NIS2: zakres i obowiązki

NIS2 nie wymienia NDR z nazwy, ale wymaga wykrywania i obsługi incydentów oraz zgłaszania poważnych incydentów w ściśle określonych terminach. Art. 21 wymienia obsługę incydentów wśród obowiązkowych środków zarządzania ryzykiem; art. 23 wymaga wczesnego ostrzeżenia w ciągu 24 godzin, zgłoszenia w ciągu 72 godzin i raportu końcowego w ciągu miesiąca. Monitorowanie sieci to jeden z praktycznych sposobów, by wykryć incydent na czas i zachować dowody potrzebne do tych zgłoszeń; NetSenX śledzi terminy z art. 23 dla każdego incydentu. Obowiązki spoczywają na organizacji — żadne narzędzie nie wypełni ich samo.

NIS2 nie wymienia z nazwy monitoringu sieci ani NDR, ale art. 21 zalicza obsługę incydentów do obowiązkowych środków zarządzania ryzykiem, a art. 23 wymaga zgłaszania poważnych incydentów w ściśle określonych terminach. Nie da się zgłosić incydentu, którego się nie wykryło, dlatego ciągły monitoring sieci jest jednym z praktycznych sposobów spełnienia obu wymogów.

Zgodnie z art. 23 ust. 4: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy o poważnym incydencie, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie okresowe na wniosek organu i sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu. Krajowe przepisy wdrażające NIS2 mogą doprecyzowywać szczegóły, dlatego warto sprawdzić przepisy własnego kraju.

Co do zasady NIS2 obejmuje podmioty z sektorów wymienionych w załącznikach I i II, które są co najmniej średnimi przedsiębiorstwami w rozumieniu zalecenia 2003/361/WE (50 lub więcej pracowników albo roczny obrót i suma bilansowa, obie powyżej 10 mln euro), a niektóre podmioty niezależnie od wielkości. To, czy Państwa organizacja podlega NIS2, potwierdzi właściwy organ krajowy lub doradca prawny.

Nie. NetSenX śledzi terminy z art. 23 dla każdego incydentu, przechowuje alerty i dziennik audytu, na których opiera się zgłoszenie, oraz przygotowuje dla inspektora ochrony danych zgłoszenie naruszenia zgodnie z art. 33 RODO; zgłoszenia do CSIRT lub właściwego organu składa Państwa organizacja.

Zgodnie z art. 34 dyrektywy (UE) 2022/2555 państwa członkowskie muszą przewidzieć kary maksymalne w wysokości co najmniej 10 mln EUR lub 2% całkowitego światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa, dla podmiotów kluczowych oraz co najmniej 7 mln EUR lub 1,4% dla podmiotów ważnych. To dolne granice kary maksymalnej, a nie kwota, którą ktoś faktycznie zapłaci: prawo krajowe określa dokładne kwoty, za jakie naruszenia grożą kary i procedurę, a organy biorą pod uwagę m.in. wagę i czas trwania naruszenia oraz współpracę firmy. Niemcy na przykład przewidują w § 65 BSIG do 10 mln EUR lub 7 mln EUR, a dla podmiotów z całkowitym obrotem powyżej 500 mln EUR do 2% lub 1,4% obrotu światowego. Kwoty obowiązujące Twoją firmę trzeba sprawdzić w prawie własnego kraju.

Organ zarządzający. Art. 20 NIS2 wymaga, by organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem cyberbezpieczeństwa, nadzorowały ich wdrażanie i odpowiadały za naruszenia, a ich członkowie odbywali szkolenia. W praktyce zarząd nie może przerzucić tej odpowiedzialności na IT ani na dostawcę, nawet jeśli pracę wykonują inni: zatwierdza środki, otrzymuje regularne raporty i musi umieć wykazać, że nadzór się odbywał. Szczegóły dodaje prawo krajowe. W Niemczech na przykład § 38 BSIG zobowiązuje kierownictwo do wdrażania środków i nadzoru nad nimi, przewiduje jego odpowiedzialność wobec spółki według prawa spółek i wymaga regularnych szkoleń. Do codziennego prowadzenia programu warto wyznaczyć konkretną osobę, a z każdego przeglądu sporządzać protokół.

Zwykle nie bezpośrednio, ale są wyjątki i może dotknąć Cię przez klientów. NIS2 co do zasady obejmuje podmioty z wymienionych sektorów, które są co najmniej średnimi przedsiębiorstwami według definicji UE, czyli w uproszczeniu zatrudniają 50 lub więcej osób albo mają roczny obrót i sumę bilansową, obie powyżej 10 mln EUR. Art. 2 ust. 2 obejmuje niektóre podmioty niezależnie od wielkości, na przykład dostawców publicznych usług komunikacji elektronicznej, dostawców usług zaufania, rejestry domen najwyższego poziomu i dostawców usług DNS oraz podmioty uznane przez państwo członkowskie za krytyczne. Warto też sprawdzić, czy grupa nie liczy się jako jedno przedsiębiorstwo, bo dane przedsiębiorstw partnerskich i powiązanych mogą się sumować. Nawet poza zakresem trzeba spodziewać się ankiet, bo klienci objęci NIS2 muszą zarządzać ryzykiem dostawców zgodnie z art. 21. Ostatnie słowo ma prawo krajowe i właściwy organ.

