NIS2 (МИС 2) за фирми: попада ли вашата фирма и какво да направите

Какво е NIS2 (МИС 2)

Директивата е приета в края на 2022 г. Държавите членки трябваше да я въведат в националното си законодателство до 17 октомври 2024 г. В България изискванията се въвеждат чрез промени в Закона за киберсигурността. Съкращението МИС 2 идва от "мрежови и информационни системи" - така е наречена директивата в официалния ѝ превод на български.

Целта е фирмите и институциите, от които зависят икономиката и нормалният живот, да не спират при кибератака. Затова NIS2 не се интересува само от техниката, а от това дали организацията управлява риска, знае какво да прави при инцидент и контролира доставчиците си.

NIS2 не е сертификат. Няма документ, който да получите веднъж завинаги. Съответствието се доказва с работещи мерки, документация и готовност да ги покажете при проверка. Стандарти като ISO 27001 помагат за подредената система за сигурност - вижте какво включва подготовката за ISO 27001 - но не заместват изискванията на закона.

Попада ли фирмата ви под NIS2: проверка в 3 въпроса

1. В какъв сектор работите?

Директивата изброява два списъка сектори:

• Сектори с висока критичност: енергетика, транспорт, банково дело, инфраструктура на финансовите пазари, здравеопазване, питейна и отпадни води, цифрова инфраструктура, управление на ИКТ услуги за бизнеса (доставчици на управлявани IT услуги и на управлявана сигурност), публична администрация и космическо пространство.
• Други критични сектори: пощенски и куриерски услуги, управление на отпадъци, химикали, храни, производство (например медицински изделия, електроника, машини и превозни средства), цифрови доставчици (онлайн пазари, търсачки, социални мрежи) и научни изследвания.

2. Каква е фирмата по размер?

По правило в обхвата са средните и големите предприятия: фирми с 50 или повече служители или с годишен оборот и годишен баланс над 10 млн. евро. За някои дейности размерът няма значение - например за доставчиците на обществени електронни съобщителни мрежи, на DNS услуги и на удостоверителни услуги, както и за единствения доставчик на критична услуга в държавата.

3. Каква е ролята ви във веригата на доставки?

Това е въпросът, който малките фирми най-често пропускат. Ако доставяте услуги, софтуер или поддръжка на фирма в обхвата, тя е длъжна да управлява риска от своите доставчици. На практика ще получите въпросник по сигурността или клаузи в договора, дори самите вие да не сте задължени по закон.

Ако отговорът на първите два въпроса е "да", фирмата най-вероятно е в обхвата като съществен или важен субект. Съществените субекти (обикновено големите фирми в секторите с висока критичност) се проверяват предварително, а важните - при сигнал или инцидент. Изискванията към мерките са едни и същи.

NIS2 и малките и средни предприятия

Малките фирми (под 50 служители и под 10 млн. евро оборот) по правило не са пряко задължени. Но много малки и средни фирми в България работят като доставчици на банки, болници, енергийни дружества, логистични и производствени компании. Когато такъв клиент започне да прилага NIS2, той ще поиска от доставчиците си доказателства: как пазят данните, кой има достъп, има ли резервни копия и как реагират при инцидент.

Затова е разумно да погледнете на NIS2 като на пазарно изискване, а не само като на закон. Фирмата, която може уверено да отговори на въпросника за сигурност на голям клиент, печели договора.

Какво изисква NIS2 на практика

Член 21 от директивата изброява минимум десет групи мерки. Преведени на ежедневен език, те са:

• Анализ на риска и политики за сигурност на информационните системи.
• Процес за реакция при инциденти: кой разбира, кой решава, кой съобщава.
• Непрекъсваемост на работата: резервни копия, възстановяване след срив и план при криза.
• Сигурност на веригата на доставки: изисквания към доставчиците и оценка на риска от тях.
• Сигурност при закупуване, разработка и поддръжка на системи, включително работа с уязвимости и обновления.
• Проверка дали мерките реално работят, например чрез IT одит на фирмената инфраструктура.
• Базова кибер хигиена и обучение на служителите.
• Правила за криптиране.
• Сигурност при персонала, контрол на достъпа и опис на активите: устройства, акаунти и системи.
• Многофакторно удостоверяване и защитени канали за комуникация, включително за спешни случаи.

Докладване на инциденти. При значителен инцидент фирмата трябва да изпрати ранно предупреждение до компетентния орган в рамките на 24 часа, уведомление за инцидента до 72 часа и окончателен доклад до един месец. Без предварително подготвен процес тези срокове почти не могат да се спазят. Затова е важно да имате проактивен мониторинг на IT системите, който засича проблемите навреме, и защита срещу ransomware.

Отговорност на ръководството и санкции

NIS2 поставя сигурността пряко на масата на управителя. Ръководството трябва да одобрява мерките, да следи изпълнението им и да преминава обучение. При нарушения отговорност могат да носят и лично членовете на ръководството.

