NIS2: ES kibernetinio saugumo direktyva ir ką ji reiškia Jūsų įmonei
NIS2 direktyva nustato privalomas kibernetinio saugumo ir pranešimo apie incidentus pareigas esminiams ir svarbiems subjektams 18 sektorių – ir įpareigoja juos kontroliuoti savo tiekėjų saugumą. Nesvarbu, ar direktyva taikoma Jums tiesiogiai, ar aptarnaujate klientus, kuriems ji taikoma, – užtikriname atitiktį vienoje valdymo sistemoje.
Kam taikoma NIS2
Direktyva apima 18 sektorių: energetiką, transportą, bankininkystę, sveikatos apsaugą, skaitmeninę infrastruktūrą, debesijos ir valdomas paslaugas, duomenų centrus, skaitmeninių paslaugų teikėjus ir kt. Jei veikiate viename iš šių sektorių ES ir viršijate vidutinės įmonės ribą, direktyva Jums taikoma tiesiogiai. Net jei ne, 21 straipsnio 2 dalies d punktas reikalauja, kad NIS2 subjektai valdytų tiekimo grandinės riziką, todėl Jūsų klientai privalo Jus įvertinti ir įtraukti reikalavimus į sutartį.
Valstybės narės perkėlė NIS2 į nacionalinę teisę, numatydamos priežiūros institucijas ir baudas iki 10 mln. EUR arba 2 % pasaulinės apyvartos esminiams subjektams.
10 priemonių pagal 21 straipsnį
- Rizikos analizė ir informacinių sistemų saugumo politikos
- Incidentų valdymas
- Veiklos tęstinumas, atsarginės kopijos, atkūrimas po avarijų, krizių valdymas
- Tiekimo grandinės saugumas
- Saugumas įsigyjant, kuriant ir prižiūrint sistemas, pažeidžiamumų valdymas
- Priemonių veiksmingumo vertinimas
- Kibernetinė higiena ir mokymai
- Kriptografija ir šifravimas
- Personalo saugumas, prieigos kontrolė, turto valdymas
- Daugiaveiksnis autentifikavimas ir saugūs ryšiai
Visos dešimt tiesiogiai atitinka ISO 27001:2022 kontrolės priemones ir SOC 2 kriterijus. Jei jau turite vieną iš jų, NIS2 dokumentų rinkinys parengiamas greitai.
Pranešimai apie incidentus
NIS2 įveda trijų etapų pranešimų tvarką: išankstinis įspėjimas per 24 valandas, pranešimas apie incidentą per 72 valandas, galutinė ataskaita per vieną mėnesį. Jūsų klientai – NIS2 subjektai – šiuos terminus perkels Jums kaip tiekėjui. Sukuriame procedūrą, kuri leidžia jų laikytis, ir išbandome ją pratybomis.
Ką gaunate
- NIS2 taikomumo ir vaidmens tiekimo grandinėje vertinimas
- Spragų analizė pagal 10 priemonių pagal 21 str.
- Susiejimas su ISO 27001 / SOC 2 (be dubliavimo)
- Pranešimo apie incidentus per 24/72 val. procedūros
- Tiekimo grandinės saugumo ir tiekėjų vertinimo programa
- Vadovybės mokymai apie atsakomybę pagal NIS2
- Atitikties dokumentų rinkinys klientų klausimynams