Dyrektywa NIS i NIS2 – co zawierają?
Artykuł partnera IT: NETIA, autor: Tomasz Orłowski
źródło: https://www.netia.pl/pl/srednie-i-duze-firmy/youtro-strefa-wiedzy/co-zawiera-dyrektywa-nis-i-nis2
Uchwalona przez Unię Europejską w lipcu 2016 r. Dyrektywa NIS (ang. Network and Information Systems Directive) była fundamentem dla wielu zmian w zakresie cyberbezpieczeństwa we wszystkich krajach członkowskich, a nowe regulacje, które pojawiły się w ich następstwie, objęły kilkaset polskich podmiotów. Dyrektywa NIS2 wprowadza kolejne regulacje, a planowana w jej wyniku nowelizacja ustawy o Krajowym Systemie Bezpieczeństwa (KSC) obejmie niedługo kolejnych kilka tysięcy polskich firm i instytucji. Czy Twoja firma jest na to gotowa?
Dyrektywa NIS – co to jest?
Dyrektywa NIS to pierwsze uchwalone przez Parlament Europejski prawo dotyczące cyberbezpieczeństwa.Jej powstanie było efektem wzmożonego ruchu sieciowego i bardzo dynamicznego rozwoju wszelkiego rodzaju usług online oraz cyfryzacji praktycznie każdego sektora biznesu. Wprowadzenie nowych zasad ujednoliciło poziom bezpieczeństwa cyfrowego w poszczególnych krajach członkowskich. Dyrektywa NIS dawała członkom stosunkowo dużą swobodę w organizacji bezpieczeństwa „na własnym podwórku”.
Co zawiera dyrektywa NIS?
Dyrektywa NIS reguluje trzy obszary (zwane w jej treści filarami) i stanowi bardzo obszerny dokument. W dalszej części artykułu skupimy się na przedstawieniu jej najważniejszych założeń:
• Pierwszy filar – zakłada powstanie w każdym z krajów członkowskich instytucji odpowiedzialnych za bezpieczeństwo cyfrowe, tzw. CSIRT (ang. Computer Security Incident Response Team, zespół reagowania na incydenty bezpieczeństwa).
• Drugi filar – dotyczy współpracy krajów członkowskich na poziomie technicznym oraz strategiczno-politycznym. Ten filar realizowany jest przez tak zwane Cooperation Group oraz sieć CSIRT, w skład których wchodzą przedstawiciele CSIRT państw członkowskich, CERT-EU i Komisja Europejska jako obserwator.
• Trzeci filar – reguluje obowiązek reagowania na incydenty, obowiązek implementacji systemów bezpieczeństwa adekwatnych do ryzyka w poszczególnych sektorach i wiele innych. Dyrektywa nakłada również na członków UE stworzenie dedykowanej strategii narodowej w zakresie cyberbezpieczeństwa.
Czym jest dyrektywa NIS?
Dyrektywa NIS2 to rewizja istniejącej dyrektywy NIS. Jej powstanie było efektem kilku czynników:
• Przyczynił się do tego między innymi wybuch pandemii COVID-19, która znacznie przyśpieszyła cyfryzację, w tym popularyzację i rozwój usług chmurowych oraz zwiększyła znaczenie dostawców usług cyfrowych na rynku. Nowa dyrektywa obejmie swoimi regulacjami także bezpieczeństwo łańcucha dostaw.
• Dyrektywa NIS2 ma też skłonić instytucje państw członkowskich do bardziej skrupulatnego nakładania kar na przedsiębiorstwa, które nie wywiązują się z nałożonych obowiązków przez dyrektywę NIS (w Polsce poprzez ustawę o KSC). W grę wchodzą również kary nakładane na zarządy firm. Wartość kary może sięgać nawet 10 milionów euro lub 2% całkowitego rocznego światowego obrotu firmy.
• Trzecim z głównych powodów było niedoszacowanie liczby „krytycznych” pod względem cyberbezpieczeństwa sektorów gospodarki. Wprowadzenie nowej klasyfikacji i dodanie do listy wielu nowych podmiotów ma wpłynąć na poprawę bezpieczeństwa w UE i wiedzy CSIRT (ang. Computer Security Incident Response Team) na temat ogólnego poziomu cyberbezpieczeństwa.
• Problemem, który ujawnił się po uchwaleniu dyrektywy NIS były duże różnice w sposobie i zakresie implementacji przepisów w ramach prawa państw członkowskich UE oraz nierówne rozłożenie podziału na operatorów usług kluczowych i pozostałe firmy w obrębie Wspólnoty.
Dyrektywa NIS2 nanosi na państwa członkowskie obowiązek opracowania planu i procedur na wypadek wystąpienia incydentów i kryzysów o dużej skali.
Największą zmianą z perspektywy firm i instytucji jest znaczne rozszerzenie zakresu podmiotów objętych zarządzeniami dyrektywy. Już niedługo w naszym kraju na kilka tysięcy firm zostaną nałożone duże wymagania dotyczące cyberbezpieczeństwa. Wiele podmiotów może nie być gotowych do spełnienia warunków. Jak sobie z tym poradzić? Piszemy o tym w dalszej części artykułu.
