Știrile legate de breșe de date ce afectează datele sensibile sau confidențiale ale companiilor sunt din ce în ce mai dese. În fiecare zi, mii de organizații suferă din cauza breșelor de securitate cibernetică, din acest motiv organizațiile guvernamentale din întreaga lume caută să definească și să consolideze cadrul de securitate ale sistemelor IT. Efectul urmărit este sporirea rezilienței atât a entităților publice, cât și a celor private, iar punerea în aplicare în această toamnă a Network and Information System Directive 2 (NIS2) – Directiva 2 a Uniunii Europene privind rețelele și sistemele informatice reprezintă un progres semnificativ față de inițiativele anterioare.

NIS2 se remarcă prin amploarea domeniilor acoperite și prin accentul pe protejarea infrastructurii critice, în contrast cu alte standarde de securitate. Deși cadre precum NIST CSF sunt recunoscute pentru bunele practici, ele nu dispun de nivelul de supraveghere și de cerințele stricte de raportare impuse de NIS2. Reglementări precum GDPR se concentrează pe protecția datelor personale, dar nu abordează reziliența operațională a sectoarelor critice. NIS2 completează, de asemenea, standarde ca ISO 27001, care se limitează la securitatea informațiilor pentru anumite industrii. Astfel, NIS2 acoperă o gamă mai largă de sectoare și impune un cadru uniform de securitate cibernetică la nivelul întregii Uniuni Europene, garantând protecția datelor și reziliența împotriva amenințărilor cibernetice.

Impactul asupra Afacerilor

Noua directivă extinde domeniul de aplicare la peste 100.000 de entități, semnificativ mai mult decât în versiunea anterioară. Aceasta introduce două categorii de organizații: Entități Esențiale, care includ sectoare precum energia, sănătatea și infrastructura digitală, și Entități Importante, care acoperă industrii precum producția de alimente, serviciile poștale și gestionarea deșeurilor. Aceste entități trebuie să implementeze măsuri de securitate cibernetică mai riguroase, îmbunătățind reziliența și capacitățile de reacție la nivelul UE. Noua directivă asigură o protecție mai cuprinzătoare a industriilor-cheie și îmbunătățește coordonarea și supravegherea eforturilor de securitate cibernetică.

În plus, dacă o organizație are sediul în afara UE, dar oferă servicii critice pe teritoriul statelor membre UE, Directiva NIS2 se aplică și în cazul acestora, deoarece directiva își extinde domeniul de aplicare pentru a acoperi entitățile din afara UE care furnizează servicii esențiale sau importante în UE. Aceasta înseamnă că întreprinderile ar trebui să respecte măsurile de securitate cibernetică mai stricte sugerate în noile directive pentru a asigura securitatea și reziliența serviciilor furnizate pe piața UE.

Diferențele dintre directive și reglementări

În Uniunea Europeană, directivele, cum ar fi NIS2, trebuie să fie transpuse în legislația națională de către fiecare stat membru, permițând interpretări locale. Spre deosebire de acestea, reglementările, cum ar fi GDPR, sunt obligatorii și se aplică uniform în toate statele membre. Cadrele de bune practici, precum NIST CSF și ISO 27001, nu sunt legale și nu impun obligații. Prin urmare, NIS2 completează aceste cadre prin stabilirea unor standarde mai stricte și coerente de securitate cibernetică în întreaga Uniune.

Deși directiva trebuie să fie adoptată de fiecare stat, organizațiile nu vor trebui să se conformeze imediat, deoarece termenul limită se aplică doar guvernelor. Companiile vor avea timp suplimentar pentru a se conforma odată ce legislația națională este adoptată.

Pregătirea organizațiilor pentru NIS2

NIS2 subliniază importanța unei abordări proactive în securitatea cibernetică, punând accent pe prevenirea și atenuarea riscurilor înainte de a se produce incidentele. Directiva se bazează pe patru piloni principali: responsabilitate corporativă, gestionarea riscurilor, obligațiile de raportare și continuitatea afacerii.

  1. Responsabilitatea Corporativă: Securitatea cibernetică devine o prioritate strategică la nivelul conducerii, nu doar al departamentelor IT. Liderii trebuie să își asume responsabilitatea directă pentru postura de securitate cibernetică a organizației.
  2. Gestionarea Riscurilor: Odată cu implicarea mai activă a conducerii, organizațiile trebuie să implementeze practici eficiente de gestionare a riscurilor, cum ar fi protocoalele de răspuns la incidente și securizarea lanțului de aprovizionare.
  3. Continuitatea Afacerii: NIS2 pune un accent deosebit pe planificarea continuității afacerii și a recuperării în caz de dezastru, subliniind importanța unor soluții de backup robuste. Soluțiile de backup fiabile, precum Synology, care nu numai că protejează volumele de lucru fizice și virtuale, dar asigură și recuperarea în cel mai scurt timp, sunt esențiale pentru menținerea rezilienței în peisajul actual al amenințărilor.
  4. Raportarea Rapidă a Incidentelor: Organizațiile sunt obligate să notifice autoritățile imediat după ce identifică evenimente cibernetice semnificative, facilitând un răspuns coordonat și rapid.

Timpul pentru conformare

Directiva NIS2 va întări măsurile de securitate cibernetică în sectoarele critice prin cerințe de raportare stricte și penalizări severe pentru neconformitate. Deși termenul limită de transpunere este stabilit pentru octombrie 2024, organizațiile au între 1 și 2 ani pentru a se pregăti complet. Este recomandat ca organizațiile să formeze grupuri de lucru dedicate pentru a adapta legislația NIS2 și a evalua infrastructura de securitate cibernetică și protecția datelor.