Tak, może. NIS2 mierzy wielkość według unijnej definicji małych i średnich przedsiębiorstw (zalecenie Komisji 2003/361/WE), w której liczbę pracowników, obrót i sumę bilansową przedsiębiorstw partnerskich i powiązanych co do zasady dolicza się do danych samej firmy. Spółka zależna zatrudniająca 30 osób w dużej grupie może więc liczyć się jako duża i podlegać dyrektywie, jeśli działa w wymienionym sektorze. Prawo krajowe może to łagodzić: niemiecki § 28 ust. 4 BSIG na przykład nie dolicza danych grupy, jeśli firma jest niezależna od przedsiębiorstw partnerskich lub powiązanych pod względem budowy i działania swoich systemów IT. Warto rozpisać każdy podmiot w grupie, jego sektor i dane grupowe, sprawdzić przepisy krajowe w każdym państwie, w którym działa, i zapisać wynik.

Nie do samej ustawy, chyba że sami podlegacie, ale w praktyce trzeba będzie spełnić wymagania klienta. Art. 21 ust. 2 lit. d) zobowiązuje podmioty objęte dyrektywą do zapewnienia bezpieczeństwa łańcucha dostaw, w tym aspektów bezpieczeństwa relacji z bezpośrednimi dostawcami i usługodawcami, a art. 21 ust. 3 każe im uwzględniać podatności i praktyki cyberbezpieczeństwa każdego bezpośredniego dostawcy. Klient wyśle więc ankiety, poprosi o dowody i wpisze do umowy klauzule o bezpieczeństwie i zgłaszaniu incydentów. Trzeba odpowiadać zgodnie z prawdą, dokumentować to, co jest, i negocjować obowiązki dopasowane do wielkości firmy. Postanowienia umowy wiążą, nawet gdy dyrektywa nie. NetSenX pomaga przy jednym powracającym pytaniu, o wykrywanie włamań: daje wykrywanie sieciowe w każdym planie, także Free, historię alertów i dziennik audytu do pokazania, z danymi klientów przechowywanymi w UE.

Ogólnie czterech rzeczy. Po pierwsze nadzoru: organ zarządzający zatwierdza środki cyberbezpieczeństwa, nadzoruje je i odbywa szkolenia (art. 20). Po drugie zarządzania ryzykiem: odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych opartych na podejściu uwzględniającym wszystkie zagrożenia, obejmujących co najmniej dziesięć obszarów z art. 21 ust. 2, od analizy ryzyka i obsługi incydentów po kopie zapasowe, łańcuch dostaw, kryptografię, kontrolę dostępu i uwierzytelnianie wieloskładnikowe. Po trzecie zgłaszania: poważne incydenty trafiają do CSIRT lub właściwego organu etapami, wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca (art. 23). Po czwarte rejestracji i nadzoru według prawa krajowego. Proporcjonalne znaczy dopasowane do wielkości i narażenia firmy. NetSenX pomaga w wykrywaniu, dowodach incydentów i śledzeniu terminów; reszta to Twój program.

Art. 21 ust. 2 wymienia minimalne obszary, które musi objąć każdy podmiot podlegający dyrektywie. Prostymi słowami: polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych; obsługa incydentów; ciągłość działania, w tym zarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe; bezpieczeństwo łańcucha dostaw; bezpieczeństwo przy nabywaniu, rozwijaniu i utrzymaniu systemów, w tym obsługa i ujawnianie podatności; polityki oceny skuteczności środków; podstawowa cyberhigiena i szkolenia; polityki stosowania kryptografii i, gdzie stosowne, szyfrowania; bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami; uwierzytelnianie wieloskładnikowe lub ciągłe, zabezpieczona komunikacja głosowa, wideo i tekstowa oraz, gdzie stosowne, zabezpieczona łączność alarmowa. Każdy środek ma być odpowiedni i proporcjonalny do ryzyka. Przepisy krajowe powtarzają tę listę; w Niemczech to § 30 ust. 2 BSIG. NetSenX wspiera obsługę incydentów i dowody skuteczności, a nie całą listę.

