NIS2 и Cyber Resilience Act: обязанности по ИТ-безопасности в ЕС

Коротко: NIS2 обязывает многие компании к управлению рисками и сообщению о киберинцидентах; Cyber Resilience Act требует безопасности продуктов с цифровыми элементами.

Подробнее: ЕС ужесточает правила кибербезопасности. Два крупных проекта затрагивают предприятия и производителей: Директива NIS 2 (безопасность сетей и информации) и Cyber Resilience Act (CRA). Реализация в Германии и сроки развиваются, проверяйте актуальное состояние. Это общая информация, а не юридическая консультация; законы меняются, а отдельные случаи могут отличаться. При конкретных проблемах помогает консультация (консультации для потребителей, адвокат, орган по защите данных).

Подробности

NIS2: кого это касается?

Затрагиваются основные и важные субъекты во многих секторах (энергетика, транспорт, здравоохранение, вода, цифровая инфраструктура, ИТ-поставщики услуг, почтовые услуги, отходы, продукты питания, промышленность, химия и другие), обычно от размера примерно 50 работников или 10 миллионов евро оборота; некоторые поставщики (например, DNS, центры обработки данных) независимо от размера. Поставщики могут быть затронуты косвенно (цепочка поставок).

NIS2: что требуется?

• Меры управления рисками: анализ рисков, концепции безопасности, реагирование на инциденты, непрерывность бизнеса/резервное копирование, безопасность цепочки поставок, управление уязвимостями, криптография, контроль доступа, многофакторная аутентификация, обучение.
• Обязанности по сообщению: раннее предупреждение в течение 24 часов, уведомление через 72 часа, итоговый отчёт через месяц.
• Ответственность руководства (одобрение, обучение, личная ответственность).
• Регистрация в органе (BSI) и санкции (штрафы до миллионов).

Cyber Resilience Act (CRA)

CRA применяется к продуктам с цифровыми элементами (аппаратное и программное обеспечение, подключённое к сети: устройства умного дома, роутеры, приложения, IoT, коммерчески распространяемые программные библиотеки). Производители должны разрабатывать безопасно (security by design), управлять уязвимостями, предоставлять обновления в течение определённого срока (как правило, не менее 5 лет), давать информацию по безопасности и SBOM (перечень компонентов ПО) и сообщать об активно эксплуатируемых уязвимостях. Знак CE в будущем будет подтверждать и кибербезопасность. Открытый исходный код в принципе включён, если он коммерческий, с особыми правилами для фондов («steward»).

Что делать?

• Проверьте применимость (отрасль, размер, роль в цепочке поставок).
• Инвентаризация: системы, данные, поставщики.
• Создайте минимальный стандарт (BSI Grundschutz, ISO 27001, TOM).
• Определите и отработайте процесс сообщения об инцидентах.
• Свяжите поставщиков договором.
• Разработчики: практики безопасной разработки, SBOM, сообщение об уязвимостях (security.txt), процесс обновления.

Даже малые поставщики выигрывают от того, что клиенты всё чаще требуют подтверждений.

См. также: ISO 27001 и BSI Grundschutz, TOM, Закон о BSI, Ответственное раскрытие