Art. 21 dyrektywy NIS2, czyli dyrektywy (UE) 2022/2555, określa minimalne środki cyberbezpieczeństwa, które muszą stosować podmioty kluczowe i ważne. Brzmi jak lista nagłówków, co pozostawia dużo miejsca na interpretację tego, co jest „wystarczająco dobre”. W tym artykule omawiamy każdy środek w praktycznym ujęciu, a następnie terminy zgłoszeń z art. 23.
To jest lektura samej dyrektywy. Każde państwo członkowskie wdraża ją w prawie krajowym, które może dodawać szczegóły, dlatego należy sprawdzić przepisy i właściwy organ w każdym kraju, w którym prowadzą Państwo działalność.
Czy dyrektywa Państwa dotyczy?
NIS2 obejmuje co do zasady średnie i duże organizacje z sektorów wymienionych w załącznikach I i II. Wielkość ustala się według unijnej definicji MŚP, zgodnie z którą małe przedsiębiorstwo zatrudnia mniej niż 50 osób, a jego obrót lub suma bilansowa nie przekraczają 10 mln EUR. W praktyce, jeśli zatrudniają Państwo 50 lub więcej osób albo zarówno obrót, jak i suma bilansowa przekraczają 10 mln EUR, są Państwo co najmniej średnim przedsiębiorstwem.
Niektóre podmioty są objęte dyrektywą niezależnie od wielkości na podstawie art. 2 ust. 2. Należą do nich m.in. dostawcy publicznych sieci lub usług łączności elektronicznej, dostawcy usług zaufania, rejestry nazw domen najwyższego poziomu i dostawcy usług DNS.
Podmioty są albo kluczowe, albo ważne (art. 3). Środki z art. 21 są dla obu grup takie same. Różnica dotyczy nadzoru, który wobec podmiotów ważnych ma głównie charakter następczy (art. 33), oraz maksymalnych kar z art. 34. W przypadku podmiotów kluczowych państwa członkowskie muszą ustalić górną granicę co najmniej 10 mln EUR lub 2% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. W przypadku podmiotów ważnych jest to 7 mln EUR lub 1,4%.
Dwie kwestie są ważne dla czytelników spoza UE, także z Turcji. Zgodnie z art. 26 ust. 3 niektórzy dostawcy usług cyfrowych muszą wyznaczyć przedstawiciela w UE, jeśli świadczą tam usługi, nie mając w niej siedziby. Należą do nich dostawcy usług chmurowych, centrów danych, usług zarządzanych i zarządzanych usług bezpieczeństwa. Ponadto dostawcy podmiotów objętych dyrektywą odczują art. 21 za pośrednictwem umów i kwestionariuszy swoich klientów.
Dziesięć środków z art. 21 ust. 2
Art. 21 ust. 1 wymaga środków „odpowiednich i proporcjonalnych”. Muszą one uwzględniać najnowszy stan wiedzy, odpowiednie normy, koszty, wielkość podmiotu i stopień jego narażenia na ryzyko, a także prawdopodobieństwo wystąpienia incydentów i ich dotkliwość. Art. 21 ust. 2 stanowi, że środki te muszą opierać się na podejściu uwzględniającym wszystkie zagrożenia i obejmować co najmniej poniższe elementy.
(a) Analiza ryzyka i polityki bezpieczeństwa systemów informacyjnych
Należy spisać, co trzeba chronić, co może pójść nie tak i co postanowiono z tym zrobić. W firmie zatrudniającej 200 osób oznacza to wykaz zasobów, rejestr ryzyk przeglądany co najmniej raz w roku i krótką politykę bezpieczeństwa podpisaną przez kierownictwo.
(b) Obsługa incydentów
Potrzebny jest spisany proces wykrywania incydentów, ich wstępnej oceny i reagowania na nie, ze wskazanymi osobami i kontaktami poza godzinami pracy. Należy uwzględnić w nim kroki zgłoszeniowe z art. 23, aby w trakcie incydentu nikt nie musiał ustalać terminów.
