Máte obavy ze směrnice NIS2?

Nejprve si ujasněme, co směrnice NIS2 je a co obsahuje. Jedná se o aktualizovanou legislativu EU, která by měla nahradit původní směrnici NIS. Hlavním cílem je zvýšit úroveň kybernetické bezpečnosti všech členských států a zároveň zlepšit ochranu infrastruktury kritických a důležitých společností. 

Koho se směrnice NIS2 týká?

Oproti původní NIS směrnici se značně rozšiřuje oblast působnosti. Je to zahrnování širšího spektra působnosti sektorů a to včetně zdravotnictví, dopravy, energetiky, odpadového a vodního hospodářství, jakož i finančních a digitálních zdrojů. Spadají sem také poskytovatelé cloudových služeb a online tržiště. Neobejde to ani výrobní sektor a směrnice se dotkne výrobců zdravotních pomůcek, strojů, elektronických zařízení, jakož i motorových vozidel a jiných dopravních prostředků. Pokud bychom to měli shrnout, tak směrnice NIS2 se tak dotkne drvivé většiny organizací.

Jaké povinnosti a opatření musí organizace splnit? 

- zjistit, identifikovat a zaevidovat bezpečnostní incidenty

- důležitá je tvorba postupů při řešení incidentů a plán na obnovu a chod po incidentu

- nezbytná je kompletní analýza rizik

- určení osoby odpovědné za kybernetickou bezpečnost (přijímání a evidence hlášení)

- zajištění pravidelného školení zaměstnanců kybernetické bezpečnosti na každé úrovni

Odkdy vstoupí v platnost NIS2?

Plánovaná účinnost této směrnice se datuje k 1.1.2025. Organizace, které do toho spadají budou mít rok na to, aby zladili s požadavky směrnice.

Sankce za porušení povinností

Pokud organizace nesplní požadavky směrnice NIS2 může to vést k vysokým finančním sankcím a to až do výše 10 milionů EUR nebo 2 % z čistého ročního obratu. Záleží to na tom, která částka je vyšší. To se dotkne hlavně provozovatelů kritických služeb. U provozovatelů standardní služby to může být 7 milionů EUR nebo 1,4 % z obratu. Každopádně jde o dost významnou částku a kontrolní úřad může udělit opakovanou sankci do výše dvojnásobku těchto limitů.

Vliv NIS2 pro malé a střední podniky

I když se NIS2 zaměřuje v první řadě na velké organizace a ty, které jsou klíčovým poskytovatelem služeb, neobejde to ani malé a střední podniky pro konkrétní sektory, dodavatelské řetězce a jiné.

Je rozumné již nyní konzultovat směrnici NIS2 a řešit, jak se to dotkne právě vaší firmy, sektoru a co můžete udělat. Kyberbezpečnost je v dnešní době nezbytná a každá organizace s 50 a více zaměstnanci to dělá v první řadě pro sebe a ne kvůli nařízení.

Sektory, které do toho spadají

- zdravotnictví

- doprava

- energetika

- bankovnictví

- finanční trhy

- digitální infrastruktura

- řízení služeb IKT

- veřejná správa

- vesmír

- voda a atmosféra

- výroba (vybrané výrobní sektory)

- výzkum

- odpadové hospodářství

- chemický průmysl

- potravinářství

- digitální služby

- pošta a kurýrní služby

Povinnost těchto sektorů spočívá ve splnění ohlášení vůči NBÚ (národní bezpečnostní úřad). Identifikování a evidence bezpečnostního incidentu a vytvoření postupu a řešení incidentů s vypracovaným postupem po incidentu. Provedení komplexní analýzy rizik a implementace adekvátní sady bezpečnostních opatření. Odpovědná, pověřená osoba o které jsme se již zmínili a samozřejmě školit a znovu školit své zaměstnance v rámci kybernetické bezpečnosti.

Největším rizikem pro organizace je chybějící síťová segmentace, nedostatečná ochrana perimetru, nezabezpečený nebo slabě zabezpečený přístup k internetu, slabá nebo zcela chybějící ochrana e-mailových služeb, nízké zabezpečení koncových stanic.

K dalším kritickým bodům patří: nadměrné oprávnění běžných uživatelů, absence vícefaktorového ověření v kombinaci slabého hesla a nefunkční cyklus uživatelských identit, neaktualizovaný hardware a software obsahující zranitelnosti a nízká viditelnost v rámci síťového provozu.

To vše vás může přivést do problémů. Na konci tohoto řetězce je špatný nebo chybějící management a centralizace logů, jakož i nedostatečné zálohování a absence plánů obnovy a rychlá reakce na bezpečnostní incidenty.

Častým rizikem je slabý a nedostatečně informovaný, školený zaměstnanec. Jak se říká, mýlit se je lidské a proto nepodceňujte školení zaměstnanců v tomto směru. Právě při rutinních pracovních úkonech vzniká trhlina pro vznik kybernetického incidentu. Dobrým postupem je využití koncepce Zero trust. Ta předpokládá, že žádný uživatel, zařízení nebo síť nejsou automaticky důvěryhodní a to ani v rámci firemní infrastruktury. Organizace se musí zaměřit i na centrální správu identit a to i těch privilegovaných.

Kybernetická bezpečnost je dosti komplexní oblast a v podstatě neexistuje žádné univerzální řešení. Dodržování je vždy více méně o lidech, procesech a technologiích. Směrnice NIS2 není nic nového, právě naopak čerpá ze známého konceptu bezpečnosti.