Kompletan vodič kroz NIS2 direktivu: sve što kompanije treba da znaju da bi se pridržavale novih evropskih propisa o sajber bezbednosti.

Digitalna sigurnost postala je glavni prioritet za organizacije koje posluju u Evropskoj uniji . Ubrzanje procesa digitalizacije i eksponencijalni porast broja sajber napada učinili su očiglednom potrebu za zajedničkom i robusnom regulacijom, sposobnom da zaštiti ekonomiju, osnovne usluge i privatnost građana. U tom kontekstu, NIS2 Direktiva je napravila značajan korak naprijed, proširujući svoje zahtjeve i jačajući sve aspekte sajber sigurnosti , sa dometom bez presedana u Evropi.

Bez obzira da li ste dio menadžerskog tima kompanije, radite u javnom sektoru ili ste IT menadžer, neophodno je da imate temeljno razumijevanje kako NIS2 utiče na vas . Ovaj članak sveobuhvatno pokriva ključne aspekte direktive, uključujući na koga se odnosi, njene tehničke i operativne zahtjeve, ključne datume, procedure prijavljivanja incidenata, njen uticaj na lanac snabdijevanja, nove upravljačke odgovornosti, kazne, predstojeću transpoziciju zakonodavstva u Španiji i praktične resurse koji će vam pomoći da se pripremite i ublažite rizike. Ako ste zainteresovani za izbjegavanje visokih kazni, zaštitu kontinuiteta poslovanja i ostanak u prvim redovima evropske digitalne sigurnosti, nastavite čitati.

Šta je NIS2 direktiva i zašto je neophodna za Evropu?

NIS2 – skraćenica za Direktiva o mrežama i informacionim sistemima 2 – predstavlja evoluciju i proširenje prvog evropskog zakonodavstva o sajber sigurnosti (Direktiva o NIS-u iz 2016. godine) , osmišljenog za rješavanje mnogo složenijeg i ranjivijeg digitalnog okruženja. Nova direktiva objavljena je u Službenom listu Evropske unije krajem 2022. godine i formalno je stupila na snagu 16. januara 2023. godine. Zahtijeva od država članica da je prenesu u svoje nacionalno zakonodavstvo do 17. oktobra 2024. godine i da je implementiraju od 18. oktobra iste godine, iako su ovi rokovi u nekim zemljama produženi.

Cilj NIS2 je osigurati zajednički i visok nivo sigurnosti u mrežama i informacionim sistemima Evropske unije , postavljajući temelje za digitalnu ekonomiju – i osnovne društvene usluge – kako bi ostale zaštićene od sve sofisticiranijih i agresivnijih prijetnji.

Među njegovim glavnim novim karakteristikama su:

• Značajno proširenje regulisanih sektora i broja obveznika.
• Mnogo strožiji zahtjevi za upravljanje rizikom i izvještavanje o incidentima.
• Homogen i strog sistem nadzora i sankcija na evropskom nivou.
• Nove specifične obaveze za lanac snabdevanja, dobavljače i podizvođače.
• Ojačana uloga i direktna odgovornost organa upravljanja entiteta.

Obim: Ko je dužan da poštuje NIS2?

NIS2 direktno i obavezno utiče na javne i privatne subjekte u takozvanim "kritičnim sektorima" i "visoko kritičnim sektorima" navedenim u Aneksima I i II direktive . Glavna razlika u odnosu na originalni NIS je u tome što je lista sektora i vrsta organizacija znatno proširena , a kriteriji više nisu samo aktivnost, već i veličina i strateški značaj.

Uopšteno govoreći, moraju biti u skladu sa NIS2:

• Sve srednje i velike kompanije (više od 50 zaposlenih ili godišnji promet veći od 10 miliona eura) koje posluju u ovim sektorima.
• U posebnim slučajevima, mala i mikro preduzeća takođe mogu biti kvalifikovana ako je njihova funkcija kritična za zemlju ili su jedini pružalac osnovnih usluga.

