Kas yra NIS2 (TIS2)
NIS2 – Europos Sąjungos direktyva (ES) 2022/2555 dėl kibernetinio saugumo; lietuviškai ji dar vadinama TIS2. Lietuvoje jos nuostatos įtvirtintos Kibernetinio saugumo įstatyme, o priežiūrą vykdo Nacionalinis kibernetinio saugumo centras (NKSC).
Kam taikomi reikalavimai
Direktyva taikoma vidutinėms ir didelėms organizacijoms, veikiančioms ypatingos svarbos ir kituose svarbiuose sektoriuose. Kai kurioms organizacijoms ji taikoma nepriklausomai nuo dydžio.
Ypatingos svarbos sektoriai
Energetika, transportas, bankininkystė, finansų rinkų infrastruktūra, sveikatos priežiūra, geriamasis ir nuotekų vanduo, skaitmeninė infrastruktūra, viešasis administravimas, kosmosas.
Kiti svarbūs sektoriai
Pašto ir kurjerių paslaugos, atliekų tvarkymas, chemijos ir maisto produktų gamyba, kai kurios gamybos sritys, skaitmeninių paslaugų teikėjai, moksliniai tyrimai.
Ar įmonė patenka į taikymo sritį, lemia ne tik sektorius, bet ir dydis bei kiti kriterijai, todėl kiekvieną atvejį verta įvertinti atskirai.
Svarbiausi terminai ir pareigos
Įsigaliojo Kibernetinio saugumo įstatymo pakeitimai, perkeliantys NIS2.
- Registras
Subjektas įtraukiamas į Kibernetinio saugumo subjektų registrą.
- +12 mėn.
Organizaciniams reikalavimams įgyvendinti.
- +24 mėn.
Techniniams reikalavimams įgyvendinti.
- Apie reikšmingus incidentus pranešama etapais: išankstinis įspėjimas – per 24 valandas, pranešimas – per 72 valandas, galutinė ataskaita – per mėnesį.
- Kibernetinio saugumo priemones turi patvirtinti ir jų įgyvendinimą prižiūrėti įmonės vadovybė.
- Direktyvoje numatytos didžiausios baudos siekia 10 mln. eurų arba 2 % pasaulinės metinės apyvartos ypatingos svarbos subjektams ir 7 mln. eurų arba 1,4 % – svarbiems subjektams.
Kaip padedame
- Taikymo sritis. Įvertiname, ar įstatymas taikomas jūsų įmonei ir kokie reikalavimai galioja.
- Esamos būklės analizė. Nustatome, kas jau atitinka reikalavimus, o ko trūksta.
- Planas ir dokumentai. Parengiame įgyvendinimo planą, tvarkas ir procedūras, įskaitant veiklos atkūrimo planą.
- Techninės priemonės. Įdiegiame stebėseną, incidentų aptikimo ir prevencijos sistemas (IDS / IPS), sutvarkome atsargines kopijas ir prieigas.
- Palaikymas. Padedame priemones palaikyti ir atnaujinti.
Jei norite pirmiausia sužinoti, kur esate dabar, pradėkite nuo IT audito. Oficiali informacija skelbiama Nacionalinio kibernetinio saugumo centro svetainėje.
Dažni klausimai
Kaip sužinoti, ar NIS2 taikomas mūsų įmonei?
Pirmiausia vertinamas veiklos sektorius ir įmonės dydis, tačiau yra ir išimčių. Jei abejojate, įvertinsime kartu.
Kas atsako už reikalavimų įgyvendinimą?
Įmonės vadovybė: ji tvirtina kibernetinio saugumo priemones ir prižiūri, kaip jos įgyvendinamos. Techninius darbus galima patikėti IT partneriui.
Kiek laiko trunka pasiruošimas?
Priklauso nuo pradinės būklės. Į Kibernetinio saugumo subjektų registrą įtrauktiems subjektams organizaciniams reikalavimams įgyvendinti skiriama 12 mėnesių, techniniams – 24 mėnesiai.