Głównie sposobem nadzoru i wysokością kar maksymalnych, a nie samymi obowiązkami. Oba rodzaje muszą stosować środki zarządzania ryzykiem z art. 21 i zgłaszać poważne incydenty zgodnie z art. 23. Według art. 3 podmioty kluczowe to w uproszczeniu duże firmy z sektorów z załącznika I oraz niektóre podmioty niezależnie od wielkości, na przykład kwalifikowani dostawcy usług zaufania, rejestry domen najwyższego poziomu i dostawcy usług DNS, a także podmioty wskazane przez państwo członkowskie; podmioty ważne to pozostałe podmioty z załączników I i II objęte dyrektywą. Podmioty kluczowe podlegają nadzorowi uprzedzającemu, z możliwymi w każdej chwili inspekcjami i audytami (art. 32), a ważne nadzorowi następczemu, gdy pojawią się oznaki naruszeń (art. 33). Kary maksymalne różnią się zgodnie z art. 34. Ustawy krajowe używają własnych nazw; w Polsce trzeba sprawdzić ustawę o krajowym systemie cyberbezpieczeństwa.

Osiemnaście sektorów w dwóch załącznikach. Załącznik I, sektory o wysokim znaczeniu krytycznym, obejmuje energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT dla klientów biznesowych (dostawców usług zarządzanych i zarządzanych usług bezpieczeństwa), administrację publiczną i przestrzeń kosmiczną. Załącznik II, inne sektory krytyczne, obejmuje usługi pocztowe i kurierskie, gospodarowanie odpadami, chemikalia, produkcję i dystrybucję żywności, produkcję (wyrobów medycznych; komputerów, wyrobów elektronicznych i optycznych; urządzeń elektrycznych; maszyn; pojazdów silnikowych; pozostałego sprzętu transportowego), dostawców usług cyfrowych (internetowe platformy handlowe, wyszukiwarki i serwisy społecznościowe) oraz badania naukowe. Każdy sektor dzieli się na rodzaje podmiotów, więc trzeba czytać dokładne brzmienie dla swojej działalności, a nie tylko nazwę sektora. O tym, czy konkretna firma podlega dyrektywie, decydują potem progi wielkości i wybory krajowe.

Mogą, w sposób określony prawem krajowym. Art. 20 ust. 1 wymaga od państw członkowskich zapewnienia, by organy zarządzające podmiotów kluczowych i ważnych mogły ponosić odpowiedzialność za naruszenie obowiązku zatwierdzania środków cyberbezpieczeństwa i nadzoru nad nimi. W przypadku podmiotów kluczowych art. 32 pozwala też organom, w ostateczności, wystąpić o czasowy zakaz pełnienia funkcji kierowniczych przez daną osobę, jeśli nakazane środki nie zostaną wdrożone. Odpowiedzialność wygląda w praktyce różnie w zależności od kraju: Niemcy na przykład przewidują odpowiedzialność kierownictwa wobec spółki za zawinioną szkodę według prawa spółek (§ 38 ust. 2 BSIG) i dopuszczają czasowy zakaz dla nierzetelnych członków kierownictwa podmiotów szczególnie ważnych (§ 61 ust. 9). Trzeba sprawdzić prawo krajowe, polisę D&O i prowadzić protokoły pokazujące, że zarząd zatwierdzał i przeglądał środki.

Tak, dla członków organów zarządzających podmiotów objętych dyrektywą; częstotliwość pozostawiono prawu krajowemu. Art. 20 ust. 2 wymaga, by ci członkowie odbywali szkolenia, dzięki którym zdobędą wiedzę i umiejętności pozwalające rozpoznawać ryzyka i oceniać praktyki zarządzania ryzykiem cyberbezpieczeństwa oraz ich wpływ na usługi świadczone przez podmiot, i zachęca do regularnego oferowania podobnych szkoleń pracownikom. NIS2 nie określa liczby godzin ani certyfikatów. Prawo krajowe dodaje szczegóły: niemiecki § 38 ust. 3 BSIG na przykład wymaga od kierownictwa regularnego udziału w szkoleniach. Rozsądny program obejmuje zagrożenia, obraz ryzyka firmy, obowiązki zarządu i terminy zgłoszeń oraz ćwiczenie sztabowe. Listy obecności i materiały warto przechowywać jako dowód. NetSenX nie prowadzi szkoleń; jego alerty pisane prostym językiem mogą posłużyć jako realistyczne przykłady.

Środki zarządzania ryzykiem cyberbezpieczeństwa, które podmiot stosuje zgodnie z art. 21, a do tego muszą nadzorować ich wdrażanie. W praktyce zarząd zatwierdza krótki zestaw dokumentów i decyzji: ocenę ryzyka i wynikające z niej priorytety, polityki bezpieczeństwa obejmujące dziesięć obszarów z art. 21 ust. 2, procedurę obsługi i zgłaszania incydentów, plan ciągłości działania i kopii zapasowych, podejście do bezpieczeństwa dostawców oraz budżet i właścicieli każdego obszaru. Zatwierdzenie to nie jeden podpis: zarząd powinien regularnie otrzymywać raporty o tym, czy środki działają, decydować o lukach i zapisywać decyzje. Warto żądać dowodów, a nie tylko polityk, na przykład testów odtworzenia, zasięgu monitoringu i rejestru incydentów. NetSenX dostarcza dowody dla wykrywania i obsługi incydentów w sieci; zatwierdzenie reszty pozostaje zadaniem zarządu.

