NIS2 изисквания: десетте мерки, сроковете и какво иска проверката

Едно уточнение преди всичко останало: NIS2 е директива, а директивите не се прилагат пряко. В България задълженията идват от Закона за киберсигурност и подзаконовите актове към него. Затова навсякъде по-долу текстът на директивата е ориентирът, а конкретното задължение се проверява в българския закон.

Член 21 е сърцето на директивата. Той изброява десет мерки, които всеки субект в обхвата дължи, независимо дали е съществен или важен. Формулировката е „подходящи и пропорционални технически, оперативни и организационни мерки", което означава, че мащабът се съобразява с размера и риска ви, но нито една от десетте не може да бъде пропусната изцяло.

На практика първите четири носят най-много работа, а последните три се затварят най-бързо. Компаниите, които вече имат ISO 27001, обикновено покриват шест до седем от тях и остават с веригата на доставки, докладването на инциденти и отчетността на ръководството.

Къде най-често се къса

1. Сигурност на веригата на доставки (буква г)

   Най-подценяваната мярка. Изисква се оценка на доставчиците, а не списък с имена. Кой доставчик има достъп до какво, какво се случва при инцидент при него, и какво пише в договора по този въпрос.

2. Оценка на ефективността (буква е)

   Не е достатъчно мерките да съществуват. Трябва периодично да проверявате дали работят, и да можете да покажете резултата от проверката. Един тест на възстановяването годишно е минимумът, който има смисъл.

3. Криптография (буква ж)

   Изискването е за политика, не само за технология. Кое се криптира, с какво, кой държи ключовете и какво се случва, когато служител с достъп напусне.

4. Хигиена и обучение (буква ж)

   Изрично включва ръководството. Обучение, на което присъстват само ИТ екипът и офис мениджърът, не покрива изискването.

Това е промяната, която изненадва повечето управители. NIS2 не спира до задължение за организацията. Член 20 изисква управителните органи да одобряват мерките за управление на риска, да наблюдават тяхното прилагане и да преминат обучение. При неизпълнение отговорността е лична.

Отговорността не може да бъде делегирана надолу. Може да бъде делегирано изпълнението, но не и отговорността.

Практическият прочит на член 20, който използваме при подготовка на управителни органи

В практически план това означава три неща, които трябва да съществуват на хартия: протокол от заседание, на което мерките са одобрени; редовна точка в дневния ред, на която се докладва състоянието; и запис, че членовете на органа са преминали обучение. Липсата на тези три записа е първото, което личи при проверка. Повече по темата в разбора на личната отговорност.

Докладването на значими инциденти е мястото, където теорията се среща с реалността най-грубо. Сроковете са къси, а часовникът тръгва от момента, в който узнаете за инцидента, не от момента, в който сте го разбрали напълно.

Значим е инцидент, който причинява сериозно оперативно нарушение или финансова загуба, или засяга други лица със значителни материални или нематериални вреди. Конкретните прагове се проверяват в българския закон и подзаконовите актове.

Практически шаблон за протокола при инцидент сме публикували в отделна статия.

Задълженията по член 21 са еднакви за двете категории. Това изненадва хората, които очакват важните субекти да имат по-лек режим. Разликата е в надзора и в санкциите.

Предварителният надзор означава, че органът може да дойде при вас без да има сигнал. Последващият означава, че идва, когато има основание да смята, че нещо не е наред. За планиране на бюджет това е съществена разлика: съществените субекти трябва да са готови постоянно, важните трябва да могат да се приведат в готовност бързо.

Най-честата грешка при подготовка е да се напишат политики и това да се приеме за съответствие. Политиката описва намерение. Проверката иска доказателство, че намерението се изпълнява.

Забележете модела: за всяко изискване има документ, който описва как се прави, и запис, който доказва, че е направено. Вторият почти винаги липсва. Ако имате ограничено време, направете записите преди да полирате политиките.

1. Определете обхвата и надзорника

   Сектор, размер, изключения. Половин ден работа, която спестява месеци работа в грешна посока. Тестът за обхват е тук.

2. Свикайте управителния орган

   Член 20 изисква одобрение и обучение. Това е единственото изискване, което не може да бъде свършено от ИТ екипа, и обикновено е най-бавното за насрочване.

3. Направете процеса за инциденти преди технологията

   Кой решава, кой подава, по кой канал, извън работно време. Без това 24-часовият срок е пожелание.

4. Инвентаризирайте доставчиците

   Кой има достъп до какво. Това е входът към мярка г и почти винаги открива достъпи, за които никой не се е сещал от години.

5. Анализ на пропуските срещу десетте мерки

   Чак сега. По-рано нямате базата, спрямо която да мерите, и резултатът е списък от общи препоръки вместо план.

Таблицата по-долу е работният инструмент, който използваме на първата среща. Лявата колона е текстът. Средната е какво означава той за организация от сто до петстотин души. Дясната е документът или записът, който проверяващият ще поиска.

Дясната колона е нашият практически прочит от подготовка за проверки, а не нормативен текст. Конкретните изисквания се проверяват в Закона за киберсигурност и актовете към него.

Това е най-честият изходен сценарий при средни компании, и добрата новина е, че по-голямата част от работата вече е свършена. Лошата е, че остатъкът е точно този, който не може да бъде свършен от ИТ екипа.