Глобите са значителни: за съществените субекти до поне 10 млн. евро или 2% от световния годишен оборот, а за важните - до поне 7 млн. евро или 1,4% от оборота, в зависимост от това коя сума е по-висока. Точният размер и редът за налагане се определят от националния закон.

NIS2 и вашите доставчици

Един от най-важните акценти на NIS2 е рискът от доставчиците. Голяма част от инцидентите започват не във фирмата, а при нейния IT доставчик, счетоводна програма или облачна услуга. Затова директивата изисква фирмите да знаят кои доставчици имат достъп до системите им, какви мерки прилагат и какво пише в договорите за сигурност и инциденти.

Ако поддръжката на компютрите и сървърите ви е външна, проверете: има ли вашият доставчик ясни срокове за реакция по договор, как управлява достъпа до вашите системи, какъв инструмент за отдалечен достъп използва и дали ще ви уведоми веднага при инцидент. Ако тепърва избирате партньор, вижте как да изберем външен IT партньор и как да аутсорснем IT поддръжката правилно.

Как да започнете: 6 практични стъпки

1. Проверете обхвата с трите въпроса по-горе и запишете извода.
2. Направете опис: служители, устройства, акаунти, сървъри, облачни услуги и доставчици с достъп.
3. Оценете риска: кои системи, ако спрат, спират работата, и какво се случва с данните.
4. Затворете най-големите технически пропуски: многофакторно удостоверяване, резервни копия, които се тестват, защита на крайните устройства и навременни обновления.
5. Опишете процеса при инцидент: кой, кога и как съобщава, включително към органа в рамките на 24 часа.
6. Определете отговорник в ръководството и планирайте обучение на служителите.

Не е нужно всичко да стане наведнъж. По-важно е да започнете с правилния обхват и да документирате какво правите.

Техническо съответствие с NIS2 за клиентите на абонаментна поддръжка

Голяма част от техническите изисквания на NIS2 са ежедневна IT работа. За фирмите на абонаментна поддръжка Хелпдеск България подготвя и привежда IT средата в техническо съответствие с NIS2: внедряваме мерките, поддържаме ги и ги документираме, така че да можете да ги покажете при проверка. В абонамента са включени:

• Мониторинг на сървъри и работни станции 24/7.
• Антивирусни лицензи и защита на крайните устройства, а в план Професионален и EDR и SIEM за откриване и анализ на заплахи.
• Политики за резервни копия и възстановяване при срив.
• Управление на достъпа и акаунтите, включително многофакторно удостоверяване.
• Навременни обновления и отстраняване на уязвимости.
• Корпоративен инструмент за отдалечен достъп и проследими заявки.

Техническата подготовка и техническите консултации за NIS2 са включени в план Професионален. В план Стандартен се заплащат допълнително.

Организационните мерки - политики, обучения, отговорност на ръководството и докладване към органа - остават задача на фирмата. С подредена и документирана техническа основа обаче те стават много по-лесни. Вижте какво включва всеки план на страницата за абонаментна компютърна поддръжка.

Вижте плановете | Заявете оферта

Чести въпроси

Какво е МИС 2?

МИС 2 е българското съкращение за NIS2, Директива (ЕС) 2022/2555 за високо общо ниво на киберсигурност в Съюза. Съкращението идва от "мрежови и информационни системи".

Попада ли малка фирма под NIS2?

По правило не, ако има под 50 служители и под 10 млн. евро оборот и баланс, освен при някои специфични дейности. Малките фирми обаче често получават изисквания индиректно, като доставчици на фирми в обхвата.

Има ли сертификат за NIS2?

Не. NIS2 не е сертификат, а законово задължение. Съответствието се доказва с работещи мерки и документация. Стандарти като ISO 27001 помагат, но не заместват изискванията на закона.

В какви срокове се докладва инцидент?

Ранно предупреждение до 24 часа, уведомление до 72 часа и окончателен доклад до един месец след значителен инцидент.

Какви са санкциите?

До поне 10 млн. евро или 2% от световния оборот за съществените субекти и до поне 7 млн. евро или 1,4% за важните. Ръководството може да носи и лична отговорност.

С какво да започна?

С проверка на обхвата и опис на системите и доставчиците. След това затворете най-големите технически пропуски: многофакторно удостоверяване, резервни копия и защита на устройствата.

Може ли Хелпдеск България да приведе фирмата ни в съответствие с NIS2?

За клиентите на абонаментна поддръжка привеждаме IT средата в техническо съответствие с NIS2: защита на устройствата, EDR и SIEM, мониторинг, резервни копия, контрол на достъпа и обновления, внедрени и документирани. В план Професионален това е включено, а в план Стандартен техническите консултации и лицензи за EDR и SIEM се заплащат допълнително. Организационните мерки и докладването към органа остават отговорност на ръководството на фирмата.

Материалът е информационен и не е правна консултация. За конкретния ви случай проверете актуалния текст на Закона за киберсигурността.