Prosząc o testy i wyniki, a nie o opisy. Sama NIS2 wymienia wśród wymaganych obszarów polityki i procedury oceny skuteczności środków (art. 21 ust. 2 lit. f). Przydatne sprawdzenia, które nie wymagają wiedzy technicznej: poprosić IT o odtworzenie prawdziwego systemu z kopii zapasowej i podanie, ile to trwało; zapytać o odsetek kont z uwierzytelnianiem wieloskładnikowym i listę wyjątków; zapytać o datę ostatniego zewnętrznego testu penetracyjnego i o to, które ustalenia są wciąż otwarte; zapytać, które segmenty sieci są monitorowane, i poprosić o pokazanie jednego niedawnego alertu i tego, co z nim zrobiono; raz w roku przeprowadzić krótkie ćwiczenie sztabowe. Odpowiedzi warto porównywać kwartał do kwartału. NetSenX daje część dotyczącą wykrywania prostym językiem: historię alertów, listę monitorowanych segmentów i dziennik audytu decyzji.

Nie. NetSenX wspiera kilka z nich i uczciwie mówi o pozostałych. Najbardziej pomaga w obsłudze incydentów (art. 21 ust. 2 lit. b): wykrywanie sieciowe beaconingu C2, skanowania, ruchu lateralnego i nietypowego wolumenu danych wychodzących w każdym planie, także Free, ze śledzeniem terminów z art. 23 NIS2 dla każdego incydentu. Dostarcza dowodów do oceny skuteczności (lit. f): historię alertów, monitorowane segmenty i dziennik audytu decyzji, z raportami PDF od planu Starter. Daje częściowy wgląd w łańcuch dostaw (lit. d), pokazując, co robią w sieci zdalne sesje dostawców, oraz w zarządzanie aktywami (lit. i) dzięki mapie sieci. Nie pisze polityk, nie robi kopii zapasowych, nie zarządza dostępem, nie wymusza uwierzytelniania wieloskładnikowego, nie szkoli ludzi ani nie obsługuje ujawniania podatności. Żadne narzędzie samo nie zapewni zgodności: zgodność z NIS2 to program organizacyjny.

Nie. Zgodność oznacza, że organizacja wdrożyła środki zarządzania ryzykiem z art. 21 pod nadzorem organu zarządzającego i zgłasza poważne incydenty zgodnie z art. 23; narzędzie może wspierać część tej pracy, ale jej za firmę nie wykona. Rejestracja to odrębny krok prawny: jeśli firma podlega dyrektywie, przekazuje swoje dane właściwemu organowi w trybie określonym przez prawo krajowe, na przykład w Niemczech przez rejestrację w BSI na podstawie § 33 BSIG, i żaden dostawca nie zrobi tego w Twoim imieniu, sprzedając oprogramowanie. Ostrożnie z produktami reklamowanymi jako gwarancja zgodności. NetSenX wspiera wykrywanie, dowody incydentów i śledzenie terminów NIS2 oraz mówi, czego nie robi; ocena, czy firma podlega przepisom, i rejestracja pozostają po Twojej stronie.

Oprogramowanie pomaga w zadaniach, które wytwarzają lub analizują dane; nie podejmie decyzji, nie poniesie odpowiedzialności prawnej i samo nie zmieni zachowań. Narzędzia mogą pomóc w wykrywaniu incydentów (wykrywanie sieciowe i na stacjach końcowych), przechowywaniu dowodów i śledzeniu terminów zgłoszeń, zarządzaniu podatnościami i poprawkami, wymuszaniu uwierzytelniania wieloskładnikowego, wykonywaniu i testowaniu kopii zapasowych, prowadzeniu ewidencji aktywów i zbieraniu dowodów do audytu. Nie rozstrzygną, czy firma podlega przepisom, nie zarejestrują jej, nie zatwierdzą środków za organ zarządzający, nie ocenią, czy incydent jest poważny, nie złożą zgłoszeń, nie wynegocjują umów z dostawcami ani nie sprawią, że ludzie odbędą szkolenia. Warto zaplanować obie kolumny: narzędzia i przy każdym osobę odpowiedzialną za decyzję. NetSenX obejmuje wykrywanie sieciowe, dowody incydentów i śledzenie terminów NIS2; nigdy nie składa zgłoszeń za Ciebie.