Практическият извод: ако имате сертификация, не започвайте нов проект. Започнете с картографиране, затворете жълтото и червеното, и използвайте съществуващите записи като доказателства. Това е разликата между три месеца и година.

Санкциите по NIS2 са структурирани така, че да не могат да бъдат третирани като разход за правене на бизнес. Освен глобата за организацията, директивата предвижда и мерки срещу конкретни управители.

Размерите са по директивата. Конкретните санкции и процедурата по налагането им се определят от българския Закон за киберсигурност. Това не е правен съвет.

На практика обаче най-скъпото при проверка рядко е глобата. По-скъпо излиза задължителното указание със срок, защото то трябва да бъде изпълнено независимо от бюджета и календара ви, и публичното оповестяване, което вашите клиенти виждат преди вас.

Освен мерките по член 21, субектите в обхвата имат и административни задължения, които се пропускат лесно, защото не изглеждат като сигурност. Най-важното е самоидентифицирането: държавата не ви изпраща писмо, че сте в обхвата. Вие сте длъжни сами да определите статута си и да се регистрирате пред компетентния орган с данни за организацията, сектора, лицата за контакт и адресните пространства.

1. Самоопределяне на статута

   Сектор по Приложение I или II, праг за размер, изключения. Това е решение на организацията, не на органа, и се документира.

2. Регистрация пред компетентния орган

   Данни за контакт, включително лице за връзка при инцидент, и поддържане на тези данни актуални при промяна.

3. Назначаване на отговорно лице или звено

   Записано в акт на управителния орган, с достъп до него.

4. Готовност за докладване

   Каналът за подаване на 24-часовото предупреждение трябва да е тестван, а не открит в деня на инцидента.

5. Поддържане

   Мерките се преглеждат периодично, а доказателствата се обновяват. Съответствието не е състояние, което се постига веднъж.

Абстрактните изисквания се разбират най-бързо през конкретни случаи. Трите по-долу са обобщени от реални разговори, с променени детайли.

Производствена компания, 180 души, доставчик на енергийно дружество

Не е в Приложение I по собствената си дейност, но клиентът им е. Получават въпросник с трийсет въпроса и срок две седмици. Реалното задължение тук не идва от закона, а от договора: клиентът трябва да управлява риска по мярка г, затова го прехвърля надолу. Работата е да се отговори честно, да се затворят въпросите, които биха провалили прегледа, и отговорите да се запазят за следващия клиент, който ще попита същото.

Болница, 400 души, съществен субект по Приложение I

В обхвата е безспорно. Има антивирус, резервни копия и пожарна стена, няма нито един от записите от дясната колона на таблицата по-горе. Първите два месеца отиват не в технология, а в процес: кой решава, че има инцидент, в колко часа може да бъде намерен, и по кой канал се подава уведомлението в неделя вечер. Технологията идва после и е по-евтината част.

Софтуерна компания, 60 души, продава на клиенти в ЕС

Праговете за размер са преминати, но секторът не е ясен. Оказва се доставчик на управлявани услуги, което е изрично изброено. Тук най-полезното, което направихме, беше да определим статута писмено, с аргументи, преди да започне каквато и да е работа по мерките. Документираното решение за обхват е първото, което проверяващият иска да види, и последното, за което някой се сеща.

Достатъчно ли е ISO 27001 за съответствие с NIS2?

Не автоматично, но помага значително. ISO 27001 покрива голяма част от мерките по член 21 и ви дава готова система за управление. Остават специфичните за NIS2 задължения: сроковете за докладване на инциденти, изискванията към веригата на доставки в конкретната им формулировка, и отчетността на управителния орган по член 20. Обикновено това е три до шест месеца работа, а не година.

Кой в организацията трябва да отговаря за NIS2?

Законът иска назовано лице или звено, отговорно за мрежовата и информационната сигурност. Може да е вътрешен служител или външен, включително виртуален CISO. Важното е отговорността да е записана, а не подразбираща се, и човекът да има достъп до управителния орган.

Какво става, ако инцидентът се окаже незначим след 24 часа?

Подавате ранното предупреждение при съмнение и коригирате в уведомлението на 72-я час. Санкцията за закъсняло докладване е реална, а за подадено и след това оттеглено предупреждение няма санкция. При съмнение се докладва.

Важи ли NIS2 за нашите доставчици?

Пряко, само ако самите те попадат в обхвата. Косвено, винаги: мярка г ви задължава да управлявате риска от доставчиците, което на практика означава договорни изисквания и оценка. Затова много компании извън обхвата получават въпросници от клиентите си.

Каква е връзката между NIS2 и DORA?

DORA е lex specialis за финансовия сектор. Изискванията по нея са разгледани подробно в отделна статия за изискванията на DORA. Ако сте финансов субект по DORA, той има предимство пред NIS2 за въпросите, които урежда. Разграничението е разгледано в отделна статия.

Искате да знаете къде точно стоите?

Правим анализ на пропуските срещу всичките десет мерки по член 21, с приоритизирана пътна карта и отговорници. Фиксирана цена, договорена преди започване на работата, и преглеждате доклада, преди да платите.