Shares

În acest material este prezentat modul în care poate fi verificat dacă o firmă intră sub incidența directivei NIS2, precum și principalele măsuri IT care trebuie implementate pentru conformitate.

Directiva NIS2 reprezintă unul dintre cele mai importante acte legislative europene din domeniul securității cibernetice. Prin extinderea obligațiilor către un număr semnificativ mai mare de organizații decât vechea directivă NIS, aceasta urmărește creșterea nivelului de reziliență în fața atacurilor informatice și reducerea impactului incidentelor asupra economiei și societății.

Pentru multe companii, primul pas nu constă în implementarea unor soluții tehnice, ci în stabilirea dacă prevederile NIS2 sunt aplicabile organizației. Încadrarea unei companii depinde de mai mulți factori, printre care domeniul de activitate, dimensiunea organizației, serviciile furnizate și rolul acesteia în lanțurile de aprovizionare sau în infrastructurile considerate esențiale.

În acest context, o evaluare NIS2 permite identificarea obligațiilor aplicabile și a măsurilor necesare pentru conformitate NIS2. În continuare sunt prezentate principalele criterii care trebuie analizate pentru stabilirea încadrării unei organizații în directivă, precum și măsurile IT care contribuie la creșterea nivelului de securitate cibernetică.

Ce reprezintă directiva NIS2?

NIS2 este noul cadru legislativ european destinat consolidării securității rețelelor și sistemelor informatice. Directiva a fost adoptată pentru a răspunde creșterii numărului și complexității atacurilor cibernetice și introduce cerințe mai stricte privind managementul riscurilor, raportarea incidentelor și responsabilitatea conducerii organizațiilor.

Comparativ cu prima directivă NIS, noul cadru extinde considerabil lista sectoarelor vizate și introduce obligații suplimentare pentru entitățile considerate esențiale sau importante. Printre acestea se numără implementarea unor măsuri tehnice și organizatorice adecvate, evaluarea periodică a riscurilor și demonstrarea unui nivel corespunzător de maturitate în domeniul securității informatice.

Din perspectivă IT, NIS2 promovează o abordare bazată pe prevenție, monitorizare continuă și capacitatea organizațiilor de a detecta, răspunde și recupera rapid în urma incidentelor de securitate.

Cum se poate verifica dacă o firmă intră sub incidența directivei NIS2?

Pasul 1. Identificarea domeniului de activitate

Primul criteriu care trebuie analizat este sectorul în care activează organizația. Directiva NIS2 acoperă un număr mult mai mare de domenii decât legislația anterioară, incluzând atât infrastructurile critice, cât și numeroase sectoare economice considerate importante.

Printre acestea se regăsesc energia, transporturile, serviciile financiare, sănătatea, telecomunicațiile, administrația publică, infrastructura digitală, serviciile cloud, centrele de date, furnizorii de servicii IT administrate, producția industrială, serviciile poștale, gestionarea apei și multe alte domenii.

Dacă organizația își desfășoară activitatea într-unul dintre aceste sectoare, este recomandată continuarea evaluării.

Pasul 2. Verificarea dimensiunii organizației

În majoritatea cazurilor, NIS2 se aplică organizațiilor mijlocii și mari, respectiv celor care au minimum 50 de angajați sau înregistrează o cifră de afaceri anuală ori un bilanț anual de cel puțin 10 milioane de euro.

Totuși, există și excepții. Unele organizații pot intra sub incidența directivei indiferent de dimensiune dacă furnizează servicii considerate esențiale pentru funcționarea statului sau a economiei.

Pasul 3. Evaluarea importanței serviciilor furnizate

Un alt aspect important îl reprezintă impactul pe care un incident cibernetic l-ar putea avea asupra activității organizației și asupra beneficiarilor serviciilor sale.

