Kas ir NIS2 direktīva?

NIS2 direktīvas galvenie mērķi un tvērums

NIS2 direktīvas primārais mērķis ir panākt augstu un vienveidīgu kiberdrošības līmeni visā Eiropas Savienībā. Iepriekšējā NIS direktīva aptvēra ierobežotu nozaru loku un pieļāva ievērojamas atšķirības starp dalībvalstu ieviešanu. NIS2 to maina fundamentāli.

Direktīva ievieš divu kategoriju dalījumu — būtiskās vienības (essential entities) un svarīgās vienības (important entities). Būtiskās vienības ietver enerģētiku, transportu, banku un finanšu tirgu infrastruktūru, veselības aprūpi, ūdens apgādi, digitālo infrastruktūru, IKT pakalpojumu pārvaldību, publisko pārvaldi un kosmosu. Svarīgās vienības aptver pasta un kurjeru pakalpojumus, atkritumu apsaimniekošanu, ķimisko vielu ražošanu, pārtikas ražošanu, digitālo pakalpojumu sniedzējus un citas nozares.

Būtiska novitāte ir uzņēmuma lieluma kritērijs — NIS2 attiecas uz visiem vidējiem un lieliem uzņēmumiem norādītajās nozarēs (vairāk nekā 50 darbinieki vai gada apgrozījums virs 10 miljoniem EUR). Dažos gadījumos arī mazāki uzņēmumi var tikt iekļauti, ja to pakalpojumi ir kritiski.

NIS2 kiberdrošības prasības organizācijām

NIS2 direktīva nosaka konkrētas kiberdrošības pārvaldības prasības, kas organizācijām jāievieš. Riska analīze un informācijas sistēmu drošības politikas ir pamata prasība — uzņēmumiem jāveic regulāra risku novērtēšana un jāizstrādā dokumentētas drošības politikas.

Incidentu apstrāde ir vēl viens centrālais elements. Organizācijām jānodrošina spēja atklāt, analizēt un reaģēt uz kiberincidentiem. NIS2 nosaka stingrus ziņošanas termiņus — agrīnais brīdinājums 24 stundu laikā, pilns ziņojums 72 stundu laikā un gala ziņojums viena mēneša laikā pēc incidenta.

Darbības nepārtrauktības pārvaldība prasa organizācijām izstrādāt un testēt rezerves kopēšanas stratēģijas, atkopšanas plānus un krīzes vadības procedūras. Piegādes ķēdes drošība ir jauna un būtiska prasība — uzņēmumiem jānovērtē un jāpārvalda kiberdrošības riski, kas saistīti ar piegādātājiem un pakalpojumu sniedzējiem.

Papildus NIS2 prasa ieviest tīklu un informācijas sistēmu drošību iegādē, izstrādē un uzturēšanā, ievainojamību atklāšanu un novēršanu, kriptogrāfijas un šifrēšanas izmantošanu, kā arī cilvēkresursu drošību un piekļuves kontroli. Vadības līmeņa atbildība ir obligāta — uzņēmuma vadībai jāapstiprina kiberdrošības pasākumi un jāuzņemas atbildība par to ieviešanu.

Soda sankcijas par NIS2 neievērošanu

NIS2 direktīva ievieš ievērojami stingrākas soda sankcijas nekā tās priekšgājēja. Būtiskajām vienībām maksimālais naudas sods var sasniegt 10 miljonus EUR vai 2% no uzņēmuma grupas kopējā globālā gada apgrozījuma — atkarībā no tā, kura summa ir lielāka. Svarīgajām vienībām maksimālais sods ir 7 miljoni EUR vai 1,4% no globālā apgrozījuma.

Taču finansiālās sankcijas nav vienīgais risks. NIS2 paredz arī nefinansiālus pasākumus — kompetentās iestādes var izdot rīkojumus par atbilstības nodrošināšanu, pieprasīt drošības auditu veikšanu, noteikt pagaidu aizliegumus vadības personām un publiskot informāciju par pārkāpumiem.

Īpaši nozīmīga ir personīgā vadības atbildība — uzņēmuma amatpersonas var tikt personiski sauktas pie atbildības par kiberdrošības pienākumu nepildīšanu. Tas nozīmē, ka kiberdrošība vairs nav tikai IT nodaļas jautājums — tā ir valdes līmeņa atbildība.

Latvijā konkrētos sodu apmērus un piemērošanas kārtību nosaka NKDL un tā ieviešanas normatīvie akti. CERT.LV kā kompetentā iestāde uzrauga atbilstību un var piemērot sankcijas.

