Новата директива Директива (ЕС) 2022/2555 – NIS2, която актуализира предишната NIS, цели да подобри киберсигурността в ЕС. Основните новости включват разширен обхват на регулираните сектори, по-строги изисквания за управление на риска, засилени механизми за сътрудничество между държавите членки и по-високи санкции от неспазването и.
В допълнение към вече съществуващите сектори, като енергетика, транспорт и здравеопазване, сега са включени 18 други сектора с множество подсектори които попадат в обхвата на NIS2. Те са разделени в две категории:
- Сектори с висока степен на критичност (включително подсектори). Тук попадат организациите в сферата на енергетиката, транспорта, банковия сектор (който е в обхвата на DORA), инфраструктурите на финансовия пазар (DORA), здравеопазването, питейната вода, цифровата инфраструктура, отпадъчната вода, управлението на услуги, свързани с информационни и комуникационни технологии, и публичната администрация.
- Други критични сектори (включително подсектори). В тази категория са доставчиците на цифрови услуги, пощенските и куриерските услуги, управлението на отпадъците, производството, изготвянето и дистрибуцията на химикали, производството, преработката и разпространението на храни, научните изследвания и множество различни видове производство (машини, автомобили, оборудване и т.н.).
Фирмите трябва да отговарят на нови стандарти за сигурност и да докладват инциденти в по-кратки срокове. Неспазването на изискванията може да доведе до сериозни санкции, включително глоби, базирани на годишния оборот на компанията.
Какво трябва да направят фирмите?
Първо, трябва да анализират дали попадат в обхвата на дорективата NIS 2 .
Ако попадат, тогава могат да започнат с анализ и преглед на вътрешните си процеси, да направят одит на активите си, вътрешната си документация (политики, процедури, правила договори с трети страни и други). Да прецизират как точно функционират услугите им, за да могат да оценят рисковете за тях и да започнат въвеждането на необходимите технически и организационни мерки по съответствие с Директивата.
Отправна точка може да са им съответствие с утвърдените международни стандарти за информационна сигурност и киберсигурност.