Nie. NIS2 jest neutralna technologicznie: art. 21 wymaga odpowiednich i proporcjonalnych środków uwzględniających najnowszy stan wiedzy, odpowiednie normy i koszty wdrożenia, ale nie wskazuje żadnej kategorii produktów. W praktyce nie da się obsługiwać incydentów (art. 21 ust. 2 lit. b) ani zgłaszać ich na czas (art. 23) bez jakiegoś sposobu ich wykrywania, więc większość podmiotów łączy ochronę stacji końcowych, zbieranie logów i wykrywanie sieciowe, dopasowane do ryzyka. Prawo krajowe może być bardziej szczegółowe dla niektórych podmiotów: niemiecki § 31 ust. 2 BSIG wymaga od operatorów instalacji krytycznych stosowania systemów wykrywania ataków, a pozostałe podmioty szczególnie ważne i ważne podlegają ogólnym środkom z § 30. Narzędzia trzeba dobierać według ryzyk z oceny i dokumentować uzasadnienie.

Firma zaczyna podlegać przepisom od chwili, gdy spełnia kryteria według prawa krajowego, i zaczynają biec terminy rejestracji i wdrożenia środków. Wzrost zatrudnienia lub obrotu albo przejęcie, które czyni firmę częścią większej grupy, mogą zmienić to, czy jest średnim lub dużym przedsiębiorstwem, i do której kategorii należy. Dane trzeba sprawdzać na koniec każdego roku i przed zamknięciem każdego przejęcia, według unijnej metody liczenia pracowników, obrotu i sumy bilansowej, z uwzględnieniem przedsiębiorstw partnerskich i powiązanych. Prawo krajowe określa, kiedy zaczynają się obowiązki: w Niemczech § 33 ust. 1 BSIG wymaga rejestracji najpóźniej trzy miesiące po tym, jak podmiot po raz pierwszy lub ponownie zostaje uznany za szczególnie ważny lub ważny. Środki zarządzania ryzykiem warto zbudować przed przekroczeniem progu, a nie po, a bezpieczeństwo przejmowanej firmy uwzględnić w due diligence.

W większości krajów najpierw oceniasz to sam, według kryteriów prawa krajowego, a organ może wynik potwierdzić lub skorygować. NIS2 wyznacza ramy: sektor i rodzaj podmiotu z załącznika I lub II, wielkość według definicji UE oraz wyjątki stosowane niezależnie od wielkości (art. 2). Państwa członkowskie muszą sporządzić wykaz podmiotów kluczowych i ważnych (art. 3 ust. 4) i w praktyce zwykle polegają na tym, że firmy same się zgłoszą; niektóre też zawiadamiają firmy, które uznają za objęte przepisami. W Niemczech BSI może samo zarejestrować podmiot, który tego nie zrobił (§ 33 ust. 3 BSIG). Dlatego warto udokumentować ocenę: działalność, przypisanie do sektora, dane grupy, wniosek i to, kto go zatwierdził. Jeśli wynik jest niejasny, trzeba zapytać właściwy organ lub prawnika. Dostawca nie podejmie tej decyzji za firmę.

Zwykle tak, jeśli firma podlega dyrektywie, w organie wskazanym przez prawo krajowe. Art. 3 ust. 4 NIS2 wymaga od państw członkowskich sporządzenia wykazu podmiotów kluczowych i ważnych oraz zobowiązania podmiotów do przekazania co najmniej nazwy, adresu i aktualnych danych kontaktowych, w tym adresów e-mail, zakresów IP i numerów telefonów, państwa członkowskiego oraz sektora i podsektora. Niektórzy dostawcy cyfrowi, jak dostawcy DNS i chmury, centra danych, dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa, rejestrują się na podstawie art. 27 w państwie głównej siedziby. Procedura i termin są krajowe: w Niemczech § 33 BSIG wymaga rejestracji w BSI w ciągu trzech miesięcy od uzyskania statusu podmiotu, a zgłaszania zmian w ciągu dwóch tygodni. W Polsce trzeba sprawdzić znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa. Potwierdzenie rejestracji warto zachować.

Bo NIS2 czyni ich odpowiedzialnymi za bezpieczeństwo łańcucha dostaw. Art. 21 ust. 2 lit. d) wymaga od podmiotów objętych dyrektywą zapewnienia bezpieczeństwa łańcucha dostaw, w tym aspektów bezpieczeństwa relacji z bezpośrednimi dostawcami i usługodawcami, a art. 21 ust. 3 każe uwzględniać podatności, jakość produktów i praktyki cyberbezpieczeństwa każdego dostawcy. Ich audytorzy i organy zapytają, jak to zrobili, a ankieta jest zwykle pierwszym krokiem, po którym często przychodzą klauzule umowne o środkach bezpieczeństwa, zgłaszaniu incydentów i prawie do audytu. Warto traktować to jak pytanie sprzedażowe: szybka, uczciwa i udokumentowana odpowiedź pomaga zatrzymać klienta. Dobrze mieć gotowy standardowy pakiet odpowiedzi: polityki, ewentualne certyfikaty, obsługę incydentów, lokalizację danych i monitoring. NetSenX w każdym planie daje dowody do części dotyczącej monitoringu.

