Dyrektywa NIS2: Niewiedza może być kosztowna

We wcześniejszym artykule pt. NIS2: Robi się POWAŻNIE przedstawiliśmy, które organizacje z siedzibą w UE objęte są nową dyrektywą NIS2. Odnosząc się do mojej wcześniejszej serii wpisów dotyczących Gwiezdnych Wojen, można łatwo wywnioskować, że technologia budowy Gwiazdy Śmierci z całą pewnością podlegałaby nowej dyrektywie NIS2. Teraz przyjrzymy się nowym wymaganiom, których nie było w poprzednich przepisach, a także sprawdzimy, co firmy muszą zrobić, aby zapewnić z nimi zgodność i jakie wyzwania czekają na administratorów IT w tym procesie.

Jedno jest pewne: wszystkie objęte nią przedsiębiorstwa są zobowiązane do rozszerzenia swoich działań w zakresie analizy ryzyka, bezpieczeństwa informacji, oceny i wdrażania zabezpieczeń, reagowaniem na incydenty, zarządzania kryzysowego oraz szkoleń w zakresie bezpieczeństwa cyfrowego.

Głównym założeniem NIS2 jest szerokie spojrzenie na cyberbezpieczeństwo. Oznacza to, że dostosowanie się do nowych przepisów będzie prawdziwym wyzwaniem dla wielu firm, zwłaszcza biorąc pod uwagę już teraz duże zapotrzebowanie na wiedzę z zakresu cyberbezpieczeństwa i niedobór wykwalifikowanego personelu IT.

Oznacza to, że firmy obsługujące lub zaangażowane w infrastrukturę krytyczną (CRITIS) muszą zaktualizować środki techniczne i organizacyjne związane z zarządzaniem incydentami i ciągłością działania. Muszą także przeprowadzać regularne oceny ryzyka i wprowadzać dodatkowe zabezpieczenia dla wszystkich potencjalnych punktów dostępu do systemów informatycznych. I tu znowu słowem kluczem jest Gwiazda Śmierci. 

Przedsiębiorstwa objęte zapisami NIS2 muszą wprowadzić odpowiednie metody analizy ryzyka i ocenić skuteczność stosowanych zabezpieczeń. Ponadto konieczne są regularne szkolenia dotyczące cyberbezpieczeństwa. Nie należy zapominać, że bezpieczeństwo łańcucha dostaw, zarządzanie aktywami, a nawet bezpieczeństwo personelu również wchodzą w zakres NIS2.

Należy zrozumieć, że wymagane środki bezpieczeństwa dla firm objętych regulacjami opierają się przede wszystkim na potencjalnym wpływie, a nie na ich kosztach. Np. niektóre podmioty uznane jako część infrastruktury krytycznej muszą zarejestrować się w Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) i zgłaszać incydenty bezpieczeństwa w kilku etapach:

• Wstępny raport do 24 godzin
• Zaktualizowany raport do 72 godzin
• Raport końcowy do właściwej agencji ds. cyberbezpieczeństwa w ciągu miesiąca

Podmioty uznane za część infrastruktury krytycznej muszą natychmiast podjąć działania w celu wdrożenia wymaganych środków bezpieczeństwa, uwzględniając ograniczenia budżetowe i kadrowe. Ogólnie rzecz biorąc, lepiej jest inwestować w ulepszone środki ochrony i odzyskiwania danych wcześniej niż później.

Ponadto spełnienie wymogów NIS2 jest korzystne dla wszystkich firm, ponieważ znacząco zmniejsza ryzyko cyberataków. Organizacje mogą również poprawić swoją efektywność i produktywność.