NIS2 i KSC 2.0. Kogo dotyczy i co realnie trzeba zrobić.
NIS2 to nie jest temat tylko dla operatorów infrastruktury. No i to jest właśnie ta pułapka, w którą wpada najwięcej firm.
No to zacznijmy od najczęstszego nieporozumienia. NIS2 ponoć dotyczy tylko elektrowni i banków. Nie. Dyrektywa rozjeżdża się na kilkanaście sektorów, a polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0) dokłada do tego konkrety. Jak prowadzisz średnią firmę w transporcie, zdrowiu, produkcji czy infrastrukturze cyfrowej… to prawdopodobnie jesteś w środku.
TL;DR
- NIS2 dzieli podmioty na kluczowe (essential) i ważne (important)
- Próg co do zasady: średnia firma plus, ale są wyjątki niezależne od wielkości
- Zgłoszenia incydentów: 24h wczesne ostrzeżenie, 72h zgłoszenie, 30 dni raport
- Nowość, która boli: osobista odpowiedzialność zarządu
Kogo dotyczy NIS2
Dwie kategorie. Podmioty kluczowe, czyli te o największym znaczeniu dla państwa i gospodarki. I podmioty ważne, pełniące istotne funkcje w łańcuchach dostaw i usług cyfrowych. Sektory to między innymi energia, transport, bankowość, zdrowie, woda, infrastruktura cyfrowa, administracja, poczta, gospodarka odpadami, chemia, żywność i produkcja.
Nie wiesz, po której stronie jesteś? Najszybciej sprawdzisz to w Regulatory Checker… bez czytania trzech załączników.
Obowiązki, czyli 10 obszarów Art. 21
Sedno NIS2 to systemowe zarządzanie ryzykiem. Art. 21 wymienia dziesięć obszarów: analiza ryzyka, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczny rozwój, szyfrowanie, kontrola dostępu, zarządzanie aktywami, MFA i szkolenia.
Łańcuch dostaw ma drugą stronę… dostawców. Software house, hosting albo serwis IT, który obsługuje szpital czy wodociągi, dostanie od klienta ankietę, klauzule bezpieczeństwa i zapowiedź audytu, nawet jeśli sam nie jest podmiotem kluczowym ani ważnym. Dla takich firm przygotowaliśmy dokumentację NIS2 dla dostawców ICT z mapą 30 typowych pytań klienta i bezpłatną próbką.
To nie jest lista do odhaczenia raz. To ma działać i być udokumentowane, bo organ sprawdza dowody, nie deklaracje.
Terminy zgłaszania incydentów
Tu jest twardo i konkretnie. Wczesne ostrzeżenie w 24 godziny od wykrycia. Formalne zgłoszenie w 72 godziny. Raport końcowy w 30 dni. Bez zespołu i procedury liczonej w godzinach, a nie w dniach, te terminy są fizycznie nie do utrzymania.
Osobista odpowiedzialność zarządu
I to jest największa zmiana mentalna. Za brak nadzoru nad cyberbezpieczeństwem odpowiada kierownictwo, osobiście. Kary finansowe dla zarządu, a w skrajnych przypadkach nawet czasowy zakaz pełnienia funkcji zarządczych. Cyberbezpieczeństwo przestało być tematem “działu IT”… wjechało na poziom zarządu i tam zostaje.
Kwoty i szczegóły sankcji rozpisałem osobno: kary NIS2.
Jak się przygotować bez paniki
Po kolei: ustal status, zarejestruj podmiot, wdróż 10 obszarów, ustaw procedurę incydentów z licznikami, wciągnij zarząd w nadzór. Brzmi jak dużo, bo jest dużo… ale rozbite na profil podmiotu, timeline i mapowanie kontroli robi się ogarnialne.
Dokładnie to robi moduł NIS2: profil, timeline 24h/72h z eksportem do CSIRT, mapowanie Art. 21 i ocena dostawców. Jedno miejsce, zamiast kolejnego skansenu z arkuszami.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.