Zakonski tekst pravi razliku između:

• Bitni entiteti: Pripadanje visoko kritičnim sektorima, kvalifikovanim operaterima pouzdanih usluga, registrima imena domena najvišeg nivoa, DNS provajderima, srednjim kompanijama koje pružaju javne elektronske komunikacione mreže, određenim javnim subjektima i onima koje svaka država smatra strateškim.
• Važni entiteti: Ostali subjekti u kritičnim sektorima koji ne ispunjavaju gore navedene kriterije.

Pogođeni sektori su podijeljeni u dvije velike grupe:

Sektori visoke kritičnosti (Aneks I):

• Energija (struja, gas, sirova nafta, vodonik, sistemi daljinskog grejanja i hlađenja)
• Transport (zračni, željeznički, morski i riječni, cestovni)
• Infrastruktura bankarskog i finansijskog tržišta
• Zdravlje
• Voda za piće i otpadne vode
• Digitalna infrastruktura (centri podataka, oblak, internet razmjene, DNS, itd.)
• Upravljanje ICT uslugama
• Javne uprave (centralne i regionalne)
• Svemir

Ostali kritični sektori (aneks II):

• Poštanske i kurirske usluge
• Upravljanje otpadom
• Hemijska industrija
• Proizvodnja, prerada i distribucija hrane
• Proizvodnja (uključujući IT, optiku, električnu opremu, mašine, transport, itd.)
• Pružaoci digitalnih usluga (online tržišta, pretraživači, platforme društvenih medija)
• Istraga

Izuzete su , uz neke izuzetke, oblasti odbrane, nacionalne sigurnosti, policije, pravosuđa, parlamenata i centralnih banaka.

Zapamtite: samo odsustvo vaše kompanije sa liste ne oslobađa vas obaveze usklađivanja ako pružate usluge koje su ključne za funkcionisanje zemlje . Države članice mogu proširiti listu obaveznih subjekata na osnovu kriterija nacionalne kritičnosti.

Ključni principi i razvoj NIS2 direktive

Direktiva NIS2 predstavlja radikalnu promjenu u upravljanju kibernetičkom sigurnošću, jer ne samo da proširuje zaštitu na više sektora, već i jača zahtjeve i nadzor . Neke od njenih glavnih inovacija su:

• Proširenje opsega: Više ne obavezuje samo pružaoce klasičnih osnovnih usluga ili kritične infrastrukture; pokriva mnogo više sektora i tipova entiteta.
• Pristup "maksimalne veličine": Većina obaveza utiče na srednja i velika preduzeća, ali postoje izuzeci za male subjekte ako je njihova funkcija ključna.
• Osvrt na koncept kritičara: Pravi razliku između "bitnih" i "važnih" subjekata, namećući strožiji nadzorni i sankcioni režim za prve.
• evropska harmonizacija: Smanjuje varijabilnost između zemalja i olakšava saradnju i zajednički odgovor na prekogranične incidente ili incidente velikih razmjera.

Ključne obaveze: Šta NIS2 zahteva od privrednih subjekata i subjekata?

Obaveze u okviru NIS2 su brojne i vrte se oko dva glavna stuba: proaktivno upravljanje rizicima u oblasti kibernetičke sigurnosti i brzo obavještavanje o značajnim incidentima . Nadalje, ojačano je interno upravljanje i odnosi s dobavljačima, kupcima i vlastima.

1. Procjena i upravljanje rizikom kibernetičke sigurnosti

Svi obvezni subjekti moraju identificirati, analizirati i riješiti rizike koji ugrožavaju dostupnost, povjerljivost, integritet i autentičnost njihovih digitalnih sistema i usluga.