Dyrektywa NIS a ustawa o KSC
Ustawa o Krajowym Systemie Cyberbezpieczeństwa weszła w Polsce w życie w sierpniu 2018 r. Była implementacją dyrektywy NIS – pierwszego unijnego prawa regulującego kwestię cyberbezpieczeństwa w obrębie państw członkowskich Wspólnoty. Ustawa sklasyfikowała tak zwanych operatorów usług kluczowych (OUK), którzy zostali objęci restrykcyjnymi przepisami w zakresie cyberbezpieczeństwa. Na liście znalazło się kilkaset podmiotów (w tym firmy z sektora energetycznego, transportowego, bankowość, służba zdrowia i inne).
Do najważniejszych obowiązków OUK należało między innymi:
• zaimplementowanie adekwatnych do ryzyka środków bezpieczeństwa,
• ich utrzymanie oraz monitorowanie,
• zgłaszanie wszelkich incydentów do odpowiednich CSIRT, czyli Computer Security Incident Response Team (CSIRT NASK, CSIRT GOV i CSIRT MON).
Ponadto operatorzy usług kluczowych mają obowiązek przeprowadzania raz na dwa lata audytów swoich zabezpieczeń.
Pod koniec 2020 r. Unia Europejska przyjęła projekt dyrektywy NIS2. W efekcie już miesiąc później, tj. w styczniu 2021 r. rozpoczęto prace nad nowelizacją ustawy o Krajowym Systemie Bezpieczeństwa. Zmiany będą znaczące i obejmą dużą grupę podmiotów (szacuje się, że nawet kilka tysięcy na terenie naszego kraju).
Oprócz operatorów usług kluczowych specjalne wymagania dotyczące cyberbezpieczeństwa spełnić będzie musiała druga grupa – tak zwane podmioty istotne. Mają być tutaj sklasyfikowane m.in. podmioty świadcząceusługi pocztowe i kurierskie, dostawcy usług cyfrowych, producenci maszyn, urządzeń i pojazdów.
Czy Twoja firma ma odpowiednią ochronę przed cyberatakami?
Nie jesteśmy w stanie przewidzieć, kiedy wejdzie w życie znowelizowana ustawa o KSC (spodziewany czas jest jednak krótki – nawet 3–4 miesiące). W przeciwieństwie do pierwotnej wersji ustawy z 2018 r., główni zainteresowani nie otrzymają decyzji administracyjnych od Ministerstwa Cyfryzacji o objęciu regulacjami ustawy.
Niestety sprostanie wymogom znowelizowanej ustawy o Krajowym Systemie Cyberbezpieczeństwa będzie wymagało znacznie więcej wysiłku niż jedynie stosowanie się do podstawowych zasad cyberbezpieczeństwa. Szacuje się, że wdrożenie wymaganych zmian może zająć firmie nawet kilkanaście miesięcy. To zdecydowanie zbyt długi czas, z uwagi na planowane vacatio legis, czyli okres od publikacji aktu prawnego do momentu jego wejścia w życie, które w przypadku ustawy o KSC wyniesie zaledwie 30 dni.
Jak sobie z tym poradzić? Jednym z najwygodniejszych rozwiązań jest skorzystanie z usługi Netia SOC, czyli Security Operations Center – wykwalifikowanego zespołu specjalistów ds. bezpieczeństwa teleinformatycznego, którzy zajmą się cyberbezpieczeństwem w Twojej firmie. Nowelizacja ustawy o KSC zakłada bowiem, że w realizację założeń mogą być zaangażowane zewnętrzne zespoły SOC, prowadzące proaktywny monitoring sieci przy użyciu wydajnych systemów i reagujące na incydenty bezpieczeństwa, a następnie przesyłające stosowne raporty do sektorowych i krajowych zespołów reagowania CSIRT. Zespół Netia SOC ponadto realizuje szeroki wachlarz zaawansowanych usług bezpieczeństwa, które pomogę w osiągnięciu zgodności z istniejącymi i nowymi regulacjami, m.in. skanowania podatności sieciowych i aplikacyjnych, audyty bezpieczeństwa, testy penetracyjne, analiza złośliwego oprogramowania, ochrona poczty firmowej, ochrona przed wyciekami danych firmowych czy wreszcie szkolenia w zakresie cyberbezpieczeństwa.
Co daje postawienie na zewnętrzny SOC? Zgodność z nowymi przepisami bez wdrażania w firmie poważnych zmian, budowania co najmniej kilkunastoosobowego zespołu i inwestowania w infrastrukturę sprzętową.
Wiesz już, kiedy weszła w życie dyrektywa NIS, co oznacza dyrektywa NIS2 i jak wpływa na ustawę o KSC. Liczymy, że przedstawione tu porady pomogą Twojej firmie odnaleźć się w nowej rzeczywistości.
