NIS2

Резюме

NIS2 промени фундаментално представата коя организация носи отговорност за киберсигурността си пред държавата. Докато оригиналната Директива NIS засягаше сравнително тесен кръг от оператори на съществени услуги, новата рамка обхваща над петнадесет сектора и десетки хиляди компании в целия Европейски съюз — включително немалка част от българските средни и големи предприятия, които досега не са попадали под подобен режим. Разликата не е само в броя на задължените субекти. NIS2 въвежда конкретни, проверими изисквания за управление на риска, строги срокове за докладване на инциденти и лична отговорност на управителните органи. Това не е препоръка за добра практика — това е нормативно задължение с механизъм за контрол и санкции.

Работата ни с NIS2 започва там, където повечето организации се затрудняват най-много: с еднозначен отговор дали изобщо попадат в обхвата, и ако да — в коя от двете категории. Оттам преминаваме през оценка на текущото състояние спрямо конкретните изисквания на директивата и стигаме до работещи процеси за управление на риска и докладване на инциденти, които вашият екип може да прилага без постоянна външна намеса. Целта не е да получите документ, който изглежда добре при одит, а система, която реално намалява риска и издържа на проверка от компетентния орган.

Бизнес ползи

Съответствието с NIS2 често се възприема единствено като разход и административна тежест. На практика, прилагано правилно, то носи няколко директни ползи за бизнеса, отвъд самото изпълнение на нормативно изискване.

• Намален риск от престой и загуба на данни — структурираните мерки за управление на риска адресират най-честите причини за инциденти, преди те да прераснат в криза.
• По-кратко време за реакция при инцидент — предварително дефинирани процедури и роли означават часове, не дни, до овладяване на ситуацията.
• Защита на договорните отношения — все повече големи клиенти и партньори изискват доказателство за зрялост в киберсигурността като условие за сътрудничество, особено във веригата на доставка.
• Намалена лична експозиция на ръководството — директивата изисква управителните органи да одобряват и наблюдават мерките за сигурност; ясна документация на този процес намалява личния риск при евентуална проверка.
• По-добра позиция при застраховане на киберриск — застрахователите все по-често изискват демонстрируеми контроли като предпоставка за покритие или по-ниска премия.
• Реална оперативна устойчивост — плановете за непрекъснатост на бизнеса и управление при кризи, изисквани от NIS2, работят и извън контекста на киберинциденти.

Обхват

NIS2 разделя задължените организации на две категории — „съществени" и „важни" субекти — с различна интензивност на надзора, но със сходни основни задължения. Принадлежността зависи от комбинация от сектор на дейност и размер на организацията, като за определени критични дейности размерът няма значение и субектът попада в обхвата независимо от него.

Секторите, обхванати от директивата, включват:

• Енергетика — електроенергия, газ, нефт, водород и топлоенергия
• Транспорт — въздушен, железопътен, воден и автомобилен
• Банков сектор и инфраструктура на финансовите пазари
• Здравеопазване, включително производители на медицински изделия от критично значение
• Питейна вода и отпадъчни води
• Цифрова инфраструктура — доставчици на облачни услуги, центрове за данни, доставчици на доверителни услуги, оператори на DNS и други
• Управление на ИКТ услуги в модел B2B
• Публична администрация на определени нива
• Космически дейности
• Пощенски и куриерски услуги
• Управление на отпадъци
• Производство, преработка и дистрибуция на химикали
• Производство, преработка и дистрибуция на храни
• Производство на определени категории продукти — медицински изделия, компютърна и електронна техника, транспортни средства и други
• Доставчици на цифрови услуги — онлайн търговски платформи, търсачки, платформи за социални мрежи

Първата ни задача при всеки нов клиент е именно тази — да установим с точност дали организацията попада в някой от тези сектори, какъв е нейният размер спрямо праговете на директивата, и съответно дали задължението важи за нея като „съществен" или „важен" субект. Тази стъпка звучи формална, но погрешната класификация води до погрешно оразмерени — или недостатъчни — мерки надолу по веригата.

Методология

Прилагаме поетапен подход, при който всяка следваща фаза стъпва на резултатите от предишната. Това позволява на клиента да вижда напредък на всеки етап, вместо да чака месеци наред финален документ.