(c) Ciągłość działania, kopie zapasowe, przywracanie po awarii i zarządzanie kryzysowe
Trzeba wiedzieć, które usługi są najważniejsze i jak długo można się bez nich obyć. Należy przechowywać kopie zapasowe, których nie może usunąć atakujący z uprawnieniami administratora, i regularnie testować przywracanie. Warto przeprowadzić z kierownictwem co najmniej jedno ćwiczenie sztabowe.
(d) Bezpieczeństwo łańcucha dostaw
Należy sporządzić listę dostawców i usługodawców, którzy mogą wpływać na Państwa systemy, takich jak dostawca usług zarządzanych (MSP), dostawcy chmury i SaaS oraz producenci oprogramowania. Art. 21 ust. 3 wymaga uwzględnienia szczególnych podatności każdego bezpośredniego dostawcy, jakości jego produktów i praktyk bezpieczeństwa, w tym bezpiecznego wytwarzania oprogramowania. W praktyce oznacza to wpisanie do umów wymagań bezpieczeństwa i obowiązku zgłaszania incydentów.
(e) Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów, w tym obsługa i ujawnianie podatności
Należy instalować poprawki według ustalonego harmonogramu, śledzić podatności w tym, co się tworzy i kupuje, oraz dać osobom z zewnątrz możliwość zgłaszania problemów. Ostatni punkt załatwia opublikowany plik security.txt i prosta polityka ujawniania podatności.
(f) Ocena skuteczności tych środków
Należy sprawdzać, czy zabezpieczenia działają, zamiast to zakładać. Liczą się audyty wewnętrzne, skanowanie podatności, testy penetracyjne i testy przywracania, pod warunkiem że ustalenia są śledzone aż do ich zamknięcia.
(g) Podstawowa cyberhigiena i szkolenia
Podstawy muszą być zapewnione wszędzie: aktualizacje, bezpieczna konfiguracja, zasada najmniejszych uprawnień i usuwanie nieużywanych kont. Wszyscy pracownicy powinni być regularnie szkoleni, co najmniej w zakresie rozpoznawania phishingu. Art. 20 ust. 2 odrębnie wymaga, aby członkowie organów zarządzających uczestniczyli w szkoleniach.
(h) Kryptografia i szyfrowanie
Należy ustalić, gdzie szyfrowanie jest wymagane, np. na laptopach, w kopiach zapasowych, dla danych przesyłanych i wrażliwych danych przechowywanych. Trzeba też określić, które algorytmy i wersje protokołów są dopuszczalne oraz kto zarządza kluczami i certyfikatami.
(i) Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami
Procesy przyjęcia, zmiany stanowiska i odejścia pracownika powinny faktycznie odbierać dostęp ostatniego dnia. Konta uprzywilejowane należy regularnie przeglądać. Inwentarz aktywów powinien mieć właściciela, który go aktualizuje.
(j) Uwierzytelnianie wieloskładnikowe lub ciągłe, zabezpieczona łączność i łączność w sytuacjach nadzwyczajnych
Uwierzytelnianie wieloskładnikowe należy stosować do zdalnego dostępu, poczty, administracji chmurą i kont uprzywilejowanych. Trzeba uzgodnić kanał komunikacji awaryjnej, który nie zależy od własnej poczty czy komunikatora, ponieważ w czasie incydentu mogą one nie działać lub być podsłuchiwane.
Odpowiedzialność kierownictwa
Art. 20 wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem i nadzorowały ich wdrażanie. Organy zarządzające mogą ponosić odpowiedzialność za naruszenia art. 21 przez podmiot. Ich członkowie muszą uczestniczyć w szkoleniach, a państwa członkowskie muszą zachęcać podmioty do regularnego oferowania podobnych szkoleń pracownikom.
W praktyce cyberbezpieczeństwo powinno być tematem posiedzeń zarządu co najmniej raz na kwartał. Decyzje należy dokumentować, łącznie z ryzykami zaakceptowanymi przez kierownictwo.
