NIS 2: консултации, оценка и внедряване

Зависи от дейността, размера и статута на организацията. NIS2 обхваща 18 сектора и по правило се отнася за средни и големи предприятия, но има и случаи, в които размерът не е определящ. Проверяваме конкретната ви дейност и приложимото национално законодателство.

Съществените организации са изправени пред глоби до 10 милиона EUR или 2% от глобалния оборот (което е по-голямо). Важните организации - до 7 милиона EUR или 1,4% от оборота. Критично важно - отделни мениджъри могат да бъдат подложени на лични глоби и временни забрани за управленски роли.

Системата по ISO 27001 дава добра основа, но сама по себе си не доказва съответствие с NIS2. Допълнително проверяваме приложимите задължения за докладване, участие и обучение на ръководството, сигурност на доставчиците и технически мерки.

Член 20 изисква ръководните органи да одобряват мерките за управление на риска, да наблюдават изпълнението им и да преминават обучение. Конкретните правила за отговорност се определят и от приложимото национално законодателство. Подготвяме необходимите процеси и отчетност.

Ранно предупреждение в рамките на 24 часа от узнаването за инцидент. Уведомяване за инцидент в рамките на 72 часа с първоначална оценка. Финален доклад в рамките на един месец с подробен анализ на първопричината и мерки за отстраняване.

Да. Организации извън ЕС, предоставящи определени услуги на клиенти в ЕС (DNS доставчици, TLD регистри, облачни доставчици, центрове за данни, CDN, доставчици на управлявани услуги, онлайн пазари) трябва да назначат представител в ЕС и да се съобразят с NIS 2.

При липса на изградена програма обичайният срок е 9–18 месеца. Ако вече имате действащи мерки по ISO 27001, SOC 2 или NIST 800-53, подготовката може да отнеме 3–6 месеца. Част от спешните задачи, като MFA и процедури за реакция, могат да се изпълнят за няколко седмици.

DORA се прилага специфично за финансови субекти в ЕС. Финансовите субекти получават освобождаване от изискванията на NIS 2 за управление на риска и докладване на инциденти за областите, покрити от DORA, въпреки че задълженията за управление и верига на доставки могат да продължат да действат по NIS 2.

Член 21, параграф 2, буква г) изисква да се управляват рисковете от отношенията с преки доставчици и доставчици на услуги. Проверяват се техните практики за сигурност и се определят подходящи договорни и технически мерки.

Член 21 изисква: (1) Анализ на рисковете и политики за информационна сигурност; (2) Управление на инциденти, включително задължителни срокове за докладване; (3) Непрекъсваемост на бизнеса и управление на кризи; (4) Сигурност на веригата на доставки; (5) Сигурност при придобиването, разработването и поддръжката на мрежови и информационни системи; (6) Политики за оценка на ефективността на управлението на рисковете за киберсигурност; (7) Основна кибер хигиена и обучение по киберсигурност; (8) Политики относно криптография и криптиране; (9) Сигурност на човешките ресурси, контрол на достъпа и управление на активите; (10) Многофакторна автентикация и решения за непрекъсната автентикация.

Не автоматично. Използваме системата ви по ISO 27001 като основа и проверяваме допълнителните задължения по NIS2 и националното законодателство. След това планираме необходимите промени, без да повтаряме вече извършената работа.

NIS 2 обхваща 18 сектора в две приложения. Приложение I (съществени): енергетика, транспорт, банкиране, инфраструктура на финансовите пазари, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги, публична администрация и космос. Приложение II (важни): пощенски и куриерски услуги, управление на отпадъци, химикали, храни, производство (медицински изделия, компютри, електроника, машини, превозни средства), доставчици на цифрови услуги (пазари, търсене, социални мрежи) и изследователски организации.