Precyzyjnie: co macie, gdzie i kto reaguje. Dobra odpowiedź podaje rodzaj wykrywania (sieciowe, na stacjach końcowych lub oba), które lokalizacje i segmenty obejmuje, jak alerty docierają do człowieka i jak szybko oraz jakie dowody można przedstawić. Na przykład: wykrywanie sieciowe działa w segmentach centrali i magazynu przez sensor na porcie lustrzanym; alerty trafiają e-mailem do kierownika IT i naszego dostawcy IT; prowadzimy historię alertów i dziennik audytu decyzji; ochrona stacji końcowych działa na wszystkich laptopach i serwerach. Jeśli czegoś brakuje, na przykład dyżuru nocnego, trzeba to napisać i dodać, co robicie zamiast tego. Z NetSenX można odpowiedzieć, że wykrywanie sieciowe działa w każdym planie, z historią alertów, dziennikiem audytu, raportami PDF od planu Starter i danymi klientów przechowywanymi w UE.

Od ustalenia, czy i jak podlega przepisom, a potem od zamknięcia luk, które najbardziej zaszkodziłyby przy prawdziwym incydencie. Praktyczna kolejność: potwierdzić zakres i kategorię według prawa krajowego i zarejestrować się, jeśli trzeba; wyznaczyć właściciela na poziomie zarządu i przedstawić zarządowi jego obowiązki; spisać krytyczne systemy, dane i dostawców; upewnić się, że incydent zostałby zauważony dzięki wykrywaniu na stacjach końcowych i w sieci oraz że ktoś dostaje alerty; spisać krótką procedurę reagowania i zgłaszania zgodną z etapami 24 godzin, 72 godzin i miesiąca z art. 23; przetestować odtworzenie z kopii zapasowych; włączyć uwierzytelnianie wieloskładnikowe dla poczty, dostępu zdalnego i kont administracyjnych; potem realizować pozostałe środki z art. 21 według planu opartego na ryzyku i zatwierdzonego przez zarząd. NetSenX może pokryć kroki wykrywania i śledzenia terminów w każdym planie, także Free.

Prosto, konkretnie i regularnie, zamiast obszernie i teoretycznie. NIS2 wymaga polityk analizy ryzyka (art. 21 ust. 2 lit. a) i podejścia uwzględniającego wszystkie zagrożenia, więc oprócz ataków trzeba ująć pożar, awarię zasilania i błąd ludzki. Metoda, która działa: spisać usługi utrzymujące działalność oraz systemy, dane i dostawców, od których każda zależy; przy każdej opisać, co może pójść źle, jak bardzo jest to prawdopodobne i ile by kosztowało; zanotować istniejące zabezpieczenia i luki; uszeregować luki według skutków; uzgodnić z zarządem właścicieli i terminy dla najważniejszych. Na początek wystarczy jedna strona na krytyczną usługę. Ocenę warto przeglądać co roku i po każdym incydencie lub dużej zmianie. NetSenX nie przeprowadzi oceny, ale jego alerty i mapa sieci pokazują, które ryzyka naprawdę występują w sieci.

Trzeba sprawdzić stronę rządu lub krajowego organu ds. cyberbezpieczeństwa, bo odpowiedź różni się między krajami i zmienia się w czasie. NIS2 jest dyrektywą, więc obowiązuje firmy przez ustawy krajowe; art. 41 wyznaczył termin, do którego państwa członkowskie miały je przyjąć, a kilka się spóźniło. Niemiecka ustawa NIS2UmsuCG przebudowała ustawę o BSI (BSIG); inne państwa uchwaliły lub wciąż uchwalają własne akty, często z innymi nazwami, organami, portalami rejestracji i szczegółami. W Polsce chodzi o nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Dopóki ustawa krajowa nie obowiązuje, jej obowiązki, terminy i kary nie wiążą w ten sam sposób, ale klienci i ubezpieczyciele mogą już oczekiwać środków na poziomie NIS2, a wcześniejsze krajowe przepisy mogą nadal obowiązywać. Warto planować na bazie dyrektywy i dostosować się, gdy ustawa będzie ostateczna.

Wymienia je jako wymagany obszar, gdzie jest to stosowne. Art. 21 ust. 2 lit. j) obejmuje stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonej komunikacji głosowej, wideo i tekstowej oraz zabezpieczonych systemów łączności alarmowej w podmiocie, gdzie jest to stosowne. „Gdzie stosowne” zostawia miejsce na decyzję opartą na ryzyku, ale dla kont, w które atakujący celują najczęściej, trudno uzasadnić brak MFA: poczta, dostęp zdalny i VPN, konta administratorów, konsole chmurowe, systemy kopii zapasowych i aplikacje finansowe. Od nich warto zacząć, w miarę możliwości używać aplikacji uwierzytelniających lub kluczy sprzętowych zamiast SMS, objąć też konta dostawców usług i prowadzić listę udokumentowanych wyjątków z uzasadnieniem każdego. Ubezpieczyciele zwykle pytają o te same konta. NetSenX sam oferuje uwierzytelnianie dwuskładnikowe w każdym planie; nie zarządza MFA w innych systemach.

