NIS2 i CRA: punkt zwrotny dla cyberbezpieczeństwa

Rosnąca presja z obu stron

Cyberataki stają się coraz częstsze i coraz lepiej zorganizowane. Atak ransomware może zatrzymać działalność operacyjną na wiele dni. Luka po stronie jednego dostawcy może szybko rozprzestrzenić się na wiele organizacji. Gdy tak się dzieje, skutki nie ograniczają się jedynie do systemów IT. Wpływają na produkcję, harmonogramy dostaw, umowy oraz, ostatecznie, zaufanie klientów.

Jednocześnie przepisy stają się coraz bardziej rygorystyczne i konkretne.

Dyrektywa NIS2 rozszerza wymagania dotyczące cyberbezpieczeństwa na znacznie większą liczbę organizacji oraz określa jasne oczekiwania w zakresie zarządzania ryzykiem, zgłaszania incydentów i bezpieczeństwa łańcucha dostaw. Mówiąc prościej, organizacje muszą wykazać, że rozumieją swoje ryzyka i aktywnie nimi zarządzają.

Kary nie mają wyłącznie symbolicznego charakteru i mogą wynosić nawet 10 mln euro lub 2% globalnego rocznego obrotu w przypadku podmiotów kluczowych.

Są to znaczące kwoty. Jednak prawdziwa zmiana nie dotyczy samej kary, lecz przesunięcia odpowiedzialności.

Zmiana strukturalna

Dyrektywa NIS2 jasno pokazuje, że cyberbezpieczeństwo nie może być traktowane jako odrębna funkcja techniczna. Musi być zatwierdzane, rozumiane i nadzorowane na najwyższym szczeblu organizacji. Oczekuje się, że bezpieczeństwo będzie widocznym i zintegrowanym elementem całościowego zarządzania ryzykiem.

Nie chodzi o tworzenie większej ilości dokumentacji. Chodzi o eliminowanie rzeczywistych luk.

Większość incydentów bezpieczeństwa nie wynika z jednej poważnej awarii. Ich przyczyną są drobne słabości, niejasno określona odpowiedzialność, zespoły działające w silosach oraz niepołączone systemy. Z czasem te słabe ogniwa zwiększają poziom ryzyka.

Regulacje skłaniają organizacje do uważniejszego przyglądania się tym podatnościom i stosowania bardziej uporządkowanego podejścia do ich zarządzania.

Jak wyjaśnia Jorma Issakainen, nasz SVP i Head of Critical Infrastructure: „Regulacje jasno określają odpowiedzialność, ale prawdziwym celem jest odporność. Cyberbezpieczeństwo jest częścią ciągłości działania. Bez odpowiedniej widoczności i jasno przypisanej odpowiedzialności w całym środowisku bezpieczeństwa organizacje pozostają narażone na ryzyko”.

Poza zgodnością z przepisami

Dyrektywa NIS2 i Cyber Resilience Act (CRA) stanowią ważny kamień milowy. Określają minimalny standard zarządzania cyberbezpieczeństwem. Jednak spełnienie wymogów regulacyjnych jest dopiero punktem wyjścia.

Prawdziwe wyzwanie tkwi we wdrożeniu, koordynacji działań zespołów, precyzyjnym określeniu odpowiedzialności oraz zapewnieniu, że systemy i procesy współpracują ze sobą bez luk. Zgodność można udokumentować. Odporność trzeba zbudować.

W następnym artykule przyjrzymy się temu, dlaczego działania związane ze zgodnością z przepisami często nie przynoszą oczekiwanych rezultatów w praktyce oraz dlaczego współpraca ludzi, procesów i technologii decyduje o różnicy między formalną zgodnością a skutecznym bezpieczeństwem.

Ponieważ współczesne cyberbezpieczeństwo nie polega wyłącznie na unikaniu kar. Chodzi o ochronę fundamentów, na których każdego dnia opiera się Twoja organizacja.

Jeśli szukasz lepszego nadzoru nad systemami, dostawcami i odpowiedzialnościami, skontaktuj się z nami, aby dowiedzieć się, jak bardziej zintegrowane podejście może wesprzeć Twoją organizację w realizacji wymagań NIS2 i CRA.