NIS2 и ISO 27001: Как сертификацията по ISO 27001 помага на организациите да отговорят на изискванията за киберсигурност на NIS2

Макар NIS2 да е директива на ЕС, нейното практическо въздействие се простира далеч отвъд границите на Съюза. Производителите, доставчиците на технологии, логистичните компании и доставчиците на услуги, които са част от европейските вериги на стойността, все по-често се сблъскват със специфични очаквания за киберсигурност и изисквания за предоставяне на доказателства от страна на своите клиенти. Сертифицирането по ISO 27001 се превръща в ключов сигнал в този контекст: то показва, че дадена организация управлява рисковете, свързани с информационната сигурност, систематично и в съответствие с международно признат стандарт.

За много организации това повдига стратегически въпрос:

Ако искаме да участваме надеждно в европейските вериги на доставки, превръща ли се сертификацията по ISO 27001 в изискване за достъп?

ISO 27001 като врата към европейските вериги за доставки

От нарастващия брой търгове и оценки на доставчици се очертава ясна картина:

• ISO 27001 осигурява призната и подлежаща на одит основа за много от очакванията за киберсигурност и управление, които възникват вследствие на NIS2.
• За достъп до взискателни клиентски взаимоотношения и критични вериги на доставки сертификацията все повече се разглежда като минимално изискване, а не като фактор за отличие.
• Организациите с развита, сертифицирана система за управление на информационната сигурност (ISMS) са в по-добра позиция да отговорят на въпросите в анкетите, одитите и дейностите по надлежна проверка, свързани с NIS2, по цялата верига на доставки.

В този смисъл сертификацията по ISO 27001 се превръща в ефективен път към европейските вериги на доставки – не защото сама по себе си изпълнява всички задължения по NIS2, а защото осигурява структурираната и подлежаща на проверка рамка, която много европейски клиенти вече очакват като минимално изискване.

Нарастващите разходи, свързани с кибернарушенията

Днес киберинцидентите рядко остават изолирани — те се разпространяват по веригите на доставки, спират операциите и излагат организациите на регулаторен контрол дълго след първоначалното нарушение.

В производството, здравеопазването, транспорта и критичната инфраструктура организациите са се сблъсквали с прекъсвания на дейността, продължаващи дни или дори седмици: производствените линии са спирали, логистичните мрежи са зацикляли, а обслужването на клиентите е ставало недостъпно.

Това, което прави много от тези инциденти особено тревожни, е, че те не винаги са започнали с изключително сложни атаки. В много случаи нападателите са се възползвали от слабости в екосистемите на доставчиците, системи без инсталирани кръпки, недостатъчен мониторинг или забавено реагиране при инциденти.

За бизнес лидерите един урок стана ясен:
ключовият въпрос вече не е дали дадена организация може да предотврати всеки киберинцидент, а дали може да продължи да функционира, когато такъв възникне.

Тази промяна в мисленето е в основата на NIS2.

Защо NIS2 е важна за управителните съвети

• Киберсигурността се превърна в въпрос, който се обсъжда в заседателните зали, а не е чисто ИТ-въпрос: управителните органи трябва да одобряват и да контролират мерките за управление на рисковете, свързани с киберсигурността.
• Националните закони за прилагане на NIS2 могат да налагат глоби на нивото на GDPR – до 10 милиона евро или 2 % от глобалния годишен оборот за съществени субекти и до 7 милиона евро или 1,4 % за важни субекти.
• Членовете на управителния орган могат да бъдат държани отговорни за неадекватен надзор върху управлението на рисковете, свързани с киберсигурността, в съответствие с националните правила за отговорност.

NIS2 поставя силен акцент върху управлението, отчетността и организационната устойчивост. Организациите, попадащи в обхвата на директивата, трябва да демонстрират, наред с другото:

• Активното участие на висшето ръководство в прилагането и мониторинга на мерките за киберсигурност,
• ефективни процеси за докладване на значими инциденти, свързани със сигурността,
• Структурирано управление на рисковете, свързани с киберсигурността,
• ефективни контролни механизми за сигурност във веригата на доставки,
• Мерки за осигуряване на непрекъснатост на дейността 

Където ISO 27001 осигурява солидна основа

Организациите, сертифицирани по ISO 27001, вече разполагат със структурирана рамка за управление на риска, управление и реагиране при инциденти – всички те са елементи, които подкрепят изискванията на NIS2.

В основата си ISO 27001 се основава на избор на контролни мерки, базиран на риска, свързани с бизнес процесите на организацията, ясни отговорности и политики за управление, както и непрекъснато подобрение (цикълът PDCA). Тези принципи могат да бъдат директно приложени към организационните и техническите мерки, определени в регламентите на NIS2.

