NIS 2 и готовността на бизнеса за киберрискове

Когато криптиращ вирус блокира ERP системата, електронния архив и достъпа до клиентски данни, въпросът вече не е само колко бързо ще бъде възстановен сървърът. Ръководството трябва да знае кой взема решения, как се ограничават щетите, кога се уведомяват засегнатите страни и с какви доказателства организацията показва, че е управлявала риска. Именно тази организационна отговорност поставя NIS 2 в центъра на вниманието на българския бизнес.

Директивата разширява европейската рамка за мрежова и информационна сигурност и въвежда по-високи очаквания към организациите, които поддържат важни услуги, работят с чувствителни данни или са част от критична верига на доставки. Тя не е списък с продукти за закупуване. NIS 2 изисква работеща система за управление на киберриска – с ясни роли, реални технически контроли, процедури за реакция и проверими записи.

Кои организации трябва да оценят обхвата си по NIS 2

Първата грешка е да се приеме, че изискванията засягат единствено големи оператори на критична инфраструктура. Обхватът на NIS 2 включва множество сектори, сред които енергетика, транспорт, здравеопазване, цифрова инфраструктура, финансови услуги, публична администрация, производство на определени продукти, управление на отпадъци, пощенски и куриерски услуги, хранителен сектор и доставчици на управлявани IT услуги.

Размерът на предприятието има значение, но не е единствен критерий. Общият подход е насочен към средни и големи организации, като за някои услуги има изключения независимо от размера. Това означава, че малка фирма, която предоставя специализиран цифров компонент, хостинг, управлявана сигурност или друга услуга с висока зависимост за клиентите си, не бива автоматично да се изключва от оценката.

Практическият анализ започва с три въпроса: какви услуги предоставя организацията, в кои сектори работят нейните клиенти и какъв би бил ефектът при продължително прекъсване или компрометиране на данни. Отговорите трябва да се сравнят с приложимите национални правила по транспонирането на директивата. Това е работа, която изисква едновременно правна, организационна и техническа преценка.

NIS 2 прави ръководството част от киберсигурността

Най-съществената промяна не е в антивирусния софтуер, а в управленската отговорност. Ръководните органи трябва да одобряват мерките за управление на киберриска, да следят тяхното изпълнение и да разполагат с достатъчна подготовка, за да разбират основните заплахи и последствията от решенията си.

На практика това означава киберсигурността да присъства в управленските процеси, а не само в задачите на IT администратора. Управителят или бордът следва да получава периодична, разбираема информация: кои са критичните системи, какви рискове са установени, какъв е статусът на резервните копия, има ли неотстранени уязвимости, какви инциденти са регистрирани и кои действия са просрочени.

Тук има важен баланс. Не е необходимо управителят да се превръща в технически специалист по мрежова сигурност. Необходимо е да може да изисква доказателства, да разпределя бюджет според риска и да взема информирани решения при инцидент. Добрата външна IT и compliance подкрепа превежда техническите показатели в бизнес последствия – престой, загубени приходи, риск за договори, регулаторна експозиция и възможност за възстановяване.

Какви мерки се очакват на практика

NIS 2 работи с принципа на пропорционалност. Мерките трябва да отчитат размера на организацията, вероятността от инцидент, степента на зависимост от информационните системи и потенциалната вреда. Малък производител и национален доставчик на цифрова инфраструктура няма да изградят еднаква система за сигурност. И двата обаче трябва да могат да покажат, че рискът е оценен и управляван разумно.

Основата е актуален регистър на активите. Организацията трябва да знае кои сървъри, крайни устройства, приложения, облачни услуги, потребителски акаунти и масиви от данни използва. Без тази картина не може да се определи кое трябва да се защитава, какво да се архивира и какъв достъп е оправдан.

Следва оценка на риска. Тя не трябва да бъде общ документ, написан веднъж за одит. Полезната оценка свързва конкретна заплаха с конкретен бизнес процес. Например компрометирана поща може да доведе до измамни плащания, достъпът на бивш служител до документи може да създаде риск за лични данни, а липсата на тествано възстановяване може да остави производството без работеща система с дни.