Minimalne mjere uključuju:

• Sigurnosne politike i analiza rizika: Popis imovine, identifikacija prijetnji, ranjivosti i potencijalnih uticaja.
• Upravljanje incidentima: Planovi reagovanja, specijalizovana oprema i sistemi za praćenje.
• Kontinuitet poslovanja i upravljanje krizama: Sigurnosne kopije, periodično testiranje obnavljanja, planovi rezervnih kopija i upravljanje otpornošću na katastrofe.
• Sigurnost lanca snabdijevanja: Zahtijevajte i provjerite da dobavljači i partneri ispunjavaju standarde i napišite to u pisanoj formi u ugovorima.
• Sigurnost u razvoju, nabavci i održavanju sistema: Šifriranje, kontrola pristupa, redovno ažuriranje i zakrpe.
• Periodična procjena djelotvornosti mjera: Periodične revizije i pregledi (interne ili eksterne) radi provjere usklađenosti.
• Periodična obuka iz sajber sigurnosti i sajber higijene za sve zaposlene, a posebno za menadžment.
• Politika šifriranja i zaštite informacija.
• Kontrola pristupa, višefaktorska autentifikacija i upravljanje imovinom.

2. Obavijest o incidentu: rokovi i procedure

Brzo obavještavanje vlasti jedan je od glavnih stubova NIS2 . Subjekti moraju obavijestiti CSIRT-ove (timove za odgovor na kriminalne incidente) ili nadležne nacionalne organe o svakom značajnom incidentu koji uzrokuje ili može uzrokovati ozbiljne operativne poremećaje, značajnu ekonomsku štetu ili utiče na treće strane.

Rokovi su izuzetno strogi:

• Rano upozorenje: Unutar prvog 24 horas nakon što je obavešten o incidentu.
• Puno obavještenje: Za maksimalno 72 horas, ažuriranje informacija, ozbiljnost, uticaj i preduzete mere. (Za pouzdane pružaoce usluga, 24 sata).
• Završni izvještajU roku od mjesec dana, sa svim relevantnim detaljima, uzrocima, mjerama i posljedicama.

Važno je zapamtiti da postoji i obaveza obavještavanja pogođenih korisnika ili kupaca kada incident može ozbiljno uticati na njih , nudeći smjernice za djelovanje i mjere za njihovu zaštitu.

3. Upravljanje, obuka i menadžerska odgovornost

NIS2 naglašava uključenost višeg menadžmenta . Menadžerski timovi moraju odobriti sigurnosne mjere i aktivno nadgledati njihovu provedbu. Nadalje, moraju redovno primati obuku i usavršavati se (isto vrijedi i za zaposlenike).

Direktiva izričito predviđa da, u slučaju grubog nemara ili nedostatka nadzora, viši menadžeri mogu biti disciplinski kažnjeni, uključujući privremenu diskvalifikaciju od obavljanja dužnosti u bitnim subjektima.

4. Upravljanje lancem snabdevanja i sigurnost u ugovorima sa dobavljačima

Incidenti u lancu snabdijevanja bili su jedan od najozbiljnijih vektora nedavnih sajber napada u Evropi . Iz tog razloga, NIS2 zahtijeva od organizacija da procjene i kontrolišu sigurnost svojih direktnih dobavljača i podizvođača uključivanjem klauzula i zahtjeva o sajber sigurnosti u ugovore, provođenjem revizija, procjenom ukupne otpornosti proizvoda i usluga i praćenjem poznatih ranjivosti u komponentama trećih strana.

5. Međunarodna saradnja i saradnja

Razmjena relevantnih informacija o prijetnjama, incidentima, ranjivosti i najboljim praksama je obavezna, kako na nacionalnom, tako i kroz evropske mehanizme (Grupa za saradnju, CSIRT mreža i EU-CyCLONE za upravljanje krizama velikih razmjera).

6. Revizije, inspekcije i nadzorni režim

Direktiva pravi razliku između dva nadzorna sistema:

• Za bitne subjekte: periodične revizije, inspekcije na licu mjesta ili daljinski, kontinuirani nadzor od strane nacionalnih agencija i režim sankcija i a priori i a posteriori.
• Za velike subjekte: samo reaktivni nadzor, tj. samo nakon indikacija ili dokaza o neusklađenosti.

Vlasti mogu zahtijevati dokumentaciju, rezultate revizije, pristup sistemima i podacima, ili čak javno otkrivanje ozbiljnih kršenja.

