NIS2 – pięć kluczowych wymagań dyrektywy i jak normy ISO pomagają je spełnić

Artykuł Steve’a Durbina porządkuje wymagania NIS2 w pięć obszarów, które łącznie składają się na kompleksową architekturę cyberbezpieczeństwa organizacji.

1. Zarządzanie ryzykiem informacyjnym i ład bezpieczeństwa

Publikacja podkreśla, że NIS2 wymaga od organizacji ustanowienia klarownej struktury ładu bezpieczeństwa, na czele której stoi kierownictwo wyższego szczebla. Jak wskazuje artykuł, kierownictwo ma być odpowiedzialne za „approving, supervising and reviewing the identification, evaluation and control of cyber risks”. Co więcej, NIS2 wprowadza bezpośrednią odpowiedzialność osobistą menedżerów za naruszenia – zgodność z dyrektywą przestaje być wyłącznie zadaniem działu IT.

Artykuł zaznacza, że polityka bezpieczeństwa musi być udokumentowana i wykonalna, a oceny ryzyka powinny obejmować zarówno własne systemy ICT organizacji, jak i krytyczne usługi i produkty ICT w łańcuchu dostaw. Publikacja zwraca uwagę, że podmioty muszą identyfikować, które elementy ICT mogą podlegać skoordynowanym ocenom ryzyka na poziomie UE lub krajowym, uwzględniając czynniki zarówno techniczne, jak i pozatechniczne.

2. Zarządzanie incydentami, klasyfikacja i raportowanie

Artykuł wskazuje, że NIS2 wprowadza obowiązek raportowania incydentów o wysokim wpływie według ścisłego harmonogramu: wstępne zgłoszenie w ciągu 24 godzin od wykrycia, pełen raport w ciągu 72 godzin i raport końcowy nie później niż 30 dni po incydencie. Publikacja określa tę procedurę jako „24-72-30 NIS2 reporting doctrine”.

Zarządzanie incydentami musi być wsparte przez jasne przypisanie odpowiedzialności, sprawną komunikację, backupy i techniki odtwarzania. Artykuł podkreśla, że celem jest „better containment underpinned by transparency and speed” – lepsza izolacja incydentu, zakorzeniona w przejrzystości i szybkości działania.

3. Najlepsze praktyki cyberbezpieczeństwa

Publikacja argumentuje, że poziom zabezpieczeń organizacji musi być proporcjonalny do aktualnego krajobrazu zagrożeń. W warstwie operacyjnej nabywanie, rozwijanie i utrzymanie systemów sieciowych powinno być realizowane przez pryzmat bezpieczeństwa – z uwagą na zarządzanie podatnościami i odpowiedzialne ujawnianie luk.

Autor artykułu jednoznacznie wskazuje na podejście zero trust jako kierunek przyszłości: „The cyber security approach should trust nothing: users, devices, applications or network segments”. Wśród fundamentalnych elementów silnej ochrony publikacja wymienia segmentację sieci, bezpieczną konfigurację urządzeń, regularne aktualizacje i patching, a także – co istotne – wykorzystanie detekcji i reagowania na incydenty wspomaganego przez sztuczną inteligencję.

4. Zarządzanie ryzykiem stron trzecich

Artykuł wskazuje, że łańcuch dostaw jest kluczowym wektorem ataku i jednym z najczęstszych punktów wejścia dla cyberprzestępców. NIS2 oczekuje od organizacji aktywnego zarządzania ryzykiem cybersecurity w relacjach z dostawcami i usługodawcami. Publikacja podkreśla, że fundamentem powinny być wiążące umowy obejmujące powiadamianie o incydentach, audyty bezpieczeństwa i reguły przetwarzania danych.

Szczególną uwagę autor poświęca dostawcom wysokiego ryzyka – firmom ICT, hostingowym i zarządcom bezpieczeństwa (MSSP). Jak wskazuje artykuł, relacje z tymi podmiotami wymagają bardziej szczegółowej kontroli zarządzania tożsamością i dostępem, konfiguracji systemów oraz ochrony danych.

5. Świadomość bezpieczeństwa – od zarządu do każdego pracownika

Publikacja akcentuje, że zasoby ludzkie stanowią ważną warstwę obronną w każdej architekturze cyberbezpieczeństwa. NIS2 wymaga, by szkolenia z zakresu bezpieczeństwa objęły wszystkich pracowników – włącznie z kadrą zarządzającą. Jak podaje artykuł, ćwiczenia praktyczne symulujące popularne techniki ataków mają budować „people-led, difficult to break defensive layer” – ludzką warstwę obrony, która jest trudna do przełamania.