NIS2 ieviešana Latvijā un NKDL saistība

Latvijā NIS2 direktīvas prasības ir transponētas Nacionālajā kiberdrošības likumā (NKDL). NKDL konkretizē NIS2 prasības Latvijas kontekstā, nosakot, kuras organizācijas ir pakļautas regulējumam, kādas ir to pienākumi un kāda ir uzraudzības kārtība.

CERT.LV ir galvenā kompetentā iestāde kiberdrošības jomā Latvijā. Tā ir atbildīga par incidentu koordinēšanu, brīdinājumu izplatīšanu un uzraudzību. Organizācijām, kas pakļautas NKDL, jāziņo par kiberincidentiem CERT.LV noteiktajā kārtībā un termiņos.

Latvijas uzņēmumiem NIS2 ieviešana nozīmē vairākus konkrētus soļus. Pirmkārt, jānosaka, vai organizācija ietilpst regulējuma tvērumā — jāizvērtē nozare, uzņēmuma lielums un sniegto pakalpojumu kritiskums. Otrkārt, jāveic plaisu analīze (gap analysis), salīdzinot esošos drošības pasākumus ar NIS2 prasībām. Treškārt, jāizstrādā un jāievieš trūkstošie pasākumi — politikas, procedūras, tehniskie risinājumi.

DVI (Datu valsts inspekcija) arī saglabā lomu gadījumos, kur kiberincidenti skar personas datus, jo NIS2 un GDPR prasības bieži pārklājas.

Kāpēc svarīgi Latvijas uzņēmumiem

Latvijas uzņēmumiem NIS2 atbilstība nav tikai regulatīvs pienākums — tā ir stratēģiska biznesa nepieciešamība. Ģeopolitiskā situācija Baltijas reģionā paaugstina kiberdraudu līmeni, un valsts un privātā sektora kibernoturība ir nacionālās drošības jautājums.

Daudziem Latvijas uzņēmumiem, kas iepriekš nebija pakļauti kiberdrošības regulējumam, NIS2 ir pirmā reize, kad tie saskaras ar obligātām prasībām. Tas attiecas uz pārtikas ražotājiem, atkritumu apsaimniekotājiem, pasta pakalpojumu sniedzējiem un citām nozarēm, kas tradicionāli nav uztvērušas kiberdrošību kā prioritāti.

Piegādes ķēdes prasības nozīmē, ka arī uzņēmumi ārpus tiešā NIS2 tvēruma var tikt ietekmēti — ja esat piegādātājs būtiskai vai svarīgai vienībai, jūsu klients var pieprasīt kiberdrošības garantijas un audita tiesības.

securIT palīdz Latvijas uzņēmumiem sagatavoties NIS2 atbilstībai — no sākotnējās plaisu analīzes līdz tehnisku risinājumu ieviešanai un nepārtrauktai uzraudzībai. Mūsu komanda pārzina gan ES regulējumu, gan Latvijas specifiku, nodrošinot praktisku un efektīvu ceļu uz atbilstību.

Kā sagatavoties NIS2 atbilstībai — praktiski soļi

NIS2 atbilstības ceļš sākas ar skaidru izpratni par savu statusu. Pirmais solis ir noteikt, vai jūsu organizācija ir būtiskā vai svarīgā vienība saskaņā ar NKDL — tas nosaka prasību apjomu un uzraudzības intensitāti.

Otrais solis ir visaptveroša risku novērtēšana. Identificējiet kritiskos aktīvus, iespējamos draudus un esošos aizsardzības pasākumus. Izmantojiet atzītas metodoloģijas, piemēram, ISO 27005 vai NIST Cybersecurity Framework.

Trešais solis ir plaisu analīze — salīdziniet esošos drošības pasākumus ar NIS2 prasībām un identificējiet trūkumus. Ceturtais solis ir rīcības plāna izstrāde ar konkrētiem termiņiem, atbildīgajiem un budžetu.

Piektais solis ir tehnisku un organizatorisku pasākumu ieviešana — incidentu reaģēšanas plāna izstrāde, piekļuves kontroles uzlabošana, rezerves kopēšanas pārbaude, personāla apmācība. Sestais solis ir nepārtraukta uzraudzība un regulāra pārskatīšana — NIS2 nav vienreizējs projekts, bet pastāvīgs process.

Sazinieties ar securIT komandu, lai saņemtu bezmaksas sākotnējo novērtējumu — [email protected] vai +371 27555221.