Техническите и организационните мерки обичайно обхващат контрол на достъпа, многофакторно удостоверяване, управление на уязвимости и обновления, защитени конфигурации, криптиране, сегментация на мрежата, защита на крайни устройства, мониторинг и обучение на служителите. Резервното копиране е критично, но само ако копията са защитени от изтриване или криптиране, съхраняват се според определени срокове и се възстановяват чрез редовни тестове.

Инцидентите трябва да имат собствен процес

Организация без формализиран процес за реакция често разбира за инцидента твърде късно, губи ценни следи и изпраща противоречива информация към клиенти, регулатори и служители. Планът за реакция определя кой има право да обяви инцидент, кой координира техническите действия, кой пази доказателствата и кой комуникира извън организацията.

Рамката на NIS 2 предвижда ранно предупреждение в кратък срок, последвано от уведомление за инцидента и окончателен доклад. Конкретният национален ред, компетентният орган и приложимите формуляри следва да се проверят според действащото българско законодателство. Затова организацията трябва да има предварително подготвен регистър на инцидентите, контакти за ескалация и критерии кога дадено събитие е значимо.

Сценарийните тестове са по-полезни от документ, който не е отварян от година. Екипът може да проиграе ситуация с компрометиран администраторски акаунт, изтичане на документи или недостъпна облачна услуга. Така се вижда дали резервните контакти са актуални, дали възстановяването действително работи и дали ръководството получава навременна информация.

Доставчиците са част от вашия риск

Много организации са защитили офиса си, но не могат да кажат къде се съхраняват техните резервни копия, кой има администраторски достъп до облачните им системи и как доставчикът ще ги уведоми при пробив. NIS 2 поставя сериозен акцент върху сигурността по веригата на доставки, защото един слаб външен партньор може да компрометира множество клиенти.

Договорите с IT доставчици трябва да съдържат ясни изисквания за конфиденциалност, контрол на достъпа, уведомяване при инцидент, архивиране, възстановяване, срокове за реакция и правила при прекратяване на услугата. Не е достатъчно доставчикът да заяви, че е сигурен. Важно е да има измерими ангажименти и възможност за проверка чрез отчети, тестове, сертификати или други доказателства.

Това не означава всеки доставчик да преминава през тежък одит. Подходът трябва да следва критичността му. Доставчик на корпоративна поща, архивиране, хостинг или управлявана киберсигурност носи по-висок риск от доставчик на несъществена офис услуга. Приоритетът следва да бъде върху системите и партньорите, чието отпадане спира основния бизнес процес.

От документация към проверима готовност

Съответствието не се доказва с една политика по информационна сигурност. Нужни са свързани документи и оперативни следи: оценка на риска, регистър на активите, правила за достъп, процедури за инциденти, планове за непрекъсваемост, регистри на обучения, отчети от възстановяване и протоколи от периодични прегледи.

Точно тук организациите често срещат затруднение. Техническите мерки може да са въведени, но липсва доказателство кой ги проверява, кога е извършен последният тест и как са отстранени констатираните пропуски. Обратната ситуация също е честа – налична е подробна документация, но реалните потребителски права, архивирането и защитата на крайните устройства не отговарят на описаното.

Практичният път е да се започне с базова оценка на текущото състояние, да се определят критичните пропуски и да се изгради план с отговорници, срокове и измерими резултати. Буллсофт подпомага този процес чрез съчетаване на киберсигурност, защитено архивиране, възстановяване и документационна обезпеченост, така че мерките да работят и при реален инцидент, не само при проверка.

Най-добрият момент да се провери готовността не е след получено искане от регулатор или след спряна система. Един добре проведен тест за възстановяване, преглед на достъпите и управленски разговор за рисковете могат да покажат слабостите навреме – когато все още има възможност те да бъдат отстранени спокойно и контролирано.