Terminy zgłoszeń z art. 23
Poważny incydent to taki, który spowodował lub może spowodować poważne zakłócenia operacyjne lub straty finansowe podmiotu albo znaczne szkody majątkowe lub niemajątkowe dla innych. Takie incydenty zgłasza się zespołowi CSIRT lub właściwemu organowi etapami:
| Etap | Termin | Treść |
|---|---|---|
| Wczesne ostrzeżenie | W ciągu 24 godzin od powzięcia wiedzy | Czy podejrzewa się działanie bezprawne lub złośliwe oraz czy incydent może mieć skutki transgraniczne |
| Zgłoszenie incydentu | W ciągu 72 godzin od powzięcia wiedzy | Aktualizacja wczesnego ostrzeżenia, wstępna ocena wagi i skutków, wskaźniki naruszenia bezpieczeństwa (IoC), jeśli są dostępne |
| Sprawozdanie pośrednie | Na żądanie | Istotne informacje o bieżącym stanie |
| Sprawozdanie końcowe | W ciągu miesiąca od zgłoszenia incydentu | Szczegółowy opis, prawdopodobna przyczyna źródłowa, zastosowane i trwające działania łagodzące, skutki transgraniczne |
| Sprawozdanie z postępów | Jeśli incydent nadal trwa w terminie sprawozdania końcowego | Stan, a następnie sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi incydentu |
Dostawcy usług zaufania mają krótszy termin. W przypadku incydentów wpływających na ich usługi zaufania zgłoszenie z drugiego wiersza należy złożyć w ciągu 24 godzin. W stosownych przypadkach podmioty muszą także informować odbiorców swoich usług o poważnych incydentach, które mogą na nich wpłynąć.
Te terminy biegną równolegle z innymi obowiązkami. Atak ransomware, który dotyczy danych osobowych, może także wymagać zgłoszenia organowi ochrony danych na podstawie art. 33 RODO, w miarę możliwości w ciągu 72 godzin.
Proporcjonalnie, udokumentowane, z dowodami
Art. 21 nie narzuca konkretnej normy. Jeśli stosują Państwo już ISO/IEC 27001, przypisanie jej zabezpieczeń do dziesięciu środków jest rozsądnym punktem wyjścia. Dla niektórych dostawców usług cyfrowych szczegółowe wymagania techniczne określa rozporządzenie wykonawcze Komisji (UE) 2024/2690, a wytyczne ENISA dotyczące wdrożenia technicznego z czerwca 2025 roku zawierają przykłady dowodów i mapowań. Nawet jeśli to rozporządzenie Państwa nie dotyczy, wytyczne pokazują, jak wyglądają dowody.
Niezależnie od wyboru należy gromadzić dowody: polityki z datami zatwierdzenia, ewidencję szkoleń, raporty z testów, dzienniki przywracania i decyzje kierownictwa dotyczące ryzyka. Zgodnie z art. 21 ust. 4 podmiot, który stwierdzi, że nie spełnia wymagań, musi bez zbędnej zwłoki podjąć działania naprawcze.
Od czego zacząć
- Ustalić na podstawie prawa krajowego, czy organizacja jest objęta przepisami, a jeśli tak, to jako podmiot kluczowy czy ważny.
- Przeprowadzić analizę luk względem dziesięciu powyższych środków. Na początek wystarczy jedna strona na każdy środek.
- Najpierw usunąć luki o największym wpływie, np. brak MFA, nieprzetestowane kopie zapasowe lub brak procedury zgłaszania incydentów.
- Wpisać kroki zgłoszeniowe z art. 23 do planu reagowania na incydenty, wraz z danymi kontaktowymi zespołu CSIRT lub organu.
- Poinformować kierownictwo, udokumentować jego zatwierdzenie i zaplanować szkolenia.
Nasz zespół doradczy pomoże przeprowadzić analizę luk względem NIS2, a SecAudit w raportach zgodności przypisuje ustalenia dotyczące bezpieczeństwa WordPressa do środków z art. 21.
