Europos Sąjungos NIS2 direktyva, skirta sustiprinti kibernetinį saugumą svarbiausiuose sektoriuose, įgyvendinama su trukdžiais ir kelia vis daugiau klausimų verslui. Teisininkai ir kibernetinio saugumo ekspertai perspėja, kad kai kuriose šalyse prie „kritinės infrastruktūros“ ribos priartėja ir netikėtos veiklos, pavyzdžiui, maisto gamintojai.
NIS2 direktyva priimta 2022 metais, o valstybės narės turėjo perkelti jos reikalavimus į nacionalinę teisę iki 2024 metų pabaigos. Tačiau praktikoje terminai ir pasirengimo tempas skiriasi, todėl dalis įmonių tik dabar aiškinasi, ar patenka į reguliavimo apimtį ir kokių veiksmų turi imtis.
Kas laikoma kritiška?
Direktyvos logika paremta tuo, kad kibernetinė ataka prieš tam tikras grandis gali sukelti plataus masto sutrikimus: nuo energijos ir vandens tiekimo iki sveikatos paslaugų ar logistikos. Vis dėlto į reguliavimo lauką patenka ir maisto gamyba, perdirbimas bei platinimas, o tai kai kuriose situacijose išplečia apimtį iki verslų, kurių „kritiškumas“ visuomenei iš pirmo žvilgsnio atrodo diskutuotinas.
Šios ribos kelia praktinių problemų: įmonėms reikia suprasti, ar jų veiklos klasifikacija ir dydis automatiškai reiškia papildomas pareigas. NIS2 modelyje svarbų vaidmenį atlieka sektoriaus priskyrimas, organizacijos mastas ir paslaugų tęstinumo reikšmė, todėl vien pavadinimo ar produkto nepakanka sprendimui priimti.
Vėlavimai ir neaiškumai verslui
Direktyvos įgyvendinimą komplikuoja skirtingas šalių pasirengimas ir skirtingai aiškinamos ribos, kada organizacija laikoma „esmine“ ar „svarbia“. Tai reiškia, kad net to paties sektoriaus įmonės skirtingose valstybėse gali susidurti su nevienodu reglamentavimo intensyvumu.
Dar vienas praktinis iššūkis yra registracijos ir atitikties procesas. Organizacijos, patenkančios į taikymo sritį, paprastai turi registruotis nacionalinėse institucijose, įsivertinti rizikas, įsidiegti incidentų valdymą ir pranešimų teikimo procedūras, taip pat užtikrinti tiekimo grandinės saugą.
Ką tai reiškia kibernetiniam saugumui?
NIS2 reikalavimai atsirado augant atakų kiekiui ir sudėtingumui, o papildomą spaudimą kuria automatizavimas ir DI panaudojimas kenkėjiškoms kampanijoms. Dėl to ES siekia, kad organizacijos greičiau aptiktų incidentus, mažintų pažeidžiamumus ir turėtų aiškias atsakomybes vadovybės lygmeniu.
Europos Komisija yra pabrėžusi, kad direktyvoje numatyti mechanizmai turėtų apsaugoti smulkųjį verslą nuo perteklinių pareigų, o mažesnės rizikos veikloms taikomi lengvesni reikalavimai. Vis dėlto praktikoje, kol trūksta vienodų gairių ir susiformavusios praktikos, daliai įmonių kyla rizika per vėlai suprasti savo statusą ir nepasirengti laiku.
Ekspertai atkreipia dėmesį, kad svarbiausia NIS2 vertė gali būti ne „keisti“ pavyzdžiai, o bendras saugumo higienos pakėlimas: aiškesnė rizikų vadyba, incidentų pranešimo disciplina ir didesnis dėmesys tiekėjų saugumui. Tačiau tam reikalingas nuoseklus nacionalinis įgyvendinimas ir aiškūs kriterijai, kad įmonės žinotų, ko iš jų tikimasi.
Leave a Reply