Директива (ЕС) 2022/2555, позната като NIS2, разшири значително кръга от организации със задължения за киберсигурност. В България изискванията се въвеждат чрез Закона за киберсигурност. Много фирми, които досега не са мислили за регулации, днес попадат в обхвата — често без да знаят.
Ето как да направите първа проверка за няколко минути.
Стъпка 1: В кой сектор работите?
Директивата изброява 18 сектора в две приложения.
Приложение I — сектори с висока критичност: енергетика, транспорт, банков сектор, инфраструктури на финансовия пазар, здравеопазване, питейна вода, отпадъчни води, цифрова инфраструктура, управление на ИКТ услуги (B2B), публична администрация и космическо пространство.
Приложение II — други критични сектори: пощенски и куриерски услуги, управление на отпадъците, химикали, храни (производство, преработка и дистрибуция), производство (медицински изделия, компютри и електроника, електрическо оборудване, машини, моторни превозни средства и други транспортни средства), цифрови доставчици (онлайн пазари, търсачки, социални мрежи) и научни изследвания.
Ако дейността ви не е в нито един от тези сектори, по правило NIS2 не се прилага пряко — но прочетете стъпка 5.
Стъпка 2: Какъв е размерът на фирмата?
NIS2 се прилага основно за средни и големи предприятия:
- средно предприятие — от 50 служители или годишен оборот (баланс) над 10 млн. евро;
- голямо предприятие — от 250 служители или годишен оборот над 50 млн. евро.
Малките и микропредприятията по правило са извън обхвата.
Стъпка 3: Има ли изключение, при което размерът няма значение?
Има категории, които попадат под директивата независимо от размера си — например доставчици на обществени електронни съобщителни мрежи и услуги, доставчици на удостоверителни услуги, регистри на имена на домейни от първо ниво и доставчици на DNS услуги. Държавата може да определи като субект и организация, която е единствен доставчик на съществена услуга или чието прекъсване би имало значително въздействие.
Стъпка 4: Съществен или важен субект?
| Вид субект | Кой попада | Максимална санкция |
|---|---|---|
| Съществен | Основно големи предприятия от Приложение I | до 10 млн. евро или 2% от световния оборот |
| Важен | Средни предприятия от Приложение I и средни и големи от Приложение II | до 7 млн. евро или 1,4% от световния оборот |
Разликата е основно в надзора: съществените субекти подлежат на проактивни проверки, а важните — на последващ надзор при сигнал или инцидент. Мерките, които трябва да прилагат, са едни и същи.
Стъпка 5: Какво следва, ако попадате в обхвата?
Член 21 от директивата изисква мерки за управление на киберрисковете, включително:
- политики за анализ на риска и сигурност на информационните системи;
- обработка на инциденти;
- непрекъснатост на дейността — архиви, възстановяване, управление при кризи;
- сигурност на веригата на доставки;
- сигурност при придобиване, разработване и поддръжка на системи;
- оценка на ефективността на мерките;
- основна киберхигиена и обучения;
- криптография и криптиране;
- сигурност на персонала, контрол на достъпа и управление на активите;
- многофакторна автентикация и защитени комуникации.
Освен това значимите инциденти се докладват в строги срокове: ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец. Ръководството одобрява мерките, носи отговорност за изпълнението им и трябва да преминава обучение.
Дори да не попадате под NIS2, ако сте доставчик на фирма, която попада, тя ще ви поставя изисквания по веригата на доставки — въпросници, договорни клаузи, одити. На практика NIS2 засяга много повече фирми, отколкото изброява законът.
Най-бързият път към съответствие
Ако вече имате или внедрявате ISO/IEC 27001, сте покрили голяма част от мерките по чл. 21. Остава да добавите специфичните изисквания на NIS2 — процедурата за докладване, отговорността и обучението на ръководството, регистрацията.
Не сте сигурни дали попадате в обхвата? Проверката отнема един разговор — и е безплатна.