NIS2 direktīvas incidentu ziņošana: droši kanāli kiberdrošībai.

NIS2 pieprasa incidentu ziņošanas mehānismus, bet tieši neizmanto terminu "trauksmes celšana". Tomēr NIS2 kombinācija ar ES Trauksmes celšanas direktīvu nozīmē, ka attiecīgajām organizācijām jābūt konfidenciāliem, pret atriebību drošiem kanāliem kiberdrošības ziņošanai.

NIS2 aptver 18 nozares, tostarp enerģētiku, transportu, banku darbību, digitālo infrastruktūru, publisko pārvaldi, veselības aprūpi, pārtiku, atkritumu apsaimniekošanu un ražošanu — krietni plašāk nekā sākotnējā NIS direktīva.

Dalībvalstīm bija jātransponē NIS2 valsts tiesību aktos līdz 2024. gada oktobrim. Organizācijām jau vajadzētu būt atbilstošām vai aktīvi strādāt pie tā.

Jā. Vienota platforma, piemēram, Ashio, var kalpot kā jūsu iekšējais ziņošanas kanāls gan kiberdrošības incidentiem (NIS2), gan vispārējai trauksmes celšanai (ES Direktīva 2019/1937). Tā ir visefektīvākā un vismazāk mulsinošā pieeja jūsu darbiniekiem.

Jā. NIS2 13. pants skaidri prasa ziņošanas kanālu, kas atbilst tām pašām prasībām kā ES whistleblowing direktīva – konfidencialitāte, apstiprinājums 7 dienu laikā, atgriezeniskā saite 3 mēnešu laikā un aizsardzība pret represijām. Viens Ashio kanāls var paralēli segt gan NIS2 incidentu ziņošanu, gan whistleblowing.

Kad darbinieks ziņo par aizdomām par kiberincidentu, izmantojot Ashio, jūsu drošības komanda saņem ziņojumu ar pilnu kontekstu, to var klasificēt ( kritisks, augsts, vidējs, zems), veikt izmeklēšanu un atbildēt ziņotājam 3 mēnešu laikā. ENISA un nacionālie CSIRT parasti sagaida ziņošanu 24 stundu laikā kā agrīnu brīdinājumu, pēc tam 72 stundas pilnīgai incidenta ziņošanai – Ashio fiksē iekšējo laika grafiku.

Nē. NIS2 aptver 18 sektorus – enerģētiku, transportu, banku darbību, veselību, dzeramo ūdeni, digitālo infrastruktūru, valsts pārvaldi un vairāk – un attiecas uz 'būtiskām' un 'svarīgām' vienībām visos izmēros šajos sektoros, ar dažiem izmēra sliekšņiem. Daudzi tradicionālie ražošanas, loģistikas un veselības aprūpes uzņēmumi tagad ir tvērumā.

NIS2 incidentu ziņošanas veidlapa parasti ietver: incidenta identifikatoru, atklāšanas datumu un laiku, incidenta aprakstu, iespējamo cēloni, ietekmētās sistēmas un pakalpojumus, aprēķināto ietekmi (nopietnību, ģeogrāfisko tvērumu) un vai ir iesaistīti personas dati. Pirmais ziņojums (24 stundu agrā brīdināšana) ir apzināti viegls — pietiekams, lai CSIRT zinātu par incidentu un varētu noteikt reaģēšanas prioritāti. Pilnais ziņojums 72 stundu laikā pievieno nopietnības novērtējumu, pamatcēloni un piemērotos/notiekošos mazināšanas pasākumus. Ashio fiksē visu šo strukturētā ievades veidlapā, kas atbilst jūsu CSIRT veidnei, tāpēc ziņojumi pāriet no veidlapas tieši uz CSIRT darbplūsmu bez manuālas pārformēšanas.

NIS2 incidentu ziņošana ir regulatīvs pienākums informēt kompetento iestādi (jūsu nacionālo CSIRT un, kur attiecas, ENISA) par kiberincidientu noteiktajos termiņos. NIS2 incidentu reaģēšana ir iekšēja tehniska darbība — ierobežošana, izskaušana un atjaunošana. Šīs divas ir secīgas: atklājat incidentu, sākat reaģēšanu, ziņojat par incidentu 24/72 stundu laikā regulatoram un iesniedzat gala ziņojumu viena mēneša laikā. Ashio atbalsta ziņošanas pusi (ziņojumi + audita pēdas + strukturēta ievade) un integrējas ar jūsu incidentu reaģēšanas rīkiem, izmantojot webhook.

NIS incidentu ziņošana ir pienākums saskaņā ar sākotnējo NIS direktīvu (Direktīva (ES) 2016/1148) — NIS2 priekšteci — būtisko pakalpojumu operatoriem un digitālo pakalpojumu sniedzējiem informēt savu nacionālo CSIRT par incidentiem, kas ietekmē būtisko pakalpojumu nepārtrauktību. Sākotnējais NIS ziņošanas pienākums bija vieglāks: ziņojumiem parasti nebija noteikta termiņa, tikai prasība informēt bez nepamatotas kavēšanās. NIS2 (Direktīva (ES) 2022/2555) aizstāj NIS un pievieno stingrus termiņus (24 stundu agrā brīdināšana / 72 stundu ziņojums / viena mēneša gala ziņojums), kas attiecas uz plašāku 'būtisko' un 'svarīgo' vienību loku. Lielākā daļa organizāciju, kas ietilpa NIS darbības jomā, ietilpst arī NIS2 darbības jomā.

Direktīvas (ES) 2022/2555 23. pants ir incidentu paziņošanas pants. Tas uzliek būtiskām un svarīgām vienībām pienākumu 24 stundu laikā pēc uzzināšanas par nozīmīgu incidentu nosūtīt savlaicīgu brīdinājumu nacionālajai CSIRT vienībai vai kompetentajai iestādei, 72 stundu laikā — paziņojumu (sākotnējais smaguma novērtējums un, ja pieejami, kompromitēšanas rādītāji) un viena mēneša laikā — gala ziņojumu (pamatcēlonis, mīkstinošie pasākumi, pārrobežu ietekme). Paziņojami ir tikai nozīmīgi incidenti, un termiņš sākas ar uzzināšanas brīdi — nevis ar izmeklēšanas beigām. 23. pants arī uzliek vienībām pienākumu nekavējoties informēt savu pakalpojumu saņēmējus par pasākumiem vai risinājumiem, ko viņi var veikt saistībā ar nozīmīgu kiberdraudu. Ashio nodrošina iekšējo daļu: šifrētu saņemšanu ar laika zīmogu, lai paziņojums, kas sāk termiņu, tiktu fiksēts tā saņemšanas dienā un būtu eksportējams kā pierādījums CSIRT paziņojumam.