NIS2 – Jakie środki techniczne są wymagane?

Dyrektywa NIS2 (ang. Network and Information Security Directive 2) to kolejna ważna regulacja Unii Europejskiej, która wprowadza nowe wymagania w zakresie cyberbezpieczeństwa. Celem tej dyrektywy jest zwiększenie odporności systemów informacyjnych w kluczowych sektorach gospodarki, w tym w sektorze finansowym, energetycznym, zdrowotnym czy telekomunikacyjnym. NIS2 stanowi rozwinięcie obowiązującej obecnie dyrektywy NIS i staje się aktualnie tematem nr 1 w IT (oraz na styku IT i biznesu).

Nowe regulacje kładą szczególny nacisk na ochronę systemów i sieci, na które wpływ mogą mieć cyberataki lub inne zagrożenia informatyczne. W odróżnieniu od NIS, która obejmowała jedynie wąską grupę sektorów, dyrektywa NIS2 rozszerza zakres na większą liczbę podmiotów i wprowadza bardziej szczegółowe wymogi dotyczące zarządzania ryzykiem oraz reagowania na incydenty. Organizacje objęte zakresem dyrektywy NIS2 muszą teraz spełniać wyższe standardy bezpieczeństwa, a ich nieprzestrzeganie może skutkować dotkliwymi sankcjami, w tym karami finansowymi.

Obejrzyj panel Q&A, gdzie wspólnie z prawnikiem z Kancelarii Prawnej GFP – Piotrem Grzelczakiem – odpowiadamy na pytania dotyczące implementacji NIS2:

Wymagania, jakie stawia NIS2 dotyczą m.in. zarządzania bezpieczeństwem, minimalizując ryzyko oraz zwiększając odporność na cyberzagrożenia. Oto główne wymagania zarządzania bezpieczeństwem, jakie nakłada NIS2:

1. Zarządzanie ryzykiem i bezpieczeństwem: Organizacje muszą wdrożyć odpowiednie środki techniczne i organizacyjne w celu zarządzania ryzykiem związanym z cyberbezpieczeństwem. Obejmuje to identyfikację zagrożeń, wdrażanie odpowiednich mechanizmów ochrony oraz regularne oceny ryzyka.
2. Bezpieczeństwo łańcucha dostaw: Firmy muszą zapewnić bezpieczeństwo również na poziomie łańcucha dostaw, monitorując bezpieczeństwo swoich dostawców, zwłaszcza tych odpowiedzialnych za kluczowe zasoby i usługi.
3. Wykrywanie i reagowanie na incydenty: Organizacje muszą posiadać rozwiązania umożliwiające szybkie wykrywanie incydentów bezpieczeństwa oraz sprawne zarządzanie nimi. Konieczne jest również wprowadzenie odpowiednich procedur umożliwiających analizę, usuwanie skutków oraz raportowanie incydentów do CSIRT’ów.
4. Raportowanie incydentów: Przedsiębiorstwa objęte dyrektywą mają obowiązek zgłaszania do CSIRT incydentów charakteryzujących się znacznym wpływem na bezpieczeństwo operacyjne. Raportowanie powinno być zgodne z ustalonymi terminami i procedurami, aby umożliwić szybkie reagowanie i koordynację działań na poziomie krajowym i unijnym.
5. Zarządzanie ryzykiem kadrowym: Pracownicy muszą być odpowiednio przeszkoleni w zakresie bezpieczeństwa, a dostęp do kluczowych systemów powinien być ograniczony do odpowiednich osób. Dyrektywa zaleca także implementację procedur weryfikacyjnych i kontrolnych.
6. Współpraca z organami nadzoru i raportowanie: Organizacje muszą współpracować z organami nadzoru w zakresie zarządzania bezpieczeństwem oraz dostarczania informacji na temat stanu bezpieczeństwa (na żądanie).
7. Zarządzanie ciągłością działania: Firmy muszą opracować i utrzymywać plany ciągłości działania oraz plany Disaster Recovery na wypadek awarii, aby minimalizować skutki incydentów i sprawnie przywracać do działania operacje biznesowe.

Dyrektywa NIS2 wprowadza także rozszerzenie odpowiedzialności zarządu, który jest zobowiązany do nadzorowania polityki cyberbezpieczeństwa w organizacji oraz zapewnienia odpowiednich zasobów i wsparcia dla zespołów IT, a także jednostek odpowiedzialnych za bezpieczeństwo.

