⇒   Какво всъщност представлява Директивата NIS 2 

Директивата NIS 2 (Директива за мрежова и информационна сигурност 2) е актуализиран законодателен акт на Европейския съюз, който се основава на оригиналната Директива NIS (NIS 1) от 2016 г. Тя има за цел да засили киберсигурността и устойчивостта в целия ЕС чрез определяне на по-строги мерки за сигурност и докладване изисквания към ключови индустрии.

NIS 2 e приета през ноември 2022 г. и се стреми да се справи с недостатъците на NIS 1, особено в напоследък нарастващите кибер рискове и развиващия се цифров пейзаж. Тази директива е част от по-широка стратегия на ЕС за подобряване на киберсигурността, съгласувана с други инициативи като Закона за киберсигурността и Закона за цифрова оперативна устойчивост (DORA).

Чрез въвеждането на NIS 2 се прави значителна стъпка към постигане на по-висока киберсигурност и устойчивост в ЕС, като се акцентира върху по-строги стандарти за сигурност, разширен обхват на критичните сектори и подобрена координация между държавите членки. За организациите в ключови сектори е изключително важно да разберат и приложат тези нови изисквания, за да осигурят защита на своите информационни системи и да избегнат потенциални санкции.

⇒   Какво е значението на NIS 2? 

Директивата NIS 2 е от решаващо значение, защото отразява признаването на киберсигурността от ЕС като ключов приоритет за функционирането на съвременните общества и икономики. Това е особено важно, тъй като кибератаките стават по-сложни и чести, особено срещу критични сектори като здравеопазването и енергетиката, които са били изложени на значителни заплахи по време на COVID-19.

NIS 2 разширява обхвата си до по-широка гама от сектори, включително енергетика, транспорт, здравеопазване, цифрова инфраструктура и др. Това означава, че повече организации, особено в критични индустрии, вече са задължени да отговарят на по-строги стандарти за киберсигурност.

Директивата въвежда по-строги мерки за управление на риска за киберсигурността и докладване на инциденти. Организациите трябва да имат по-строги политики за сигурност и да извършват редовни оценки на риска. Неспазването на тези правила може да доведе до сериозни санкции, като глоби от годишният оборот на компаниите. 

Директивата има за цел да създаде по-единен подход към киберсигурността във всички държави-членки на ЕС. Това спомага за въвеждане на единни правила за киберсигурност, тъй като предишните подходи варираха значително в отделните държави, което остави пропуски в колективната сигурност на Европа.

NIS 2 има за цел да създаде по-безопасна, по-устойчива цифрова среда, като гарантира, че основни услуги и бизнеси в цяла Европа приемат строги практики за киберсигурност, за да защитят по-добре своите данни и операции от развиващи се киберзаплахи.

⇒  Санкции при не спазване на Директивата NIS 2 

Директивата NIS 2 въвежда значителни санкции за организации, които не спазват нейните изисквания. Тези санкции могат да включват:

• Глоби: Организациите могат да бъдат изправени пред глоби до 10 милиона евро или 2% от техния глобален оборот, което от двете е по-високо. Това се отнася за сериозни нарушения, като например липса на докладване за инциденти или неприлагане на необходимите мерки за сигурност.
• Увреждане на репутацията: Несъответствието може да доведе до сериозно увреждане на репутацията, засягайки доверието на клиента и бизнес отношенията.
• Правни действия: Властите могат да започнат съдебни процедури срещу несъответстващи организации, което води до допълнителни финансови и оперативни тежести.

Директивата NIS 2 представлява критична промяна в подхода на ЕС към киберсигурността, като подчертава необходимостта от подобрени мерки за съответствие и сериозните последици от неспазването на тези задължения. Организациите трябва да дадат приоритет на своите рамки за киберсигурност, за да отговарят на директивата и да защитят своите операции и бизнес от потенциални заплахи.

⇒  Изисквания към бизнеса  

Директивата NIS 2 (мрежова и информационна сигурност), въведена от Европейския съюз, засилва изискванията за киберсигурност за предприятия, работещи в критични сектори като целта е да се подобри цялостната киберустойчивост на основни и важни субекти в ЕС.

Основните изисквания към бизнеса включват:

• Мерки за управление на риска и киберсигурност: Компаниите трябва да прилагат силни рамки за киберсигурност, да извършват редовни оценки на риска и да установят цялостни политики за сигурност. Това включва реакция при инциденти, непрекъснатост на бизнеса и сигурност на веригата за доставки.
• Докладване на инциденти: От организациите се изисква да докладват значителни инциденти с киберсигурността на съответните национални органи в рамките на 24 часа след откриването. Пълните доклади трябва да последват в рамките на 72 часа, като подробно описват обхвата на инцидента и предприетите мерки за разрешаването му.
• Управление и отчетност: Висшето ръководство ще бъде държано отговорно за осигуряване на съответствие с директивата. Това включва задължително обучение и създаване на специални екипи, отговорни за надзора на спазването на киберсигурността.
• Сътрудничество и споделяне на информация: Предприятията трябва да си сътрудничат с други субекти, национални органи и агенции на ЕС, за да споделят разузнавателни данни за заплахи и да подкрепят бързите реакции на инциденти, свързани с киберсигурността.
• Санкции за несъответствие: Неспазването на изискванията на NIS 2 може да доведе до значителни глоби и правни последици, особено за организации, предоставящи основни услуги.

За да се подготвят за NIS 2, фирмите трябва да подобрят своите стратегии за киберсигурност, да преразгледат своите процедури за реакция при инциденти и да осигурят съответствие с новите структури за отчитане и управление до крайния срок за внедряване през 2024 г.