Фаза 1: Анализ на приложимост и класификация. Определяме дали организацията попада в обхвата на NIS2, в кой сектор и подсектор попада дейността ѝ, и дали следва да бъде третирана като съществен или като важен субект. Резултатът е писмено становище с ясна аргументация, което може да послужи и пред компетентния орган при необходимост.

Фаза 2: Оценка на текущото състояние. Преглеждаме съществуващите политики, технически контроли и организационни процеси спрямо изчерпателен списък от изисквания на директивата — управление на риска, реакция при инциденти, непрекъснатост на бизнеса, сигурност на веригата на доставка, контрол на достъпа и други. Резултатът е конкретна карта на празнините, приоритизирана по риск и по нормативна тежест, а не общ списък с препоръки.

Фаза 3: Проектиране на мерките за управление на риска. Разработваме или адаптираме политики и процедури, покриващи всички изисквани от NIS2 области — анализ на риска, обработка на инциденти, криптография, сигурност при разработка и поддръжка на системи, управление на активи, многофакторна автентикация и обучение на персонала. Мерките се проектират съобразени с реалния мащаб и ресурсите на организацията, не като копие на шаблон.

Фаза 4: Изграждане на процедура за докладване на инциденти. Проектираме работещ процес, който позволява спазване на строгите срокове на директивата — ранно предупреждение в рамките на 24 часа, уведомление за инцидент в рамките на 72 часа и финален доклад в срок от един месец. Това включва дефиниране на роли, канали за ескалация и шаблони за комуникация с компетентния орган, тествани чрез симулация преди реален инцидент.

Фаза 5: Подготовка за надзор и предаване на процеса на клиента. Подготвяме организацията за възможна проверка от компетентния орган — документация, готовност на отговорните лица, вътрешни процедури за преглед на ефективността на мерките. На този етап екипът на клиента поема самостоятелно управление на процеса, а ние оставаме на разположение при нужда от последваща подкрепа.

Резултати

Ангажиментът приключва с конкретни, използваеми резултати — не с абстрактна оценка на зрялост.

• Писмено становище за приложимост и класификация на организацията спрямо NIS2
• Карта на празнините спрямо изискванията на директивата, приоритизирана по риск
• Пълен комплект политики за управление на риска, съобразени с реалните процеси на организацията
• Работеща процедура за докладване на инциденти с ясни срокове, роли и шаблони
• Документация за одобрение и надзор на мерките от страна на управителния орган
• Готовност за проверка от компетентния орган по Закона за киберсигурността

Често задавани въпроси

Откъде да разберем дали изобщо попадаме в обхвата на NIS2?

Отправната точка е секторът на основната ви дейност — NIS2 изброява конкретни сектори и подсектори, а не общ критерий като „компания с ИТ инфраструктура". Ако дейността ви попада в някой от тези сектори, следващата стъпка е проверка на размера на организацията спрямо праговете, определени в директивата — обикновено по брой персонал и годишен оборот или баланс. Има и изключения, при които определени критични субекти попадат в обхвата независимо от размера си. Именно защото тази преценка комбинира секторна класификация, количествени прагове и изключения, препоръчваме формален анализ, вместо самостоятелна преценка по интуиция — грешна класификация в едната или другата посока създава реален риск.

Каква е разликата между „съществен" и „важен" субект и защо има значение?

Разликата не е в самите задължения за управление на риска и докладване на инциденти — те са до голяма степен еднакви и за двете категории. Разликата е в интензивността на надзора. Съществените субекти подлежат на проактивен надзор — компетентният орган може да инициира проверки без предварителен повод. При важните субекти надзорът е предимно реактивен — проверки се задействат обичайно след сигнал, инцидент или индикация за нарушение. На практика съществените субекти следва да поддържат по-високо ниво на постоянна документална готовност, защото проверка може да настъпи по всяко време.

Какъв е реалният срок, в който трябва да сме готови?

Тъй като NIS2 е директива, а не регламент, тя влиза в сила чрез национално законодателство на всяка държава членка, а не с еднаква дата в целия съюз. В България транспонирането е извършено чрез Закона за киберсигурността и свързаните с него подзаконови актове, които определят конкретните срокове, процедури по регистрация и надзорния орган на национално ниво. Тъй като редица организации все още изясняват собствения си статус на приложимост, практическият съвет е да не се чака официално уведомление — анализът на обхвата и подготовката отнемат време, а надзорните органи не правят отстъпки заради закъсняло самоопределяне.