Wymaga polityk i procedur dotyczących stosowania kryptografii i, gdzie stosowne, szyfrowania (art. 21 ust. 2 lit. h). Oznacza to pisemne ustalenie, gdzie i jak firma używa szyfrowania: dla danych w transmisji (TLS dla stron, poczty i dostępu zdalnego), dla danych przechowywanych (szyfrowanie dysków w laptopach, szyfrowane kopie zapasowe i bazy danych) oraz w zarządzaniu kluczami i certyfikatami, z określeniem, kto ma do nich dostęp i jak są odnawiane. Wybory warto opierać na aktualnych zaleceniach krajowego organu lub ENISA i prowadzić ewidencję miejsc użycia kryptografii, żeby móc wymienić słabe algorytmy, gdy zmienią się wytyczne. NetSenX analizuje metadane ruchu i nigdy go nie odszyfrowuje; tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN albo TAP, odczytuje uzgadnianie TLS, co pomaga pokazać, które połączenia używają słabego lub przestarzałego szyfrowania.

Tak. Art. 21 ust. 2 lit. c) wymienia wśród minimalnych środków ciągłość działania, w tym zarządzanie kopiami zapasowymi i odtwarzanie po awarii, oraz zarządzanie kryzysowe. W praktyce podmiot objęty dyrektywą powinien umieć pokazać: które usługi i systemy są krytyczne i jak długo mogą nie działać; kopie zapasowe tych systemów, przechowywane tak, by atakujący kontrolujący sieć nie mógł ich usunąć ani zaszyfrować, na przykład offline lub niezmienialne; testy odtworzenia z zapisanymi wynikami i czasami; kolejność odtwarzania; plan kryzysowy z rolami, listami kontaktów na papierze i sposobem komunikacji bez firmowej poczty. Warto ćwiczyć to co najmniej raz w roku. O dowody z testów odtworzenia pytają zarówno organy nadzoru, jak i ubezpieczyciele. NetSenX niczego nie archiwizuje ani nie odtwarza; może zgłosić alert, gdy urządzenie zaczyna sięgać do wielu udziałów plików lub wysyłać dane na zewnątrz, co często poprzedza zablokowanie systemów przez ransomware.

Że podmioty objęte dyrektywą muszą zarządzać ryzykiem bezpieczeństwa pochodzącym od dostawców i usługodawców. Art. 21 ust. 2 lit. d) obejmuje bezpieczeństwo łańcucha dostaw, w tym aspekty bezpieczeństwa relacji między podmiotem a jego bezpośrednimi dostawcami lub usługodawcami, a art. 21 ust. 3 wymaga uwzględnienia podatności właściwych dla każdego bezpośredniego dostawcy, ogólnej jakości produktów i praktyk cyberbezpieczeństwa dostawców, w tym procedur bezpiecznego wytwarzania. Art. 22 dodaje skoordynowane unijne oceny ryzyka krytycznych łańcuchów dostaw. W praktyce: prowadzić listę dostawców z dostępem do systemów lub danych, uszeregować ich według ryzyka, prosić tych z wyższym ryzykiem o dowody, wpisywać do umów klauzule o bezpieczeństwie i zgłaszaniu incydentów, ograniczać i monitorować ich dostęp oraz co roku to przeglądać. NetSenX pokazuje, co zdalne sesje dostawców robią w sieci, i zgłasza alert, gdy rozprzestrzeniają się na inne urządzenia.

Tak, jako część wymaganego obszaru. Art. 21 ust. 2 lit. i) obejmuje bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami, a trudno chronić, aktualizować lub odtwarzać systemy, o których istnieniu się nie wie. Przydatna ewidencja podaje dla każdego urządzenia, systemu i usługi chmurowej: czym jest, gdzie działa, kto jest właścicielem, jak bardzo jest krytyczny, jakie dane przechowuje i czy jest wspierany i aktualizowany. Aktualność zapewnia łączenie źródeł: zarządzania urządzeniami, dokumentów zakupu, kont chmurowych i tego, co naprawdę widać w sieci. Nieznane urządzenia to częste odkrycie, od starych serwerów po małe komputery wpięte w gniazdko. W każdym planie mapa sieci NetSenX wymienia urządzenia widoczne w monitorowanych segmentach z ogłaszanymi nazwami i datą pierwszego i ostatniego pojawienia się, co pomaga znaleźć to, czego nie ma w papierowej ewidencji.