Dacă indisponibilitatea sistemelor informatice ar conduce la întreruperea unor servicii importante, la afectarea unui număr mare de clienți sau la perturbarea lanțurilor de aprovizionare, există posibilitatea ca organizația să fie încadrată în categoria entităților esențiale sau importante.

Pasul 4. Analizarea rolului în lanțul de aprovizionare

Atacurile asupra lanțului de aprovizionare au devenit una dintre cele mai utilizate metode de compromitere a organizațiilor mari. Din acest motiv, NIS2 acordă o importanță deosebită relațiilor dintre furnizori, parteneri și beneficiari.

Chiar dacă o companie nu operează o infrastructură critică, aceasta poate intra sub incidența directivei dacă furnizează produse sau servicii indispensabile unor organizații deja obligate să respecte NIS2.

Pasul 5. Realizarea unui audit de conformitate

Evaluarea finală ar trebui realizată împreună cu specialiști în securitate cibernetică și conformitate legislativă.

Un audit permite identificarea obligațiilor aplicabile, analiza nivelului actual de securitate, evidențierea vulnerabilităților și elaborarea unui plan de măsuri care să conducă la respectarea cerințelor impuse de directivă.

Ce măsuri IT trebuie implementate pentru conformitatea cu NIS2?

Procesul de conformitate NIS2 nu presupune implementarea unei singure soluții de securitate, ci adoptarea unui ansamblu de măsuri tehnice și organizatorice menite să reducă riscurile cibernetice și să crească nivelul de protecție al organizației.

O evaluare NIS2 permite identificarea cerințelor aplicabile, analiza nivelului actual de securitate și stabilirea măsurilor IT necesare pentru alinierea la prevederile directivei. În continuare sunt prezentate principalele componente IT pe care organizațiile trebuie să le aibă în vedere.

Inventarierea și clasificarea activelor IT

Primul pas îl reprezintă cunoașterea infrastructurii existente. Serverele, stațiile de lucru, echipamentele de rețea, aplicațiile, bazele de date, serviciile cloud și dispozitivele mobile trebuie inventariate și clasificate în funcție de importanța lor pentru activitatea organizației.

Această evidență permite identificarea sistemelor critice și prioritizarea măsurilor de protecție. Totodată, facilitează gestionarea vulnerabilităților și răspunsul rapid în cazul unui incident de securitate.

Implementarea autentificării multifactor și controlul accesului

Controlul accesului reprezintă una dintre cele mai eficiente metode de reducere a riscului compromiterii conturilor.

Autentificarea multifactor (MFA), utilizarea parolelor complexe, aplicarea principiului least privilege și administrarea atentă a conturilor privilegiate limitează posibilitatea ca un atacator să obțină acces la resurse critice chiar dacă o parolă este compromisă.

Revizuirea periodică a drepturilor utilizatorilor și eliminarea conturilor inactive contribuie, de asemenea, la creșterea nivelului de securitate.

Monitorizarea permanentă a infrastructurii IT

Detectarea rapidă a incidentelor este una dintre cerințele esențiale ale NIS2.

Implementarea soluțiilor EDR sau XDR permite identificarea comportamentelor suspecte la nivelul stațiilor de lucru și al serverelor, în timp ce platformele SIEM colectează și corelează evenimentele provenite din întreaga infrastructură.

În organizațiile cu un nivel ridicat de maturitate, aceste soluții sunt completate de servicii SOC, care asigură monitorizarea continuă și investigarea alertelor de securitate.

Managementul vulnerabilităților și actualizarea sistemelor

Majoritatea atacurilor informatice exploatează vulnerabilități cunoscute pentru care există deja actualizări disponibile.

Din acest motiv, organizațiile trebuie să implementeze un proces continuu de management al vulnerabilităților, care să includă scanări automate, actualizarea sistemelor de operare și a aplicațiilor, precum și teste periodice de penetrare.

Identificarea și remedierea rapidă a vulnerabilităților reduce semnificativ suprafața de atac.

