Eiropas Savienības NIS2 direktīva (2022/2555) Latvijā ir pārņemta ar Nacionālās kiberdrošības likumu, kas stājās spēkā 2024. gada 1. septembrī, bet Lietuvā – ar grozīto Kiberdrošības likumu. Prasības neattiecas automātiski uz visiem uzņēmumiem: tās skar likumā noteikto nozaru būtisko un svarīgo pakalpojumu sniedzējus – parasti vidējus un lielus uzņēmumus enerģētikas, transporta, veselības, digitālās infrastruktūras, ražošanas, pārtikas un citās nozarēs, bet atsevišķos gadījumos arī mazākus. Piegādātājus prasības var skart netieši – ar līgumos noteiktām drošības prasībām.
Kas mainās
- Vadība ir personīgi atbildīga par kiberdrošības pasākumu apstiprināšanu un uzraudzību.
- Par būtiskiem incidentiem jāziņo 24 stundu laikā (agrīnais brīdinājums) un 72 stundu laikā (ziņojums par incidentu): Latvijā – CERT.LV, Lietuvā – Nacionālajam kiberdrošības centram.
- Obligāta risku pārvaldības sistēma: piekļuves kontrole, rezerves kopijas, piegādes ķēdes drošība, daudzfaktoru autentifikācija, darbinieku apmācība.
- NIS2 direktīva paredz, ka maksimālais naudas sods būtiskajām vienībām ir vismaz 10 miljoni EUR jeb 2 % no kopējā gada apgrozījuma pasaulē, bet svarīgajām vienībām – vismaz 7 miljoni EUR jeb 1,4 % (piemēro lielāko summu).
Ar ko sākt
Pirmais solis ir inventarizācija: kādas ierīces, sistēmas un dati uzņēmumam ir un kas par tiem atbild. Otrais – pamata tehniskie pasākumi, ko NIS2 tieši pieprasa: centralizēti pārvaldīta galiekārtu aizsardzība (EDR), ievainojamību pārvaldība, e-pasta aizsardzība un rezerves kopijas. Trešais – dokumentēta incidentu pārvaldības kārtība un darbinieku apmācība.
Mūsu izplatītie Kaspersky Next, WithSecure Elements un ImmuniWeb rīki aptver NIS2 tehnisko daļu. Ja jums nepieciešama palīdzība izvēlē – rakstiet mums, mēs palīdzēsim sastādīt plānu atbilstoši jūsu uzņēmuma lielumam.