Coraz bardziej narażony jest też łańcuch dostaw. Na atak wystawieni są dostawcy oprogramowania, firmy wykonujące usługi w chmurze i partnerzy technologiczni. Wystarczy jeden słabo zabezpieczony poddostawca, by zagrozić całemu systemowi – od pojazdu, przez ładowarkę, aż po operatora sieci energetycznej.
NIS2 i UKSC – nowe obowiązki, nowa odpowiedzialność zarządu
I tak dochodzimy do NIS2 i UKSC. Ale po kolei. Aby zrozumieć, dlaczego NIS2 budzi dziś tyle emocji, warto cofnąć się o kilka lat. Pierwsza dyrektywa NIS z 2016 roku była w praktyce zbiorem dobrych rad. Dotyczyła wąskiej grupy firm z kluczowych branż – energetyki, transportu, finansów czy zdrowia – i przede wszystkim zachęcała je do dbania o cyberbezpieczeństwo oraz zapobiegania incydentom.
Problem w tym, że jej egzekwowanie było, mówiąc wprost, nieskuteczne, a poszczególne kraje UE interpretowały te obowiązki na własny sposób. Efekt? Poziom ochrony w Europie był bardzo nierówny, a cyberbezpieczeństwo wciąż pozostawało dla wielu firm jedynie kwestią dobrej woli.
NIS2 zamienia te dobre rady w twarde prawo, i to na trzech poziomach. Po pierwsze, dotyczy wielokrotnie większej liczby firm – nie ok. 10 tysięcy podmiotów w całej UE, lecz 150 tysięcy. Dodano kolejne sektory i włączono do systemu także mniejsze przedsiębiorstwa oraz ich poddostawców.
Po drugie, dyrektywa przenosi punkt ciężkości z samego zapobiegania na gotowość do działania: obowiązkowe zarządzanie ryzykiem, zabezpieczenie łańcucha dostaw i szybkie zgłaszanie incydentów (w ciągu 24 godzin ma pojawić się wstępne powiadomienie a maksymalnie w ciągu 72 godzin powinno wpłynąć pełne zgłoszenie).