Właściwy organ wskazany w prawie krajowym, często krajowa agencja cyberbezpieczeństwa lub regulator sektorowy. Art. 32 i 33 dają organom uprawnienia nadzorcze i egzekucyjne: kontrole na miejscu i nadzór zdalny, regularne, ukierunkowane i doraźne audyty, skanowanie bezpieczeństwa, żądania informacji i dowodów wdrożenia środków, wiążące polecenia i nakazy usunięcia uchybień, nakazy informowania klientów o zagrożeniach oraz kary pieniężne. Podmioty kluczowe mogą być nadzorowane uprzedzająco w każdej chwili, a ważne zwykle następczo, gdy pojawią się oznaki naruszeń. W Niemczech te uprawnienia ma BSI na podstawie § 61 i 62 BSIG, łącznie z nakazem audytu przez niezależne podmioty. Warto przygotować się, utrzymując aktualną dokumentację, by odpowiedzieć na żądanie w dniach, a nie miesiącach.

Może, jeśli świadczą usługi w UE. NIS2 stosuje się do podmiotów, które świadczą usługi lub prowadzą działalność w Unii (art. 2), a art. 26 określa, które państwo członkowskie ma jurysdykcję: co do zasady to, w którym podmiot ma siedzibę, ze szczególnymi zasadami dla dostawców publicznej komunikacji elektronicznej, administracji publicznej i niektórych dostawców cyfrowych, jak dostawcy DNS i chmury, centra danych, dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa, internetowe platformy handlowe, wyszukiwarki i serwisy społecznościowe, którzy podlegają państwu głównej siedziby w UE. Dostawca takich usług cyfrowych bez siedziby w UE, ale oferujący tam usługi, musi wyznaczyć przedstawiciela w państwie członkowskim. Firmy spoza UE spoza tych kategorii stykają się z NIS2 zwykle przez wymagania, jakie stawiają dostawcom ich unijni klienci.

Dowodów, że środki istnieją, są zatwierdzone przez zarząd i naprawdę działają. Należy spodziewać się żądań: oceny zakresu i potwierdzenia rejestracji; analizy ryzyka i polityk bezpieczeństwa obejmujących obszary z art. 21 ust. 2; protokołów pokazujących, że organ zarządzający je zatwierdził i przeglądał, oraz zapisów szkoleń zarządu; procedury obsługi incydentów i rejestru incydentów, ze złożonymi zgłoszeniami i ich terminami; wyników kopii zapasowych i testów odtworzenia; listy dostawców z umowami i ocenami; stanu kontroli dostępu i uwierzytelniania wieloskładnikowego; wyników audytów, testów penetracyjnych i późniejszych poprawek. Prawo niemieckie na przykład wymaga dokumentowania spełniania obowiązków zarządzania ryzykiem (§ 30 ust. 1 BSIG). NetSenX dostarcza dowodów incydentów: alertów z czasem, urządzeniami i miejscami docelowymi, terminów NIS2 dla każdego incydentu, dziennika audytu decyzji i, od planu Starter, raportów PDF.

To akt Komisji określający szczegółowe wymogi techniczne i metodologiczne dla środków z art. 21 w odniesieniu do niektórych podmiotów cyfrowych oraz definiujący, kiedy incydent u nich jest poważny. Dotyczy dostawców usług DNS, rejestrów domen najwyższego poziomu, dostawców usług chmurowych, dostawców usług centrów danych, sieci dostarczania treści, dostawców usług zarządzanych, dostawców zarządzanych usług bezpieczeństwa, internetowych platform handlowych, wyszukiwarek internetowych, platform serwisów społecznościowych i dostawców usług zaufania. Dla nich rozporządzenie, stosowane bezpośrednio bez wdrażania do prawa krajowego, opisuje, co musi zawierać każdy środek, od zarządzania ryzykiem i obsługi incydentów po kontrolę dostępu i kryptografię. Prawo niemieckie to odzwierciedla: § 30 ust. 3 BSIG daje temu aktowi wykonawczemu pierwszeństwo dla tych rodzajów podmiotów. Jeśli firma do nich nie należy, to i tak przydatna, konkretna lista kontrolna do uporządkowania własnych środków, a klienci dostawców usług zarządzanych często oczekują, że dostawcy będą jej przestrzegać.

Nazwami, organami, procedurami i częścią szczegółów, przy wspólnym rdzeniu. Każda ustawa krajowa musi zawierać to, co najważniejsze w dyrektywie: sektory i zasady wielkości, środki z art. 21, obowiązki organów zarządzających, etapowe zgłaszanie z art. 23 i kary co najmniej na poziomie art. 34. Spotykane różnice to: kto jest właściwym organem i CSIRT i jak się z nimi kontaktować; portal rejestracji i jego terminy; czy zakres obejmuje więcej podmiotów, na przykład część instytucji publicznych lub mniejsze firmy; dodatkowe wymagania krajowe, jak niemieckie systemy wykrywania ataków dla instalacji krytycznych (§ 31 ust. 2 BSIG) albo wyznaczony pełnomocnik ds. bezpieczeństwa; procedura i faktyczna wysokość kar. Firma działająca w kilku krajach powinna przypisać każdą spółkę do jej prawa krajowego i organu oraz sprawdzić prawo każdego kraju, bo o wszystkim decydują lokalne pojęcia i terminy.