Ако вече имаме ISO 27001, покрива ли ни това автоматично?

Внедрена система за управление на сигурността на информацията по ISO 27001 е сериозна отправна точка и покрива съществена част от очакваните от NIS2 контроли — управление на риска, контрол на достъпа, сигурност на активите. Тя обаче не замества NIS2 автоматично, по две причини. Първо, NIS2 съдържа специфични изисквания, които стандартът не адресира директно в същата форма — най-вече строгите срокове за докладване на инциденти пред конкретен национален орган. Второ, сертификацията по ISO 27001 е доброволна и потвърждава система за управление, докато NIS2 е нормативно задължение с ясно определени задължителни елементи и санкционен механизъм. На практика съществуващ ISO 27001 съкращава значително обема работа за постигане на съответствие, но не го премахва.

Какво реално се случва, ако не изпълним изискванията?

Директивата предвижда правомощия на компетентните органи да налагат надзорни мерки и финансови санкции при неизпълнение, като конкретните механизми и размери се определят от националното законодателство — в българския случай това е Законът за киберсигурността. Извън формалната санкция обаче съществува и практически риск, който често се подценява — при реален инцидент липсата на работещи процедури означава по-бавна реакция, по-голяма щета и по-труден процес по възстановяване, независимо от евентуалната глоба. За организации, работещи с по-големи партньори или в регулирани вериги на доставка, липсата на съответствие може да се превърне и в договорен проблем, тъй като партньорите все по-често изискват доказателство за спазване на NIS2 като условие за продължаване на сътрудничеството.

Трябва ли да минем през целия процес наведнъж, или можем да го разделим на етапи?

Разделянето на етапи е не само възможно, а и препоръчително за повечето организации. Анализът на приложимост и класификация е сравнително бърз и дава яснота, необходима за планиране на бюджет и ресурси за следващите стъпки. Оценката на текущото състояние и изграждането на мерките за управление на риска отнемат повече време и могат да се приоритизират по риск — най-напред областите с най-висока експозиция. Процедурата за докладване на инциденти обикновено се изгражда успоредно, тъй като зависи от изяснени роли и отговорности от предходните етапи. Поетапният подход позволява на организацията да запази контрол над темпото и бюджета, без да губи от последователността и логиката на цялостния процес.

Дъщерно дружество сме на чуждестранна група — чий закон важи за нас?

Приложимото законодателство се определя от мястото на установяване на конкретното юридическо лице, а не от седалището на майчиното дружество. Ако вашето дружество е регистрирано и оперира в България, задълженията по NIS2 за него произтичат от българския Закон за киберсигурността, независимо къде се намира централата на групата и дали групата вече е предприела мерки за съответствие на европейско или друго национално ниво. Това изненадва немалко местни поделения на международни компании, които приемат, че съответствието, постигнато централно от групата, автоматично покрива и българското дружество — на практика всяко юридическо лице, попадащо в обхвата по сектор и размер, трябва да може да демонстрира собствено съответствие пред българския компетентен орган, дори ако ползва политики и системи, споделени на ниво група. Добра новина е, че вече изградена рамка на ниво група обичайно съкращава значително обема работа — голяма част от политиките и техническите контроли могат да бъдат адаптирани към местните изисквания, вместо изградени от нулата, но самата адаптация и регистрацията пред националния орган остават самостоятелна задача на местното дружество.

Следващата стъпка

Ако все още не сте сигурни дали организацията ви попада в обхвата на NIS2, това е въпрос, на който можем да отговорим бързо и еднозначно — преди да говорим за каквото и да било друго. Ако вече знаете, че попадате в обхвата, но не сте сигурни доколко текущите ви процеси отговарят на изискванията, можем да направим оценка, която ви дава ясна карта на празнините и приоритетите, вместо общи препоръки. И в двата случая работим на етапи, с конкретни резултати след всеки от тях, а не с еднократен обемен доклад в края на процеса. Свържете се с нас, за да обсъдим конкретната ситуация на вашата организация и да определим най-подходящата отправна точка.