NIS2 direktyvos incidentų pranešimas: saugūs kanalai kibernetiniam saugumui.

NIS2 reikalauja pranešimų mechanizmų. Su ES direktyva reikia konfidencialių kanalų.

18 sektorių: energetika, transportas, bankai, skaitmeninė infrastruktūra.

Valstybės narės turėjo perkelti NIS2 iki 2024 m. spalio.

Taip. Vieninga platforma, tokia kaip Ashio, gali būti jūsų vidinis pranešimų kanalas tiek kibernetinio saugumo incidentams (NIS2), tiek bendriems pranešimams (ES direktyva 2019/1937). Tai efektyviausias ir darbuotojams aiškiausias sprendimas.

Taip. NIS2 13 straipsnis aiškiai reikalauja pranešimų kanalo, atitinkančio tuos pačius standartus kaip ES whistleblowing direktyva – konfidencialumas, patvirtinimas per 7 dienas, atsiliepimas per 3 mėnesius ir apsauga nuo atsakomųjų veiksmų. Vienas Ashio kanalas gali lygiagrečiai aptarnauti NIS2 incidentų pranešimus ir whistleblowing.

Kai darbuotojas praneša apie įtariamą kibernetinį incidentą per Ashio, jūsų saugumo komanda gauna pranešimą su visa kontekstine informacija, gali jį klasifikuoti (kritinis, aukštas, vidutinis, žemas), atlikti tyrimą ir atsakyti pranešėjui per 3 mėnesius. ENISA ir nacionaliniai CSIRT paprastai tikisi pranešimo per 24 valandas kaip ankstyvojo įspėjimo, tada 72 valandas pilnam incidento pranešimui – Ashio fiksuoja vidinę laiko juostą.

Ne. NIS2 apima 18 sektorių – energetiką, transportą, bankininkystę, sveikatą, geriamąjį vandenį, skaitmeninę infrastruktūrą, viešąjį administravimą ir kitus – ir taikomas 'esminiams' ir 'svarbiems' subjektams visų dydžių šiuose sektoriuose, su tam tikromis dydžio ribomis. Daugelis tradicinių gamybos, logistikos ir sveikatos priežiūros įmonių dabar patenka į taikymo sritį.

NIS2 incidentų pranešimo šablonas paprastai fiksuoja: incidento identifikatorių, aptikimo datą ir laiką, incidento aprašymą, įtariamą priežastį, paveiktas sistemas ir paslaugas, apskaičiuotą poveikį (svarbumą, geografinę apimtį) bei ar yra susijusių asmens duomenų. Pirmasis pranešimas (ankstyvasis įspėjimas per 24 valandas) sąmoningai lengvas — pakankamas, kad CSIRT žinotų apie incidentą ir galėtų prioritetizuoti reagavimą. Visas pranešimas per 72 valandas papildo rimtumo vertinimą, pagrindinę priežastį ir taikomas/vykdomas švelninimo priemones. Ashio fiksuoja visa tai struktūrizuotoje įvesties formoje, atitinkančioje jūsų CSIRT šabloną, todėl ataskaitos pereina iš formos į CSIRT darbo eigą be rankinio performatavimo.

NIS2 incidentų pranešimas yra reguliavimo prievolė pranešti kompetentingai institucijai (jūsų nacionaliniam CSIRT ir, kai aktualu, ENISA) apie kibernetinį incidentą per nustatytus terminus. NIS2 incidentų valdymas yra vidinė techninė veikla — lokalizavimas, pašalinimas ir atstatymas. Šios dvi vyksta nuosekliai: aptinkate incidentą, pradedate valdymą, pranešate apie incidentą per 24/72 valandas reguliuotojui ir pateikiate galutinę ataskaitą per mėnesį. Ashio palaiko pranešimų pusę (pranešimai + audito pėdsakas + struktūrizuota įvestis) ir integruojasi su jūsų incidentų valdymo įrankiais per webhook.

NIS incidentų pranešimas yra prievolė pagal pradinę NIS direktyvą (Direktyva (ES) 2016/1148) — NIS2 pirmtakę — esminių paslaugų operatoriams ir skaitmeninių paslaugų teikėjams pranešti savo nacionaliniam CSIRT apie incidentus, darančius poveikį esminių paslaugų tęstinumui. Pradinė NIS pranešimo prievolė buvo lengvesnė: pranešimai paprastai neturėjo fiksuoto termino, tik reikalavimas informuoti be nepagrįsto delsimo. NIS2 (Direktyva (ES) 2022/2555) pakeičia NIS ir prideda griežtus terminus (24 valandų ankstyvasis įspėjimas / 72 valandų pranešimas / vieno mėnesio galutinė ataskaita), taikomus platesniam 'esminių' ir 'svarbių' subjektų ratui. Dauguma organizacijų, kurioms taikyta NIS, taip pat patenka į NIS2 taikymo sritį.

Direktyvos (ES) 2022/2555 23 straipsnis — tai incidentų pranešimo straipsnis. Jis įpareigoja esminius ir svarbius subjektus per 24 valandas nuo sužinojimo apie reikšmingą incidentą išsiųsti išankstinį įspėjimą nacionaliniam CSIRT arba kompetentingai institucijai, per 72 valandas — pranešimą (pirminis sunkumo vertinimas ir, jei turima, pažeidimo požymiai) ir per vieną mėnesį — galutinę ataskaitą (priežastis, švelninimo priemonės, tarpvalstybinis poveikis). Pranešti privaloma tik apie reikšmingus incidentus, o terminas pradedamas skaičiuoti nuo sužinojimo — ne nuo tyrimo pabaigos. 23 straipsnis taip pat įpareigoja subjektus nedelsiant informuoti savo paslaugų gavėjus apie priemones ar sprendimus, kurių jie gali imtis reaguodami į reikšmingą kibernetinę grėsmę. Ashio apima vidinę dalį: šifruotas priėmimas su laiko žyma, todėl pranešimas, nuo kurio pradedamas terminas, užfiksuojamas tą pačią dieną ir gali būti eksportuojamas kaip įrodymas pranešimui CSIRT.