Организациите с добре развита система за управление на информационната сигурност (ISMS) обикновено вече разполагат със следното:

• Структури за управление на информационната сигурност
• Ефективни процеси за оценка и управление на риска
• Документирани политики за сигурност и ясно определени отговорности
• Процедури за управление на инциденти
• Цикли за вътрешни одити и прегледи от ръководството
• Мерки за управление на веригата на доставки
• Планове за възстановяване след бедствия и за непрекъснатост на дейността

Тези елементи съставляват солидна основа за прилагане на ключовите мерки за управление на риска по NIS2.

Когато ISO 27001 сам по себе си може да не е достатъчен

ISO/IEC 27001:2022 е международен стандарт, а не закон. Сертифицирането по ISO 27001 не гарантира съответствие с NIS2. Три области – сигурността на веригата за доставки, отчетността на ръководството и законовото задължение за докладване на инциденти, свързани със сигурността – обикновено изискват мерки и доказателства, които надхвърлят това, което може да демонстрира само един сертификат по ISO 27001.

ISO 27001 е доброволен международен стандарт, докато NIS2 е задължителен европейски закон. Поради това сертифицирането не замества автоматично спазването на всички задължения по NIS2, особено по отношение на сигурността на веригата за доставки, задълженията за докладване и отчетността на ръководството.

Член 21, параграф 2 от NIS2 определя десет категории мерки за управление на рисковете за киберсигурността, които засегнатите организации са задължени по закон да прилагат. Съдържанието на стандарта ISO/IEC 27001:2022 и контролните мерки, изброени в приложение А, могат да бъдат съпоставени с повечето от тези категории – макар и без да съответстват на тях в съотношение едно към едно като правни изисквания:

Сигурност на веригата за доставки

Директивата NIS2 изисква от организациите да оценяват и управляват рисковете за киберсигурността по цялата си верига на доставки – а не само в рамките на собствените си корпоративни граници.

Неотдавнашните инциденти в областта на киберсигурността многократно показаха, че нападателите експлоатират веригата на доставки, за да получат неразрешен достъп до по-големи клиентски мрежи. В крайна сметка принципът на ефективността – „постигане на максимален обхват с минимални усилия!“ – важи и тук.

Следователно член 21, параграф 2, буква г) от NIS2 изисква сигурност на веригата за доставки, което е в съответствие с изискванията 5.19–5.23 от приложение А към ISO 27001:

• Информационна сигурност във взаимоотношенията с доставчиците
• Осигуряване на информационна сигурност в договорите с доставчици
• Управление на информационната сигурност във веригата за доставки на ИКТ
• Мониторинг, одит и управление на промените в услугите на доставчиците
• Информационна сигурност при използването на облачни услуги

Отговорност на ръководството

Съгласно NIS2 киберсигурността вече не се разглежда като чисто технически въпрос, който може да бъде делегиран на ИТ отдела.

Директивата предвижда, че ръководният орган на организацията трябва да поеме отговорност за одобряването, мониторинга и редовното преразглеждане на прилагането на мерките за управление на рисковете, свързани с киберсигурността. На практика от висшето ръководство се очаква:

• разбира киберрисковете и активно да се ангажира с тях,
• да участва в дейностите по управление и процесите на вземане на решения, свързани с киберсигурността,
• да осигурява адекватни ресурси за мерки за устойчивост, и
• да наблюдава готовността за реагиране при инциденти и задълженията за докладване.

В зависимост от националното прилагане на NIS2 и съответните корпоративни и отговорностни разпоредби, членовете на управителния орган могат да понесат и лични последствия, ако не изпълнят адекватно задълженията си в областта на киберсигурността. Управлението на киберсигурността по този начин се превръща в ключова отговорност на ръководството – с потенциални регулаторни и финансови последствия, ако не бъде убедително доказан достатъчен надзор.

Докладване на инциденти

NIS2 въвежда правно обвързващи срокове: организациите трябва да подадат първоначално уведомление за ранно предупреждение до компетентния орган в рамките на 24 часа след като научат за значителен инцидент, последвано от по-подробен доклад в рамките на 72 часа и окончателен доклад на по-късен етап, както е определено в законодателството.

В момента много организации не разполагат с документирани процеси, ясно разпределени отговорности и тествани процедури, необходими за надеждно спазване на тези срокове. Съществуващите рамки за управление на инциденти в рамките на системата за управление на информационната сигурност (ISMS) често изискват целенасочени корекции, за да отразят регулаторните срокове и задълженията за външно докладване, въведени от NIS2.

