NIS2 reikalavimai: ką privalo turėti įmonė
NIS2 direktyva Lietuvoje įgyvendinta atnaujintu Kibernetinio saugumo įstatymu, kuris įsigaliojo 2024 m. spalio 18 d. Jei Jūsų įmonė įtraukta į Nacionalinio kibernetinio saugumo centro (NKSC) sąrašą, ji turi įgyvendinti konkrečias organizacines ir technines priemones. Žemiau – ką būtina turėti ir per kiek laiko.
Terminai
- 12 mėnesių nuo įtraukimo į NKSC sąrašą – organizaciniai kibernetinio saugumo reikalavimai (politikos, procedūros, atsakingi asmenys).
- 24 mėnesiai – techniniai reikalavimai.
- Kibernetinio saugumo auditas – ne rečiau kaip kas 3 metus.
Ar NIS2 taikomas Jūsų įmonei, galite pasitikrinti straipsnyje „Kam taikomas NIS2“.
Ką privalote turėti: 10 pagrindinių priemonių
- Rizikos vertinimas ir saugumo politika. Įvertinkite, kas gali sutrikdyti veiklą, ir patvirtinkite kibernetinio saugumo politiką vadovybės lygiu.
- Atsakingi asmenys. Paskirkite už kibernetinį saugumą atsakingą asmenį ir aiškiai paskirstykite pareigas.
- Incidentų valdymas. Turėkite planą, kaip atpažinti, suvaldyti ir pranešti apie incidentus.
- Veiklos tęstinumas ir atsarginės kopijos. Atsarginių kopijų procedūra, reguliarus atkūrimo testavimas ir veiklos tęstinumo planas. Plačiau – taisyklė 3-2-1.
- Tiekėjų saugumas. Įvertinkite IT tiekėjų ir paslaugų teikėjų riziką, saugumo reikalavimus įtraukite į sutartis.
- Saugus sistemų įsigijimas ir priežiūra. Atnaujinimų (patch) ir pakeitimų valdymas, pažeidžiamumų tvarkymas.
- Priemonių veiksmingumo vertinimas. Reguliarūs patikrinimai ir auditai, ar priemonės iš tiesų veikia.
- Kibernetinė higiena ir mokymai. Darbuotojų mokymai, pvz. kaip atpažinti sukčiavimo laiškus. Vadovai ir vadovybės nariai mokymus turi išklausyti ne rečiau kaip kas 2 metus.
- Prieigų ir turto valdymas. IT turto sąrašas, prieigų teisių peržiūra, darbuotojų išėjimo procedūra.
- Kelių veiksnių autentifikavimas ir šifravimas. MFA visiems vartotojams, saugus ryšys ir duomenų šifravimas.
Pranešimas apie incidentus
- Per 24 val. – ankstyvasis įspėjimas NKSC.
- Per 72 val. – pranešimas su pirminiu įvertinimu.
- Per 1 mėnesį – galutinė ataskaita.
Vadovybės atsakomybė ir baudos
Už reikalavimų įgyvendinimą atsako įmonės vadovas. Esminiams subjektams gresia baudos iki 10 mln. € arba 2 % pasaulinės metinės apyvartos, svarbiems – iki 7 mln. € arba 1,4 % apyvartos (taikoma didesnė suma). Galimos ir kitos sankcijos, pvz. laikinas vadovo nušalinimas.
Nuo ko pradėti
- Pasitikrinkite, ar esate NKSC sąraše ir kokia Jūsų kategorija.
- Atlikite esamos būklės ir spragų analizę.
- Parenkite trūkstamas politikas ir procedūras, tada – technines priemones.
Greitam įsivertinimui pasinaudokite nemokama NIS2 savitikra. Jei reikia pagalbos, Blitz IT teikia NIS2 atitikties paslaugas: nuo audito iki parengtų procedūrų ir įdiegtų priemonių.
Šis straipsnis yra informacinio pobūdžio ir nėra teisinė konsultacija. Tikslius reikalavimus nustato Kibernetinio saugumo įstatymas ir jį įgyvendinantys teisės aktai.