NIS2 i ISO 27001: Kako ISO 27001 certifikacija pomaže organizacijama da ispune NIS2 zahtjeve za sajber sigurnost

Iako je NIS2 direktiva EU, njen praktični uticaj se proteže daleko izvan granica Unije. Proizvođači, dobavljači tehnologije, logističke kompanije i pružaoci usluga koji su dio evropskih lanaca vrijednosti sve se više suočavaju sa specifičnim očekivanjima u pogledu sajber sigurnosti i zahtjevima za dokazima od strane svojih kupaca. Certifikacija ISO 27001 postaje ključni signal u ovom kontekstu: ona pokazuje da organizacija upravlja rizicima informacione sigurnosti sistematski i u skladu sa međunarodno priznatim standardom.

Za mnoge organizacije ovo postavlja strateško pitanje:

Ako želimo pouzdano učestvovati u evropskim lancima snabdijevanja, da li certifikacija ISO 27001 postaje uslov za ulazak?

ISO 27001 kao ulaz u evropske lance snabdijevanja

Iz sve većeg broja tendera i procjena dobavljača, stiče se jasna slika:

• ISO 27001 pruža priznatu i provjerljivu osnovu za mnoga očekivanja u vezi sa sajber sigurnošću i upravljanjem koja proizlaze iz NIS2.
• Za pristup zahtjevnim odnosima s kupcima i ključnim lancima snabdijevanja, certifikacija se sve više smatra minimalnim očekivanjem, a ne razlikovnim faktorom.
• Organizacije sa zrelim, certificiranim ISMS-om su u boljoj poziciji da odgovore na upitnike, audite i aktivnosti dubinske analize vođene NIS2 duž lanca snabdijevanja.

U tom smislu, certifikacija ISO 27001 postaje efikasna kapija ka evropskim lancima snabdijevanja – ne zato što sama ispunjava sve NIS2 obaveze, već zato što pruža strukturiran, provjerljiv okvir koji mnogi evropski kupci sada očekuju kao minimalni zahtjev.

Rastući troškovi sajber poremećaja

Sajber incidenti danas rijetko ostaju izolovani - oni se šire kroz lance snabdijevanja, zaustavljaju operacije i izlažu organizacije regulatornoj kontroli dugo nakon početnog kršenja.

U proizvodnji, zdravstvu, transportu i kritičnoj infrastrukturi, organizacije su se suočile sa operativnim prekidima koji su trajali danima ili čak sedmicama: proizvodne linije su stale, logističke mreže su zastale, a korisničke usluge su postale nedostupne.

Ono što mnoge od ovih incidenata čini posebno zabrinjavajućim jeste to što nisu uvijek počeli visoko sofisticiranim napadima. U mnogim slučajevima, napadači su iskoristili slabosti u ekosistemima dobavljača, nezakrpljene sisteme, nedovoljno praćenje ili odgođeni odgovor na incidente.

Za poslovne lidere, jedna lekcija je postala jasna:
ključno pitanje više nije da li organizacija može spriječiti svaki sajber incident, već da li može nastaviti sa radom kada se jedan dogodi.

Ova promjena u razmišljanju je u srži NIS2.

Zašto je NIS2 važan za upravne odbore

• Sajber sigurnost postala je pitanje upravnog odbora, a ne isključivo IT pitanje: upravljačka tijela moraju odobriti i nadgledati mjere upravljanja rizicima u sajber sigurnosti.
• Nacionalni zakoni koji implementiraju NIS2 mogu nametnuti kazne na nivou GDPR-a – do 10 miliona eura ili 2% globalnog godišnjeg prometa za bitne subjekte i do 7 miliona eura ili 1,4% za važne subjekte.
• Članovi upravljačkog tijela mogu biti odgovorni za neadekvatan nadzor nad upravljanjem rizicima u sajber sigurnosti, u skladu s nacionalnim pravilima o odgovornosti.

NIS2 stavlja veliki naglasak na upravljanje, odgovornost i organizacijsku otpornost. Organizacije koje spadaju u područje primjene Direktive moraju, između ostalog, pokazati:

• Aktivno učešće višeg menadžmenta u implementaciji i praćenju mjera sajber sigurnosti,
• Efikasne procese izvještavanja o značajnim sigurnosnim incidentima,
• Strukturirano upravljanje rizicima sajber sigurnosti,
• Efikasne sigurnosne kontrole u lancu snabdijevanja,
• Aranžmane za kontinuitet poslovanja

Gdje ISO 27001 pruža čvrstu osnovu

Organizacije certificirane po ISO 27001 standardu već imaju strukturirani okvir za upravljanje rizicima, upravljanje i rješavanje incidenata – a sve su to elementi koji podržavaju zahtjeve NIS2.

U svojoj suštini, ISO 27001 se zasniva na odabiru kontrolnih mjera zasnovanom na riziku, koje se odnose na poslovne procese organizacije, jasnim odgovornostima i politikama upravljanja i kontinuiranom poboljšanju (PDCA ciklus). Ovi principi se mogu direktno primijeniti na organizacijske i tehničke mjere utvrđene u NIS2 propisima.

