Съответствие с NIS2 и Закона за киберсигурност
Проверяваме дали фирмата ви попада под NIS2, какви са задълженията ѝ, и ги изпълняваме заедно — управление на риска, докладване на инциденти и отговорност на ръководството.
NIS2 и киберсигурност
Директива (ЕС) 2022/2555 (NIS2) разширява значително кръга от организации със задължения за киберсигурност. В България изискванията се въвеждат чрез Закона за киберсигурност. Под обхвата попадат предимно средни и големи предприятия в 18 сектора — от енергетика, транспорт и здравеопазване до производство, храни, пощенски услуги и цифрови доставчици.
Директивата разделя организациите на съществени и важни субекти. Те трябва да прилагат мерки за управление на киберрисковете, да докладват значими инциденти в строги срокове, а ръководството носи отговорност за надзора и трябва да преминава обучение.
Попада ли фирмата ви под NIS2?
Два въпроса дават ориентировъчен отговор. Решаващи са секторът и размерът — а в някои случаи само секторът.
Попадате в обхвата като важен субект
Същите мерки и срокове за докладване. Надзорът е последващ — при сигнал или инцидент.
- Надзор
- Последващ — при сигнал
- Максимална санкция
- €7 млн. или 1,4% от оборота
Силно критични сектори
- Енергетика
- Транспорт
- Банково дело
- Финансови пазари
- Здравеопазване
- Питейна вода
- Отпадъчни води
- Цифрова инфраструктура
- Управление на ИКТ услуги
- Космическо пространство
Други критични сектори
- Пощенски и куриерски услуги
- Управление на отпадъци
- Химикали
- Производство и дистрибуция на храни
- Производство (медицински изделия, електроника, машини, МПС)
- Цифрови доставчици
- Научни изследвания
Три задължения и десет мерки
Законът не изисква конкретни продукти, а управлявани рискове: правилни мерки, бързо докладване и ръководство, което носи отговорност.
Управление на риска
Десет минимални мерки — технически, оперативни и организационни, пропорционални на риска.
Докладване на инциденти
Значимите инциденти се докладват на СЕРИКС: 24 часа, 72 часа, 1 месец.
Отговорност на ръководството
Ръководството одобрява мерките, следи изпълнението и преминава обучение на всеки 2 години.
-
(a)Политики за риска Анализ на риска и политики за сигурност на информационните системи. -
(b)Инциденти Откриване, реакция и докладване по ясна процедура. -
(c)Непрекъснатост Архиви, възстановяване след срив и управление на кризи. -
(d)Верига на доставки Сигурност в отношенията с доставчици и подизпълнители. -
(e)Сигурна разработка Придобиване, разработка и поддръжка, вкл. управление на уязвимости. -
(f)Ефективност Оценка дали мерките наистина работят. -
(g)Кибер хигиена Базови практики и обучение на служителите. -
(h)Криптография Политики за криптиране и защита на данните. -
(i)Хора и достъп Сигурност на персонала, контрол на достъпа и управление на активите. -
(j)MFA и комуникации Многофакторна автентикация и защитени канали, вкл. при извънредни ситуации.
Петък, 02:14 — часовникът започва да тече
Как изглежда един значим инцидент, когато системата по NIS2 е готова. Сценарият е типичен — сроковете са законови.
Ransomware криптира файловия сървър и ERP системата в нощна смяна.
- T+0 Откриване В срок EDR сигнализира. Дежурният изолира мрежата и активира процедурата за инциденти.
- 24 ч Ранно предупреждение В срок Към СЕРИКС: значим инцидент, вероятно злонамерено действие, без трансгранично въздействие.
- 72 ч Уведомление В срок Първоначална оценка на тежестта и въздействието, индикатори за компрометиране.
- 1 мес. Окончателен доклад В срок Първопричина, приложени мерки и поуки — затворен цикъл.
Никой не знае кой докладва и какво. 24-часовият срок изтича в паника, а ръководството отговаря лично.
Всеки знае ролята си, шаблоните са готови, архивите работят. Инцидентът е неприятен — но управляем.
Повече от съответствие
Спокойствие пред надзора
Документирани мерки и доказателства, готови за проверка.
По-малко прекъсвания
Инцидентът се ограничава за часове, а не за седмици.
Предимство в търговете
Клиентите под NIS2 избират доставчици с доказана сигурност.
Защитено ръководство
Ясни решения и протоколи доказват, че ръководството е изпълнило задълженията си.
Подготвен екип
Хората разпознават фишинг и знаят какво да правят при инцидент.
Път към ISO 27001
Същата работа е 70–80% от сертифицируема система.
Внедряване в шест стъпки
Типичен проект за средна фирма отнема 3–6 месеца. Работим паралелно с ежедневието ви.
- 01 1 седм. Проверка на обхвата Съществен, важен или извън обхвата — с мотиви.
- 02 2–3 седм. Gap анализ Състоянието ви спрямо десетте мерки от чл. 21.
- 03 1 седм. План за мерки Приоритети, отговорници, срокове и бюджет.
- 04 2–4 мес. Внедряване Политики, процедури и технически мерки — MFA, архиви, достъп.
- 05 2 седм. Обучение и тест Обучение на ръководството и учение по инцидент.
- 06 постоянно Поддръжка Периодичен преглед, вътрешен одит и актуализация.
Пакет, готов за проверка
Всичко, което надзорният орган може да поиска — подредено и разбираемо.
Безплатна проверка на обхвата- Становище за обхвата и категорията на субекта
- Оценка на риска и план за третиране
- Политика за киберсигурност, одобрена от ръководството
- Процедура и шаблони за докладване до СЕРИКС
- План за непрекъснатост и възстановяване
- Изисквания и оценка на доставчиците
- Сертификат за обучение на ръководството
- Протокол от учение по инцидент
Стандартите, които покриват NIS2
NIS2 не изисква сертификат — но международните стандарти са най-краткият път до доказуемо съответствие.
01 Как да разбера дали попадам под NIS2?
Основните критерии са секторът и размерът — по правило средни (50+ служители или годишен оборот над 10 млн. евро) и големи предприятия. Има изключения, при които размерът няма значение. Проверката отнема един разговор.
02 Достатъчен ли е ISO 27001 за NIS2?
ISO 27001 покрива голяма част от мерките и е най-добрата рамка, но NIS2 има и специфични изисквания — сроковете за докладване и отговорността на ръководството. Покриваме и двете.
03 Какви са санкциите?
За съществени субекти — до 10 млн. евро или 2% от световния годишен оборот; за важни — до 7 млн. евро или 1,4%. Предвидена е и отговорност на ръководството.
Няма такъв въпрос в списъка — задайте го директно и ще ви отговорим.
Първата консултация е безплатна
Разкажете ни за фирмата и целта си. Ще получите ясен план и оферта до 1 работен ден.