7. Druge relevantne obaveze

• Obavezna registracija subjekata, osnovne informacije i periodična ažuriranja nadležnim organima.
• Saradnja sa evropskim organizacijama, uključivanje u ENISA bazu podataka ključnih evropskih subjekata.
• Sektorski mehanizmi sa jednim unosom za izvještavanje i upravljanje incidentima.
• Zahtjevi zaštite podataka uvijek su u skladu sa Općom uredbom o zaštiti podataka (GDPR).

Ključni datumi i raspored implementacije NIS2 direktive

Raspored implementacije i usklađenosti je jedan od najkritičnijih aspekata NIS2 . Ovo su ključni datumi:

• Januar 16 od 2023-a: Zvanično stupanje direktive na snagu.
• 17 2024 Oktobar: Rok za usvajanje i objavljivanje nacionalnog zakonodavstva za državu kojom se transponuje NIS2.
• 18 2024 Oktobar: Neposredna implementacija u svim državama članicama; entiteti moraju biti pripremljeni.
• 17 April 2025: Rok za sastavljanje i saopštavanje Briselu liste bitnih i važnih subjekata na nacionalnom nivou.
• Januar 17 od 2025-a: Rok za obavještavanje o režimu sankcija koji se primjenjuje u svakoj zemlji.

Preostale prekretnice, kao što je razvoj nacionalnih strategija kibernetičke sigurnosti ili objavljivanje provedbenih akata (specifični tehnički zahtjevi), imaju datume koji se periodično objavljuju na zvaničnim evropskim i nacionalnim portalima.

Transpozicija u Španiji: Zakon o koordinaciji i upravljanju sajber-bezbednošću

Španija je odobrila Nacrt zakona o koordinaciji i upravljanju kibernetičkom sigurnošću kako bi prilagodila svoj pravni okvir NIS2. Iako konačni tekst može pretrpjeti izmjene, ključni aspekti uključuju:

• Širok opseg primjene: Uključuje javne i privatne organizacije sa sjedištem ili djelovanjem u Španiji, u svim kritičnim i visoko kritičnim sektorima, prema aneksima direktive.
• Detaljna analiza rizika i obaveze zaštite mreža, sistema i usluga, uključujući evaluaciju dobavljača i partnera sa pristupom kritičnim podacima.
• Obaveza prijavljivanja relevantnih incidenata i ozbiljnih prijetnji kako nadležnima tako i pogođenim korisnicima ili klijentima.
• Formiranje pozicije službenika za informatičku sigurnost u svakom entitetu, odgovoran za dizajniranje, nadzor i osiguranje usklađenosti sa propisima, centraliziranje upravljanja.
• Osnivanje Nacionalnog centra za sajber bezbjednost kao glavni koordinator na državnom nivou i kanal dijaloga sa EU.
• Dodjela ovlasti kontrole i nadzora na nekoliko ministarstava: Unutrašnjost (Kancelarija za koordinaciju kibernetičke sigurnosti), Odbrana (CCN), Digitalna transformacija, zajedno sa sektorskim vlastima.
• Specijalizovani timovi za upravljanje incidentima, otkrivanje ranjivosti, podrška pogođenim subjektima i izdavanje ranih upozorenja.
• Hitna obrada i prioritetna parlamentarna koordinacija da se ubrza stupanje zakona na snagu prije rokova koje reguliše EU.

Klasifikacija entiteta: "bitni" i "važni"

NIS2 uspostavlja dvije različite kategorije subjekata :

• Bitni entiteti: Velike kompanije u visoko kritičnim sektorima, kvalifikovani provajderi od poverenja i DNS provajderi, srednja preduzeća u određenim podsektorima, kritični subjekti u skladu sa nacionalnim zakonodavstvom i oni koje odlučuje država (kao što su bivši NIS1 operateri osnovnih usluga).
• Važni entiteti: Svi ostali uključeni u kritične sektore koji ne ispunjavaju bitne kriterijume.

Ova razlika utiče na intenzitet nadzora, težinu sankcija i vrstu zahtjeva za dokumentacijom.

