NIS2 direktiivi intsidentide teatamine: turvalised kanalid küberturvalisuse jaoks.

NIS2 nõuab intsidentide teavitamismehhanisme, kuid ei kasuta terminit 'teavitamine' otseselt. Siiski tähendab NIS2 kombinatsioon EL-i teavitajakaitse direktiiviga, et ulatusse kuuluvatel organisatsioonidel peaksid olema konfidentsiaalsed, kättemaksukindlad kanalid küberjulgeoleku teatamiseks.

NIS2 hõlmab 18 sektorit, sealhulgas energia, transport, pangandus, digitaristu, avalik haldus, tervishoid, toit, jäätmekäitlus ja tootmine — palju laiem kui algne NIS direktiiv.

Liikmesriigid pidid NIS2 oma riiklikku õigusesse üle võtma 2024. aasta oktoobriks. Organisatsioonid peaksid juba vastavuses olema või selle nimel aktiivselt töötama.

Jah. Ühtne platvorm nagu Ashio saab olla teie sisemine teavitamiskanal nii küberintsidentide (NIS2) kui ka üldise teavitamise (EL-i direktiiv 2019/1937) jaoks. See on kõige tõhusam ja vähem segadust tekitav lähenemine teie töötajatele.

Jah. NIS2 artikkel 13 nõuab selgesõnaliselt teavitamiskanalit, mis vastab samadele standarditele nagu EL-i whistleblowing-direktiiv – konfidentsiaalsus, kinnitus 7 päeva jooksul, tagasiside 3 kuu jooksul ja kaitse kättemaksmise eest. Üks Ashio-kanal võib paralleelselt katta nii NIS2-intsidentide teavitamise kui ka whistleblowingi.

Kui töötaja teatab kahtlustatavast küberturvalisuse intsidentist Ashio kaudu, saab teie turvameeskond teavituse koos täieliku kontekstiga, saab selle klassifitseerida (kriitiline, kõrge, keskmine, madal), viia läbi uurimise ja vastata teavitajale 3 kuu jooksul. ENISA ja riiklikud CSIRT-id eeldavad tavaliselt teavitust 24 tunni jooksul varajase hoiatusena, seejärel 72 tundi täielikuks intsidenteavituseks – Ashio salvestab sisemise ajajoone.

Ei. NIS2 hõlmab 18 sektorit – energia, transport, pangandus, tervishoid, joogivesi, digitaalne taristu, avalik haldus ja muud – ja kehtib nendes sektorites tegutsevatele 'olulistele' ja 'tähtsatele' üksustele igas suuruses, teatud suurusekünnistega. Paljud traditsioonilised tootmis-, logistika- ja tervishoiuettevõtted on nüüd hõlmatud.

NIS2 intsidendist teatamise mall sisaldab tavaliselt: intsidendi identifikaatorit, tuvastamise kuupäeva ja kellaaega, intsidendi kirjeldust, eeldatavat põhjust, mõjutatud süsteeme ja teenuseid, hinnangulist mõju (tõsidus, geograafiline ulatus) ning kas isikuandmed on kaasatud. Esimene teatis (24-tunnine varajane hoiatus) on taotluselt kergekaaluline — piisav, et CSIRT teaks intsidendist ja saaks reageerimist prioritiseerida. Täielik teatis 72 tunni jooksul lisab tõsiduse hinnangu, algpõhjuse ja rakendatud/käimasolevad leevendusmeetmed. Ashio salvestab kõik selle struktureeritud sisestusvormis, mis vastab teie CSIRT-i mallile, nii et aruanded liiguvad vormilt CSIRT-i töövoogu ilma käsitsi ümbervormindamiseta.

NIS2 intsidendist teatamine on regulatiivne kohustus teavitada pädevat asutust (teie riiklikku CSIRT-i ja vajadusel ENISA-t) küberintsidendist ettenähtud tähtaegade jooksul. NIS2 intsidentidele reageerimine on sisemine tehniline tegevus piiramiseks, likvideerimiseks ja taastamiseks. Need kaks on järjestikused: tuvastate intsidendi, alustate reageerimist, teatate intsidendist 24/72 tunni jooksul reguleerivale asutusele ja esitate lõpparuande ühe kuu jooksul. Ashio toetab teatamise poolt (teavitused + auditi jäljed + struktureeritud sisestus) ning integreerub teie intsidentidele reageerimise tööriistadega veebikonksu kaudu.

NIS-i intsidendist teatamine on algse NIS-direktiivi (direktiiv (EL) 2016/1148) — NIS2 eelkäija — kohaselt kohustus, mille kohaselt oluliste teenuste operaatorid ja digitaalteenuste pakkujad peavad teavitama oma riiklikku CSIRT-i intsidentidest, mis mõjutavad oluliste teenuste järjepidevust. Algne NIS-i teatamiskohustus oli kergem: teavitustel ei olnud tavaliselt fikseeritud tähtaega, ainult nõue teavitada ilma põhjendamatu viivituseta. NIS2 (direktiiv (EL) 2022/2555) asendab NIS-i ja lisab ranged tähtajad (24-tunnine varajane hoiatus / 72-tunnine teatis / ühe kuu lõpparuanne), mida kohaldatakse laiemale 'oluliste' ja 'tähtsate' üksuste ringile. Enamik organisatsioone, mis olid NIS-i reguleerimisalas, on ka NIS2 reguleerimisalas.

Direktiivi (EL) 2022/2555 artikkel 23 käsitleb intsidentidest teatamist. See kohustab olulisi ja tähtsaid üksusi saatma oma riiklikule CSIRT-ile või pädevale asutusele varajase hoiatuse 24 tunni jooksul olulisest intsidendist teadasaamisest, teatise 72 tunni jooksul (esmane raskusastme hinnang ja võimaluse korral kompromiteerimise indikaatorid) ning lõpparuande ühe kuu jooksul (juurpõhjus, leevendavad meetmed, piiriülene mõju). Teatamiskohustus kehtib ainult oluliste intsidentide puhul ja tähtaeg algab teadasaamisest — mitte uurimise lõppemisest. Artikkel 23 kohustab üksusi ka teavitama viivitamata oma teenuste saajaid meetmetest või lahendustest, mida nad saavad olulise küberohu korral rakendada. Ashio katab sisemise poole: krüpteeritud ja ajatempliga vastuvõtt, nii et tähtaja käivitav teade on dokumenteeritud saabumise päeval ja eksporditav tõendina CSIRT-teatise jaoks.