На практика това обикновено означава преодоляване на три конкретни пропуски. Първо, дефиниране и документиране на ясен критерий за това кога „узнаването“ за значителен инцидент стартира 24-часовия срок – повечето процедури на ISMS се фокусират върху вътрешната класификация по тежест, а не върху нормативните срокове. Второ, определяне на конкретна длъжност, отговаряща за уведомяването за ранно предупреждение и пряката връзка с националния CSIRT или компетентния орган, отделна от длъжността, която ръководи вътрешното реагиране. Трето, създаване на подлежаща на одит верига от доказателства – включително регистри с времеви отметки, копия от уведомленията и обосновката за първоначалната оценка на сериозността – която може да бъде представена, ако надзорният орган по-късно провери как са спазени 24-часовият и 72-часовият срок съгласно NIS2.

Оперативна устойчивост

Регулаторните органи и клиентите все повече очакват доказателства, че мерките за устойчивост са били тествани — а не само документирани на хартия.

Следователно от организациите се очаква да демонстрират, че могат да поддържат или бързо да възстановят критичните операции по време на събития, нарушаващи нормалното функциониране, а не само да представят писмени планове. Това обикновено включва:

• Планиране на непрекъснатостта на дейността и редовни тестове
• Учения за възстановяване след бедствия за критични системи и данни
• Реалистични симулации на реакция при инциденти
• Определени и отработени процедури за управление на кризи

Взети заедно, тези елементи показват дали устойчивостта е наистина интегрирана в ежедневните операции.

Нови въпроси, които задават клиентите и партньорите

Сертифицирането по ISO 27001 се превръща в предварително условие за преговори с доставчици. Европейските клиенти очакват не само сертификат по ISO 27001, но и доказателства за доказана устойчивост.

Компаниите в веригата за доставки трябва да отговорят на следните въпроси:

• Колко бързо можете да се възстановите след сериозен киберинцидент?
• Как се оценяват критичните доставчици и трети страни по отношение на рисковете за сигурността?
• Каква роля играе висшето ръководство в управлението на киберсигурността?
• Колко често се тестват плановете за реагиране при инциденти и за непрекъснатост на дейността?
• Какви мерки са въведени, за да се гарантира непрекъснатостта на дейността при прекъсване?

Компаниите, които могат да демонстрират както сертификати, така и доказана оперативна устойчивост, се открояват на силно конкурентните пазари.

Какво трябва да имат предвид мениджърските екипи

Най-ефективният подход е да се използва съществуваща система за управление на информационната сигурност (ISMS) по ISO 27001 като основа за по-широко съответствие с NIS2 — след което да се идентифицират и отстранят конкретните пропуски, които сертификацията сама по себе си не покрива.

Организациите не трябва да избират между съответствието с ISO 27001 и NIS2. В повечето случаи ISO 27001 осигурява платформата за системата за управление; NIS2 и националните закони за неговото прилагане повишават изискванията в конкретни области. Ключът е да се разбере къде настоящите практики вече съответстват на тези законови изисквания — и къде все още са необходими целенасочени подобрения.

Полезни въпроси, които ръководните екипи трябва да обмислят:

• Нашата програма за киберсигурност адекватно ли се справя с рисковете в цялата ни екосистема от доставчици?
• Участват ли изпълнителните ръководители активно в управлението на киберсигурността — а не просто биват информирани след като вече е станало?
• Можем ли да демонстрираме оперативна устойчивост, която надхвърля само документираните процедури?
• Процесите за реагиране при инциденти и възстановяване тестват ли се редовно спрямо реалистични сценарии?
• Разполагаме ли с документирани процеси, които отговарят на 24- и 72-часовите срокове за докладване, предвидени в NIS2?
• Очакват ли нашите клиенти и бизнес партньори нещо повече от сертификат като доказателство за устойчивост?

Основни изводи

1. ISO/IEC 27001:2022 подкрепя голяма част от десетте мерки за управление на риска, определени в член 21, параграф 2 от NIS2 – въпреки че степента, в която това е така, зависи от зрелостта и обхвата на съществуващата система за управление на информационната сигурност (ISMS).
2. Типичните области, на които се обръща внимание в сертифицираните ISMS, включват предимно: рискове по веригата на доставки, простиращи се отвъд пряко договорените партньори; документиран работен процес за докладване на инциденти в рамките на 24 часа/72 часа с ясно определени прагове за задействане
3. Ясно разпределена отговорност за приемане на риска на ниво висше ръководство
4. Мерки за извънредни ситуации и непрекъснатост на дейността, които се тестват редовно, а не само се описват.
5. ISO 27001 възлага отговорността за рисковете на висшето ръководство (включително в клауза 6.1.3, буква е)), но не установява лична отговорност сама по себе си – такава възниква единствено от NIS2 и съответното национално прилагане (например по отношение на управителните органи и надзорните задължения).
6. Клиентите и екипите по обществени поръчки разглеждат сертификацията по ISO 27001 като предварително условие за оценка на доставчиците.