NIS2 ‑ Nová směrnice EU o kybernetické bezpečnosti.
NIS2 je nová směrnice Evropské unie s cílem zvýšit odolnost institucí a firem proti kybernetickým rizikům. V ČR se promítá do legislativy formou nového Zákona o kybernetické bezpečnosti. Ten významně rozšiřuje počet regulovaných subjektů i rozsah jejich povinností.
Mezi nejvýznamnější změny přímo dopadající na regulované organizace patří:
- rozšíření počtu povinných osob (odhady hovoří o nejméně 6 000 soukromých i státních organizacích), a to jednak rozšířením regulovaných odvětví (např. odvětví odpadového hospodářství), dále rozšířením stávajících regulovaných odvětví o nové regulované služby (např. stávající odvětví digitální infrastruktury o nové regulované služby cloud computingu nebo poskytovatele služeb a sítí elektronických komunikací), a nebo změnou způsobu identifikace povinných osob (kdy primárním kritériem pro zařazení do regulace bude velikost organizace);
- povinné vzdělávání vrcholového vedení organizace a větší odpovědnost managementu za zajišťování kybernetické bezpečnosti v organizaci;
- dobrovolné hlášení relevantních incidentů, událostí, hrozeb a zranitelností;
- podrobnější požadavky na vedení registru internetových domén nejvyšší úrovně a činnost registrátorů;
- větší důraz na sdílení informací mezi povinnými organizacemi;
- prohloubení spolupráce mezi regulátorem a povinnými organizacemi;
- významné zvýšení pokut za nedodržení uložených povinností (nově se stanovuje úroveň pokut až ve výši 2 % celkového obratu společnosti nebo 10 milionů EUR).
Novinky v NIS2, které jsou v českém právním řádu již obsaženy (a tedy nedojde k dramatickým změnám v obsahu regulace):
- větší pravomoci dozorových orgánů, např. k vydávání varování, reaktivních opatření, provádění auditů a kontrol, poskytování informací;
- větší požadavky na vybavenost CERT týmů (označovaných směrnicí CSIRT) a více pravomocí těchto týmů, např. monitoring hrozeb, zranitelností a incidentů, vydávání varování a upozornění, reakce na incidenty, forenzní analýza získaných údajů, aktivní skenování sítí a systémů;
- konkretizace bezpečnostních opatření, která budou muset povinné osoby zavádět (bude zachován systém řízení rizik a inspirace ISMS);
- racionalizace hlášení kybernetických bezpečnostních incidentů (CERT tým má poskytnout adekvátní součinnost při zvládání a řešení incidentu a se zasaženou osobou má úzce spolupracovat).
Na koho směrnice NIS II dopadá:
- organizace poskytuje alespoň jednu službu uvedenou v přílohách směrnice, a zároveň
- je středním nebo velkým podnikem, tedy zaměstnává 50 a více zaměstnanců, nebo dosahuje ročního obratu nebo bilanční sumy roční rozvahy alespoň 10 milionů EUR (zhruba 250 milionů CZK).
Další služby
Penetrační testy
SIEM Security Information and Event management
SOC Security Operations Center
Školení kybernetické bezpečnosti
Vaše IT vyřešíme, neváhejte nás kontaktovat
Domluvte si s námi konzultaci pro vaše ICT projekty.
Volejte:
+420 225 103 103Pište:
obchod@complus.cz