Директивата за мрежова и информационна сигурност - изпитание за бизнеса

Макар и правилата на тази директива все още да не са част от българското законодателство, сроковете за приемането им вече текат, а компаниите трябва да се готвят - както големите, така и малките - с над 50 души персонал. Законодателните промени очакват разглеждане в парламента.

• От 2025 г. влизат в сила повечето забрани за прилагане на "високорискови" системи с ИИ в Европа

50-ият парламент не успя да разгледа предложенията за промени в Закона за киберсигурност. Текстовете за промяната, които въвеждаха правилата на известната като НИС-2 директива, не стигнаха до пленарната зала заради политическата ситуация. Но част от тях предвиждаха в системата за мрежова сигурност да се включват нови сектори като пощенски и куриерски услуги, управление на отпадъците, научни изследвания. Текстовете предвиждаха значително завишаване на глобите за неспазване на правилата по закона от обществени и частни субекти.

• Край на безотговорните продажби на уреди и устройства с цифров компонент

Експерти като Николай Крушков от УНСС започват разказа за киберситурността и новата директива НИС-2 със случка от опита - как едно просто решение да получи интернет от два уж независими доставчика – "единият сигурен, другият - за всеки случай", не се оказало особено далновидно. Интернетът идвал от Германия по оптична връзка и когато в Румъния скъсали оптичния кабел, докато правят пътища, Крушков останал без интернет.

"Това кибер ли е или не е киберпроблем?"

Предприятията трябва да имат редица писмени документи за киберсигурност, обяснява Николай Крушков за новата директива.

"Политики за анализ на риска и сигурност, действия при инцидент, правила за непрекъснатост на стопанската дейност, правила за сигурност на доставките, сигурност на придобиването на мрежови информационни системи…"

Към това той добавя обучение на ръководителите веднъж на две години, а на служителите – веднъж годишно.

Другата по-съществена процедура е задължението за докладване на киберинциденти. Въвежда се задължението да се докладва на секторен екип – например субектите в енергетиката ще докладват на Министерството на енергетиката, тези в транспорта – на Министерството на транспорта, в областта на храните – на Министерството на земеделието.

Проблем според Николай Крушков от УНСС ще е въпросът как ще се определя кое е всеки значителен инцидент в кибесигурността.

"Който е причинил или е в състояние да причини сериозно оперативно смущение в услугите. Тоест, ако ми спре токът, сериозно оперативно смущение ли е в киберуслугите?"

Докладването в хипотетичната засега ситуация на новите разпоредби е на етапи, през определено време, дори и към потенциално засегнатите. За един инцидент. Всичко това ще стане задължително под заплахата за излишно високи санкции, пояснява Николай Крушков от катедрата в УНСС, която се занимава с трансфер на технологии.

Той коментира, че предвидените стойности – от 100 000 и 200 000 лева нагоре при първо нарушение са безпрецедентни за българското законодателство.

• ЕС одобри нови мерки за киберсигурност

Бизнесите в Европа няма да бъдат глобявани веднага за неизпълнения на европейските киберзаконодателства, уточнява Славомир Горняк от Европейската агенция за киберсигурност.

Освен поетапното въвеждане на регламента за мрежова и информационна сигурност, ЕС започва въвеждането на Законодателен акт на киберустойчивост. Тя засяга основно производителите на… всичко, което има чипове в себе си, най-общо казано, дори бебешките монитори и интелигентните часовници.

Некомерсиалният софтуер с отворен код ще бъде освободен от тези правила, тъй като обикновено се разработва на база с нестопанска цел. Но производители, вносители и дистрибутори ще носят отговорност, гарантирайки, че продуктите са и остават сигурни.

Те трябва да предоставят задължителни актуализации на сигурността. За прилагането му вече текат дву- и тригодишни  срокове, а глобите са до 2,5% от глобалния оборот за компаниите. Славомир Горняк от Европейската агенция за киберсигурност уверява, че надзорните органи не биха започнали директно с глобите за неспазване.

"Законодателният акт на ЕС за киберустойчивост ще бъде нещо, което ще промени играта за всички. Малко като GDPR беше за поверителността и защитата на данните. От това, което виждам, а и от опита, не мисля, че надзорните органи ще започнат работата веднага с налагане на глоби и санкции на компании. Има обаче редица изисквания, които трябва да се изпълнят. Предполагам, че този път ще трябва да разчитаме и на кампании за повишаване на осведомеността. Известно ми е, че Комисията планира да започне подобни дейности, след като законодателството бъде публикувано. Първите версии на законодателството показваха, че имаше правила, които наистина биха затруднили малкия бизнес. Сега текстовете са "по-меки". Не казвам въобще да не се тревожите, но  поне се информирайте и търсете информация."

Европейската агенция за киберсигурност готви стандарт за т.нар. портфейл за цифрова идентичност на Европейския съюз.

"Получихме това искане, за да започнем работа по приложението на цифровия идентификационен портфейл. Много държави членки също работят върху собствените си портфейли. Виждаме, че ще ни отнеме известно време, за да имаме единен стандарт за тези "портфейли". Ще оставим на държавите инициативата да създават свои стандарти. Поставили сме нашите изисквания за сертифициране и също така подкрепяме държавите-членки, които са разработили такива национални схеми. Ще се опитаме да ограничим щетите за в бъдеще, ако има отклонения от основните принципи."

От дългите и тясноспециализирани обяснения на Славомир Горняк за новите европейски стандарти и предизвикателствата в хармонизирането им става ясно едно - ЕК няма да се откаже да пише стандарти за киберсигурност.

Повече по темата чуйте в звуковия файл.