Nowy wymiar cyberbezpieczeństwa NIS 2

W dzisiejszym cyfrowym świecie, bezpieczeństwo informacji i zapewnienie odpowiedniego poziomu ochrony infrastruktury krytycznej są priorytetami dla państw Unii Europejskiej. Dyrektywa NIS 2¹ wprowadza nowe wymogi, kładąc większy nacisk na koordynację między państwami członkowskimi, rozszerzenie zakresu podmiotów objętych regulacjami oraz zaostrzenie wymogów dotyczących zarządzania ryzykiem i reagowania na incydenty.

Wymogi NIS 2 wpływają również na sektor kwalifikowanych usług zaufania zdefiniowanych w Rozporządzeniu eIDAS², a podmioty je świadczące zostały uznane jako kluczowe zgodnie z ww. dyrektywą. Pociąga to za sobą konieczność sprostania przez nie jeszcze wyższym wymogom cyberbezpieczeństwa niż dotychczas. Warto zaznaczyć, że wymienione w Dyrektywie NIS 2 obowiązki dotyczące cyberbepzieczeństwa stanowią uzupełnienie wymogów nałożonych na dostawców usług zaufania przez Rozporządzenie eIDAS. NIS 2 nakłada na te podmioty obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zarządzania ryzykiem związanym z bezpieczeństwem sieci i systemów informatycznych oraz zobowiązuje je do niezwłocznego zgłaszania incydentów mających znaczący wpływ na świadczenie usług do właściwych organów krajowych. Niemniej wymogi dotyczące dostawców kwalifikowanych usług zaufania określone w Rozporządzeniu eIDAS nadal mają zastosowanie.

Zarządzanie ryzykiem

Środki zarządzania ryzykiem mają na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami. Obejmują one co najmniej następujące elementy:

• politykę analizy ryzyka i bezpieczeństwa systemów informatycznych;
• obsługę incydentu;
• ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe;
• bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem, a jego bezpośrednimi dostawcami lub usługodawcami;
• bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie;
• polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie;
• podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa;
• polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania;
• bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami;
• w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.

Poważne incydenty

NIS 2 zobowiązuje dostawcę usług zaufania do zgłaszania poważnych incydentów, które mają wpływ na świadczenie jego usług, do odpowiedniego CSIRT-u lub, w stosownych przypadkach, właściwemu organowi, najpóźniej do 24 godzin od otrzymania informacji o takim incydencie. Za poważny incydent NIS 2 uznaje taki, który:

• spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu;
• wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe.

Idąc dalej Rozporządzenie wykonawcze³ do NIS 2 określa kryteria dla poważnych incydentów dotyczących dostawców usług zaufania tj:

• usługa zaufania jest całkowicie niedostępna przez ponad 20 minut;
• usługa zaufania jest niedostępna dla użytkowników lub stron ufających przez okres dłuższy niż jedna godzina w tygodniu kalendarzowym;
• ograniczona dostępność usługi zaufania ma wpływ na ponad 1 % użytkowników lub stron ufających w Unii lub ponad 200 000 użytkowników lub stron ufających w Unii, w zależności od tego, która z tych liczb jest mniejsza;
• fizyczny dostęp do obszaru, na którym znajdują się sieci i systemy informatyczne i do którego dostęp ma wyłącznie zaufany personel dostawcy usług zaufania, lub ochrona takiego fizycznego dostępu zostały naruszone;
• integralność, poufność lub autentyczność przechowywanych, przekazywanych lub przetwarzanych danych związanych ze świadczeniem usługi zaufania zostały naruszone, co ma wpływ na ponad 0,1 % użytkowników lub stron ufających lub ponad 100 użytkowników lub stron ufających, w zależności od tego, która z tych liczb jest mniejsza, korzystających z usługi zaufania w Unii.

Powyższe aspekty będą odpowiednio weryfikowane, ponieważ kwalifikowani dostawcy usług zaufania zostaną objęci kompleksowym systemem nadzoru ex-ante i ex-post, które oceniają zgodność z NIS 2 i Rozporządzeniem eIDAS.

UE zachęca do korzystania z kwalifikowanych usług zaufania

Szacuje się, że NIS 2 wg różnych źródeł obejmie ponad 150 tysięcy podmiotów w całej UE, zaś w Polsce ok. 10 tys. firm.

Dostosowanie się do nowej regulacji to z jednej strony często spore inwestycje infrastrukturalne czy osobowe, z drugiej zaś, unifikacja standardów w zakresie cyberbezpieczeństwa w UE. Ułatwi to współpracę między podmiotami transgranicznymi oraz zwiększy odporność cyfrową na cyberzagrożenia.

Na kwalifikowane usługi zaufania należy więc spojrzeć także pod kątem ich wykorzystania w zakresie uzyskania zgodności z NIS 2 przez podmioty z sektorów objętych dyrektywą. Na korzyści z outsourcingu zabezpieczeń wymaganych przez NIS 2 do kwalifikowanych dostawców usług zaufania wprost wskazuje fragment artykułu 24 tej regulacji:

„… państwa członkowskie zachęcają podmioty kluczowe i ważne do korzystania z kwalifikowanych usług zaufania.”

Kwalifikowane usługi zaufania mogą wesprzeć realizację następujących wymogów NIS2:

Ochrona integralności i autentyczności danych

Wymóg integralności danych mogą zaadresować kwalifikowane podpisy elektroniczne i pieczęci elektroniczne, których zastosowanie wprost zapewnia autentyczność (źródło pochodzenia) i integralność danych, co jest kluczowe w sektorach objętych NIS 2.

Bezpieczne przysłanie danych

Kwalifikowana usługa doręczania elektronicznego gwarantuje poufność i integralność przesyłanych danych, przez co wpisuje się w wymagania NIS 2 w zakresie bezpiecznej informacji wymienianej między poszczególnymi podmiotami.

Zgodność z wymogami prawa

Kwalifikowane usługi zaufania są już zgodne z przepisami UE, co pozwala podmiotom objętym NIS 2 uniknąć konieczności opracowywania własnych rozwiązań.

Interoperacyjność w UE

Interoperacyjne usługi zaufania wspierają wymianę danych między państwami i organizacjami w ramach UE, co jest kluczowe dla efektywnej koordynacji działań w przedsiębiorstwach realizujących działalność transgranicznie.

Podsumowanie

Kwalifikowane usługi zaufania stanowią solidny fundament funkcjonalny i technologiczny dla realizacji wielu wymogów NIS 2, a ich umiejętne zastosowanie minimalizuje ryzyko cyberzagrożeń i ułatwia podmiotom spełnienie obowiązków z niej wynikających. Dyrektywa stanowi istotny krok w kierunku zwiększenia poziomu cyberbezpieczeństwa w Unii Europejskiej, w tym w sektorze kwalifikowanych usług zaufania. Choć wiąże się z licznymi wyzwaniami, jej wdrożenie może przyczynić się do zwiększenia zaufania do usług cyfrowych oraz poprawy odporności na zagrożenia cybernetyczne.

Planowana zmiana ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych usług (KSC) jest wciąż niewdrożoną implementacją NIS 2 w Polsce, bez której nie możemy mówić o wdrożeniu pełnego mechanizmu prawnego w zakresie realizacji wymogów NIS 2.

‍