Aby sprostać wymogom NIS2, firmy muszą wdrożyć odpowiednie środki techniczne i organizacyjne. Dyrektywa nie precyzuje konkretnych produktów i procedur, ale wskazuje metodę ich doboru. Wprowadzone środki zarządzania ryzykiem w cyberbezpieczeństwie powinny być:

1. Proporcjonalne,
2. Uwzględniające stopień narażenia na ryzyko,
3. Uwzględniające wielkość podmiotu,
4. Uwzględniające prawdopodobieństwo wystąpienia incydentów oraz ich dotkliwość, w tym skutki społeczne i gospodarcze.

Chociaż dyrektywa nie precyzuje określonych rozwiązań, to wskazuje jednak kluczowe obszary, które powinny zostać zaopiekowane.

Poniżej znajduje się lista sugerowanych środków technicznych, które organizacje powinny uwzględnić w swoich strategiach cyberbezpieczeństwa:

Zarządzanie ryzykiem i oceną zagrożeń

• Inwentaryzacja zasobów – spis systemów i zasobów IT z przyporządkowanymi typami danych, ich istotnością dla ciągłości działania oraz oceną skutków w przypadku incydentu bezpieczeństwa.
• Ocena ryzyka – regularna analiza zagrożeń i ocena ryzyka w celu identyfikacji potencjalnych słabości.
• Kontrola ryzyka – wdrożenie środków zarządzania ryzykiem, takich jak minimalizacja dostępu do krytycznych zasobów.

Zapewnienie bezpieczeństwa sieci i systemów informatycznych

• Zapora sieciowa (firewall) – kontrola ruchu w sieci i zapobieganie nieautoryzowanemu dostępowi.
• Systemy wykrywania włamań (IDS/IPS) – monitorowanie sieci i wykrywanie niepożądanej aktywności.
• Segmentacja sieci – podzielenie sieci na mniejsze, zabezpieczone segmenty dla ograniczenia dostępu.

Mechanizmy szyfrowania i ochrony danych

• Szyfrowanie danych – zabezpieczenie wrażliwych danych w transporcie i w przechowywaniu.
• Ochrona danych osobowych – zgodność z RODO i zabezpieczenie danych wrażliwych.

Zarządzanie tożsamością i dostępem

• Silne uwierzytelnianie – wymaganie wieloskładnikowego uwierzytelniania (MFA) dla krytycznych systemów.
• Kontrola dostępu – przyznawanie dostępu zgodnie z zasadą najmniejszego uprawnienia.
• Usługi katalogowe – zarządzanie tożsamością i dostępem do zasobów.

Bezpieczeństwo aplikacji

• Regularne testowanie aplikacji – testy penetracyjne i skanowanie aplikacji pod kątem luk w zabezpieczeniach.
• Bezpieczny cykl życia oprogramowania (SDLC) – wdrażanie zasad bezpiecznego tworzenia, testowania i wdrażania oprogramowania.

Kopie zapasowe i odzyskiwanie po awarii

• Regularne tworzenie kopii zapasowych – kopie zapasowe danych i systemów krytycznych przechowywane w bezpiecznym miejscu.
• Plany przywracania danych po incydencie – procedury przywracania systemów do działania po awarii lub cyberataku.

Monitorowanie i zarządzanie incydentami bezpieczeństwa

• Systemy SIEM (Security Information and Event Management) – monitorowanie i analizowanie zdarzeń związanych z bezpieczeństwem.
• Centra operacji bezpieczeństwa (SOC) – zespoły odpowiedzialne za monitorowanie i reagowanie na incydenty.

Szkolenia z zakresu cyberbezpieczeństwa

• Szkolenia dla pracowników – regularne szkolenia, które zwiększają świadomość na temat cyberzagrożeń, dobrych praktyk bezpieczeństwa i procedur reagowania na incydenty.

Dyrektywa NIS2 nie tylko wyznacza standardy zgodności, lecz także skłania organizacje do głębszej analizy i optymalizacji własnych środowisk IT pod kątem bezpieczeństwa. Dostosowanie się do nowych wymogów to szansa na wzmocnienie nie tylko samej infrastruktury, lecz również całej strategii biznesowej. Warto pamiętać, że cyberzagrożenia ewoluują szybko, a incydent bezpieczeństwa może mieć bezpośredni wpływ na reputację, zaufanie klientów, a nawet stabilność finansową organizacji.

W obliczu wzmożonych regulacji i narastających zagrożeń warto, by każdy podmiot traktował burzę wokół NIS2, jako okazję i inspirację do ciągłego doskonalenia swojej strategii cyberbezpieczeństwa oraz systemu zarządzania bezpieczeństwem informacji w pełnej korelacji z faktycznymi potrzebami biznesu.