Izvještavanje o incidentima i obaveze upravljanja krizama

Kompanije i organizacije moraju imati vrlo jasno razumijevanje koncepata „značajnog incidenta“, „bliskog promašaja“ i „značajne sajber prijetnje“ :

• Značajan incident: Svaki događaj koji uzrokuje ozbiljne prekide u uslugama, značajne ekonomske gubitke ili nanosi značajnu štetu fizičkim ili pravnim licima.
• Značajna sajber prijetnja: Tehnička prijetnja koja, zbog svoje veličine, može uzrokovati značajnu štetu ili poremećaj.
• Zamalo miss: Događaj koji je mogao izazvati incident, a koji se nije ostvario zahvaljujući preventivnim mjerama.

U svim ovim slučajevima, obavještenje bi po mogućnosti trebalo izvršiti elektronski, putem određene nacionalne ulazne tačke , i slijedeći sljedeći postupak:

• Prvo rano upozorenje (24h).
• Potpuna obavijest unaprijed (72h, osim izuzetaka).
• Konačni izvještaj (1 mjesec nakon zatvaranja incidenta).

Nepoštivanje obavještenja u predviđenom roku može se smatrati ozbiljnim i kažnjivim prekršajem.

Potrebne tehničke, operativne i organizacione mjere

NIS2 uključuje minimalnu listu mjera koje svi subjekti moraju usvojiti, uvijek uzimajući u obzir princip proporcionalnosti i troškove implementacije :

• Politike unutrašnje sigurnosti i stalna analiza rizika.
• Upravljanje incidentima i odgovor: Uključujući sisteme za praćenje, timove za odgovor, integraciju CSIRT-a i eskalacijske protokole.
• Planovi kontinuiteta poslovanja, upravljanje rezervnim kopijama, testiranje oporavka i krizni planovi.
• Rigorozno upravljanje lancem snabdevanja i dobavljačima: Revizija, ugovorni zahtjevi, praćenje otpornosti proizvoda i usluga, integriranje najboljih praksi za sajber bezbjednost trećih strana.
• Sigurnost u životnom ciklusu sistema i aplikacija: Upotreba enkripcije, programiranje siguran, zakrpa i kontrola pristupa.
• Periodična procjena djelotvornosti mjera: Interne i eksterne revizije, pregled dokumenata i tehničko testiranje.
• Interni programi obuke i redovno podizanje svijesti.
• Jasna pravila o korištenju kriptografije i višefaktorske autentifikacije.
• Upravljanje imovinom, inventar i kontrola pristupa informacijama.

Sankcije i režim nadzora

Kazne predviđene NIS2 su posebno stroge za bitne subjekte, s ciljem osiguranja usklađenosti i efikasnosti standarda :

• Bitni entiteti: Kazne do 10 miliona eura ili 2% globalnog godišnjeg prometa (što je veće).
• Važni subjekti: Kazne do 7 miliona eura ili 1,4% globalnog godišnjeg prometa (što je veće).

Nadalje, sankcije mogu biti javne i uključivati ​​suspenziju certifikata, objavljivanje neusklađenosti ili čak privremenu diskvalifikaciju sa rukovodećih pozicija u najtežim slučajevima.

Kako se pripremiti za usklađivanje sa NIS2: praktični koraci

Usklađenost sa IS2 je obavezna . Kompanije moraju odmah početi sa razvojem plana koji uključuje:

• Sveobuhvatan inventar IT infrastrukture i digitalne imovine.
• Analiza rizika i definisanje politika kibernetičke sigurnosti usklađen sa ISO 27001, ENS i drugim međunarodno priznatim okvirima.
• Pregled i ažuriranje ugovora i sporazuma sa dobavljačima kako bi se osigurala usklađenost u lancu snabdijevanja.
• Implementacija planova odgovora na incidente i dizajn internih kanala uzbunjivanja i fluidne komunikacije sa CSIRT-om.
• Sprovođenje periodičnih revizija sajber bezbjednosti (internih i eksternih).
• Specifična i stalna obuka za menadžere i osoblje.
• Uspostavljanje mehanizama za praćenje i rano upozoravanje.
• Formalno imenovanje službenika za sigurnost informacija.
• Razvoj dokumentiranih protokola za obavještavanje o kriznim situacijama i upravljanje.