Europos Sąjungos NIS2 direktyva (2022/2555) į Lietuvos teisę perkelta atnaujintu kibernetinio saugumo įstatymu. Reikalavimai taikomi ne tik didelėms bendrovėms: į sąrašą patenka vidutinės ir kai kuriais atvejais net mažos įmonės, veikiančios energetikos, transporto, sveikatos, skaitmeninės infrastruktūros, gamybos, maisto ir kituose sektoriuose, taip pat jų tiekėjai.
Kas keičiasi
- Vadovybė asmeniškai atsako už kibernetinio saugumo priemonių patvirtinimą ir priežiūrą.
- Apie reikšmingus incidentus reikia pranešti Nacionaliniam kibernetinio saugumo centrui per 24 valandas (pirminis pranešimas) ir per 72 valandas (išsamus).
- Privaloma rizikos valdymo sistema: prieigos kontrolė, atsarginės kopijos, tiekimo grandinės saugumas, daugiapakopis autentifikavimas, darbuotojų mokymai.
- Esminiams subjektams numatytos baudos iki 10 mln. EUR arba 2 % pasaulinės metinės apyvartos (taikoma didesnė suma).
Nuo ko pradėti
Pirmas žingsnis – inventorizacija: kokie įrenginiai, sistemos ir duomenys yra įmonėje ir kas už juos atsako. Antras – bazinės techninės priemonės, padedančios įgyvendinti NIS2 reikalavimus: centralizuotai valdoma galinių įrenginių apsauga (EDR), pažeidžiamumų valdymas, el. pašto apsauga ir atsarginės kopijos. Trečias – dokumentuota incidentų valdymo tvarka ir darbuotojų mokymai.
Platinamos Kaspersky Next, WithSecure Elements ir ImmuniWeb priemonės padeda įgyvendinti techninę NIS2 reikalavimų dalį. Jei reikia pagalbos renkantis – parašykite, padėsime sudaryti planą pagal įmonės dydį.