NIS2 і Cyber Resilience Act: обов’язки з ІТ-безпеки в ЄС

Коротко: NIS2 зобов’язує багато компаній до управління ризиками та повідомлення про кіберінциденти; Cyber Resilience Act вимагає безпеки продуктів з цифровими елементами.

Докладніше: ЄС посилює правила кібербезпеки. Два великі проєкти зачіпають підприємства та виробників: Директива NIS 2 (безпека мереж та інформації) і Cyber Resilience Act (CRA). Реалізація в Німеччині та строки розвиваються, перевіряйте актуальний стан. Це загальна інформація, а не юридична консультація; закони змінюються, а окремі випадки можуть відрізнятися. За конкретних проблем допомагає консультація (консультації для споживачів, адвокат, орган із захисту даних).

Подробиці

NIS2: кого це стосується?

Зачіпаються основні та важливі суб’єкти у багатьох секторах (енергетика, транспорт, охорона здоров’я, вода, цифрова інфраструктура, ІТ-постачальники послуг, поштові послуги, відходи, харчові продукти, промисловість, хімія та інші), зазвичай від розміру приблизно 50 працівників або 10 мільйонів євро обігу; деякі постачальники (наприклад, DNS, центри обробки даних) незалежно від розміру. Постачальники можуть бути зачеплені опосередковано (ланцюг постачання).

NIS2: що вимагається?

• Заходи управління ризиками: аналіз ризиків, концепції безпеки, реагування на інциденти, безперервність бізнесу/резервне копіювання, безпека ланцюга постачання, управління вразливостями, криптографія, контроль доступу, багатофакторна автентифікація, навчання.
• Обов’язки повідомлення: раннє попередження протягом 24 годин, повідомлення через 72 години, підсумковий звіт через місяць.
• Відповідальність керівництва (схвалення, навчання, особиста відповідальність).
• Реєстрація в органі (BSI) і санкції (штрафи до мільйонів).

Cyber Resilience Act (CRA)

CRA застосовується до продуктів з цифровими елементами (апаратне й програмне забезпечення, підключене до мережі: пристрої розумного дому, роутери, застосунки, IoT, комерційно поширювані програмні бібліотеки). Виробники мають розробляти безпечно (security by design), керувати вразливостями, надавати оновлення протягом певного строку (як правило, щонайменше 5 років), давати інформацію з безпеки та SBOM (перелік компонентів ПЗ) і повідомляти про активно експлуатовані вразливості. Знак CE в майбутньому підтверджуватиме й кібербезпеку. Відкритий вихідний код у принципі включений, якщо він комерційний, з особливими правилами для фондів («steward»).

Що робити?

• Перевірте застосовність (галузь, розмір, роль у ланцюгу постачання).
• Інвентаризація: системи, дані, постачальники.
• Створіть мінімальний стандарт (BSI Grundschutz, ISO 27001, TOM).
• Визначте та відпрацюйте процес повідомлення про інциденти.
• Зв’яжіть постачальників договором.
• Розробники: практики безпечної розробки, SBOM, повідомлення про вразливості (security.txt), процес оновлення.

Навіть малі постачальники виграють від того, що клієнти дедалі частіше вимагають підтверджень.

Див. також: ISO 27001 і BSI Grundschutz, TOM, Закон про BSI, Відповідальне розкриття