ако се експлицитно вклучени во задолжителните сектори.

Содржина на NIS2

Општите обврски својствени за содржината на NIS2 можат да се сумираат врз основа на четири главни столба:

Управување: Менаџментот мора да ги одобри мерките за управување со ризици што ги усвои организацијата и да ја процени нивната ефикасност со текот на времето: да следи редовна обука за прашања од сајбер безбедноста и да им понуди слична обука на вработените.

Управување со ризици: организацијата мора да ги процени безбедносните и мрежните ризици и да усвои соодветни и пропорционални технички, оперативни и организациски мерки за да го спречи или минимизира влијанието на инцидентите врз корисниците на нејзините услуги.

Континуитет на работењето: организацијата мора да усвои решенија за да обезбеди континуитет на работењето (на пр. резервни копии; план за опоравување од катастрофа и постапка за управување со кризи); насочени кон минимизирање на влијанието од какви било прекини на обезбедените услуги.

Синџир на снабдување: компанијата мора да ги процени ранливостите на секој директен добавувач и целокупниот квалитет на производите и практиките за сајбер безбедност на нејзините добавувачи. Проценката ќе ги опфати добавувачите на ИКТ и другите критични добавувачи кои би можеле да предизвикаат прекин на услугата за која организацијата е вклучена во периметарот NIS2.

Затоа, од компаниите ќе се бара да можат да мерат и да известуваат за:

• Анализа на ризик и политики за безбедност на информацискиот систем
• Процедури за управување со инциденти
• Решенија за континуитет на работењето (бекап и обновување по катастрофа) и процедури за управување со кризи и комуникација
• Политики за безбедност на синџирот на снабдување (добавувачи и даватели на услуги)
• Безбедност при стекнување; развој; ​​одржување и управување со ранливости на информацискиот систем и мрежата

Временска рамка на NIS2

Компаниите и јавната администрација ќе треба да спроведат проценка за да разберат дали подлежат на обврските од Директивата NIS2.

Од 1 декември 2024 до 28 февруари 2025 година; компаниите требаше да се автентицираат на порталот на ACN (Национална агенција за сајбер безбедност) користејќи ги нивните SPID акредитиви. Во овој период; корисниците беа означени како /Registration Service.

Особено, од компаниите се бара:

• Наведете дали субјектот е дел од група компании и наведете го даночниот код на матичната компанија; доколку е применливо.
  
• Наведете ги поврзаните компании и наведете ги нивните даночни кодови.
  
• Наведете ги ATECO кодовите што ја опишуваат активноста на субјектот.
• Наведете ги релевантните секторски регулативи на Европската Унија.
• Наведете бројки за прометот, билансот на состојба и бројот на вработени за да ја одредите категоријата на компанијата.
• Наведете ги видовите субјекти на кои припаѓа компанијата.

До 17 јануари 2025 година; операторите на регистри на домени од највисоко ниво; давателите на системи за имиња на домени и услуги за регистрација на домени; cloud computing; центри за податоци; давателите на мрежи за испорака на содржини; давателите на управувани услуги; давателите на услуги за управувана безбедност; како и давателите на онлајн пазари; давателите на онлајн пребарувачи и давателите на платформи за социјални мрежи треба да се регистрираат на платформата.

До 31 март 2025 година; ACN состави список на основни и важни субјекти врз основа на регистрациите добиени преку платформата.

Помеѓу 1 април 2025 година и 15 април 2025 година; ACN ги извести засегнатите субјекти дали се вклучени во списокот на основни или важни субјекти.

До 15 април 2025 година, субјектите што го примија известувањето беа должни, преку посебен акт, да назначат субјект одговорен за исполнување на обврските од декретот.

После тоа, субјектите засегнати од Директивата ќе мора да се придржуваат кон дополнителни барања:

• до 1 јануари 2026 година; обврска за пријавување инциденти
• до 1 октомври 2026 година; обврските во врска со административните органи и безбедносните мерки мора да бидат исполнети

Секоја година; ACN ќе го ажурира списокот на вклучени субјекти. Компаниите и јавните администрации ќе имаат можност да се регистрираат секоја година; помеѓу јануари и февруари; доколку се сметаат себеси за меѓу засегнатите субјекти.

Ризици за компаниите, но и можности

По стапувањето во сила на NIS2 и идентификувањето на вклучените оператори, надлежните органи можат да вршат надзор и проверки на лице место за да ја потврдат нивната усогласеност со Директивата. Во случај на непочитување, ќе бидат применети казни за вклучените компании.

Казните се многу строги: за големи компании; до 10 милиони евра или 2% од глобалниот промет; за средни претпријатија; до 7 милиони евра или 1,4% од глобалниот промет.

Иако усогласеноста со прописите бара јасен напор и инвестиција од страна на компаниите, мора да се признае и дека самите прописи имаат за цел да обезбедат суштинско решение за проблемот со сајбер нападите; на кои италијанските компании се сè уште многу подложни и кои честопати имаат тенденција да ги прикријат од причини поврзани со имиџот. Во економска смисла; проценетата просечна штета за секој поединечен сајбер напад е повеќе од 2 милиони евра; без оглед на прометот на компанијата.

Како ERA може да помогне во управувањето со усогласеноста со NIS2

И покрај сето погоре наведено; што може да сугерира дека компаниите се исклучително заинтересирани и вклучени во прашањата за сајбер безбедноста; не е невообичаено; особено кај малите мали и средни претпријатија; да се најдат компании кои направиле малку или ништо во врска со овие прашања и во моментов не се во можност да ја дефинираат својата позиција во однос на ризиците на кои се изложени; и од техничка гледна точка и во однос на усогласеноста со различните постојни регулативи.

Некои компании го решаваат прашањето на сајбер безбедноста преку осигурување. Сепак, осигурителните компании честопати се двоумат да понудат ваков вид заштита на компании кои никогаш не презеле конкретни мерки во сајбер-сферата. Ова е затоа што не постои сигурен метод за прецизно проценување на штетата предизвикана од сајбер напад. Како резултат на тоа, „NIS2 пакетите“ се фокусираат на услуги за проценка на сајбер-ризикот; но им оставаат на компаниите да ги преземат потребните мерки за да ги решат евентуалните празнини. ERA може да понуди посеопфатна услуга, потпирајќи се на мрежа од висококвалификувани добавувачи по многу конкурентни комерцијални услови.

Подетално; поддршката на ERA се состои од:

• Проценка на организациската и техничката структура на компанијата; со помош на прашалници за самооценување со користење на однапред дефинирани индикатори;
• Курсеви за подигање на свеста и обука; со основни курсеви за сите вработени и напредни модули за врвен и среден менаџмент; во согласност со упатствата на NIS2;
• Специфични и висококвалификувани тестови за анализа на ранливости; третман на фишинг и проценка на ризик од ransomware;
• Поддршка од посветени консултанти за време на фазата на санација по проценката;
• Специјализирана поддршка од посветени консултанти за водење на стратешки одлуки во областа на сајбер безбедноста.

Нашето решение вклучува анализа на усогласеноста со прописите на NIS2; што е секако најитната грижа; но може да го придружува и клиентот во управувањето со проектот во фазата на санација; т.е. фазата во која клиентот мора да ги поправи различните „недостатоци“ идентификувани во процесот на дијагностицирање; и е фазата во која тешкотиите на некои компании се најочигледни; и во однос на внатрешните вештини и достапноста на време и ресурси.