Backup, recuperarea datelor și continuitatea activității

Nicio infrastructură nu poate fi considerată complet protejată împotriva incidentelor cibernetice. Din acest motiv, existența unor copii de siguranță reprezintă o cerință esențială.

Backup-urile trebuie realizate regulat, testate periodic și stocate în medii protejate împotriva modificării sau ștergerii, cum sunt soluțiile bazate pe immutable storage. În paralel, organizația trebuie să dețină proceduri clare pentru restaurarea serviciilor și reluarea activității în cel mai scurt timp posibil.

Segmentarea rețelei și protecția infrastructurii

Segmentarea rețelei contribuie la limitarea propagării atacurilor informatice în cazul compromiterii unui sistem.

Separarea infrastructurii în zone distincte, utilizarea firewall-urilor, configurarea corespunzătoare a VLAN-urilor și restricționarea comunicațiilor între segmente reduc impactul unui eventual incident și îngreunează deplasarea laterală a atacatorilor în rețea.

Elaborarea unui plan de răspuns la incidente

NIS2 pune accent nu doar pe prevenție, ci și pe capacitatea organizației de a reacționa eficient atunci când apare un incident.

Planul de răspuns trebuie să stabilească responsabilitățile echipei IT, procedurile de izolare a sistemelor afectate, modul de colectare a dovezilor digitale, comunicarea internă și externă, precum și etapele necesare pentru recuperarea activității.

Exercițiile periodice și simulările de incidente contribuie la verificarea eficienței acestor proceduri.

Instruirea angajaților în domeniul securității cibernetice

Factorul uman continuă să reprezinte una dintre principalele cauze ale incidentelor informatice.

Sesiunile periodice de instruire privind phishing-ul, ingineria socială, utilizarea parolelor, protecția datelor și raportarea incidentelor contribuie la reducerea riscului generat de erorile utilizatorilor. În multe situații, un angajat bine pregătit poate identifica și opri un atac înainte ca acesta să producă efecte asupra infrastructurii IT.

Cum poate ajuta Zemernett?

Zemernett oferă un serviciu complet de consultanță și implementare pentru conformitate NIS2, acoperind toate etapele necesare într-un singur proiect. Procesul începe cu o evaluare NIS2, prin care sunt analizate obligațiile aplicabile organizației, nivelul actual de securitate și măsurile necesare pentru alinierea la cerințele directivei.

Pe întreaga durată a procesului, organizațiile beneficiază de un singur punct de contact, fără a fi nevoie să coordoneze mai mulți furnizori sau specialiști. De la implementarea măsurilor tehnice și organizatorice până la pregătirea pentru audit și colaborarea cu auditorul independent atestat de Directoratul Național de Securitate Cibernetică (DNSC), toate activitățile sunt coordonate de echipa Zemernett. Ulterior, pot fi furnizate servicii de conformitate administrată pentru monitorizarea continuă și suportul necesar menținerii cerințelor directivei pe termen lung.

Concluzie

Directiva NIS2 marchează trecerea de la o abordare reactivă la una bazată pe prevenție și management continuu al riscurilor cibernetice. Pentru multe organizații, primul pas constă în stabilirea încadrării în prevederile directivei, urmând ca ulterior să fie evaluate nivelul actual de securitate și măsurile necesare pentru atingerea conformității.

Din perspectivă IT, conformitatea cu NIS2 presupune mult mai mult decât implementarea unor soluții de securitate. Este necesară construirea unui ecosistem capabil să prevină atacurile, să detecteze rapid incidentele, să limiteze impactul acestora și să asigure continuitatea activității în orice situație.

O evaluare realizată din timp, împreună cu implementarea graduală a măsurilor tehnice și organizatorice recomandate, poate reduce semnificativ atât riscurile cibernetice, cât și efortul necesar pentru respectarea obligațiilor impuse de noul cadru legislativ european.

Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).

Shares