Organizacije sa zrelim sistemom upravljanja sigurnošću informacija (ISMS) obično već imaju sljedeće uspostavljeno:

• Strukture upravljanja za sigurnost informacija
• Efikasne procese za procjenu rizika i tretman rizika
• Dokumentovane sigurnosne politike i jasno definisane odgovornosti
• Procedure za upravljanje incidentima
• Cikluse za interne audite i preglede menadžmenta
• Mjere upravljanja lancem snabdijevanja
• Planove za oporavak od katastrofe i kontinuitet poslovanja

Ovi elementi čine solidnu osnovu za implementaciju ključnih mjera upravljanja rizicima NIS2.

Gdje samo ISO 27001 možda nije dovoljan

ISO/IEC 27001:2022 je međunarodni standard, a ne zakon. Certifikacija ISO 27001 ne garantuje usklađenost sa NIS2. Tri područja – sigurnost lanca snabdijevanja, odgovornost menadžmenta i zakonska obaveza prijavljivanja sigurnosnih incidenata – uglavnom zahtijevaju mjere i dokaze koji prevazilaze ono što sam certifikat ISO 27001 može pokazati.

ISO 27001 je dobrovoljni međunarodni standard, dok je NIS2 obavezujući evropski zakon. Certifikacija stoga ne zamjenjuje automatski usklađenost sa svim obavezama NIS2, posebno u pogledu sigurnosti lanca snabdijevanja, obaveza izvještavanja i odgovornosti menadžmenta.

Član 21(2) NIS2 definiše deset kategorija mjera upravljanja rizicima u sajber sigurnosti koje pogođene organizacije moraju zakonski implementirati. Sadržaj standarda ISO/IEC 27001:2022 i kontrole navedene u Aneksu A mogu se mapirati na većinu ovih kategorija - iako bez da im odgovaraju na osnovu jedan-na-jedan kao zakonski zahtjevi:

Sigurnost lanca snabdijevanja

Direktiva NIS2 zahtijeva od organizacija da procjenjuju i upravljaju rizicima sajber sigurnosti u cijelom svom lancu snabdijevanja – ne samo unutar vlastitih korporativnih granica.

Nedavni incidenti u vezi sa sajber sigurnošću su više puta pokazali da napadači iskorištavaju lanac snabdijevanja kako bi dobili neovlašteni pristup većim mrežama kupaca. Uostalom, princip efikasnosti – „postizanje maksimalnog dosega uz minimalan napor!“ – primjenjuje se i ovdje.

Shodno tome, Član 21(2)(d) NIS2 zahtijeva sigurnost lanca snabdijevanja, što je u skladu sa zahtjevima 5.19–5.23 Aneksa A standarda ISO 27001:

• Sigurnost informacija u odnosima s dobavljačima
• Rješavanje pitanja sigurnosti informacija u ugovorima s dobavljačima
• Upravljanje sigurnošću informacija u lancu snabdijevanja IKT-om
• Praćenje, auditiranje i upravljanje promjenama usluga dobavljača
• Sigurnost informacija za korištenje usluga u oblaku

Izvršna odgovornost

U okviru NIS2, sajber sigurnost se više ne smatra isključivo tehničkim pitanjem koje se može delegirati IT odjelu.

Direktiva propisuje da upravljačko tijelo organizacije mora preuzeti odgovornost za odobravanje, praćenje i redovno preispitivanje implementacije mjera upravljanja rizicima u oblasti sajber sigurnosti. U praksi se od višeg menadžmenta očekuje da:

• Rezumije sajber rizike i aktivno se angažuje u vezi s njima,
• Učestvuje u aktivnostima upravljanja i procesima donošenja odluka u vezi sa sajber sigurnošću,
• Obezbijedi adekvatne resurse za mjere otpornosti i
• Prati spremnost za odgovor na incidente i obaveze izvještavanja.

U zavisnosti od nacionalne implementacije NIS2 i relevantnih korporativnih i propisa o odgovornosti, članovi upravnog tijela mogu se suočiti i sa ličnim posljedicama ako ne ispune svoje dužnosti u oblasti sajber sigurnosti na odgovarajući način. Upravljanje sajber sigurnošću stoga postaje ključna odgovornost menadžmenta – sa potencijalnim regulatornim i finansijskim implikacijama ukoliko se ne dokaže dovoljan nadzor.

Prijavljivanje incidenata

NIS2 uvodi pravno obavezujuće vremenske rokove: organizacije moraju podnijeti početno obavještenje o ranom upozorenju nadležnom organu u roku od 24 sata od saznanja o značajnom incidentu, nakon čega slijedi detaljniji izvještaj u roku od 72 sata i konačni izvještaj u kasnijoj fazi, kako je definisano u zakonodavstvu.

Mnogim organizacijama trenutno nedostaju dokumentovani procesi, jasno dodijeljene odgovornosti i testirane procedure potrebne za pouzdano ispunjavanje ovih vremenskih okvira. Postojeći okviri za upravljanje incidentima unutar ISMS-a često zahtijevaju ciljana prilagođavanja kako bi odražavali regulatorne rokove i obaveze eksternog izvještavanja koje uvodi NIS2.

U praksi, to obično znači popunjavanje tri specifična nedostatka. Prvo, definisanje i dokumentiranje jasnog okidača za pokretanje 24-satnog računanja kada se "postaje svjesno" značajnog incidenta – većina ISMS procedura fokusira se na internu klasifikaciju ozbiljnosti, a ne na regulatorno vrijeme. Drugo, određivanje posebne uloge odgovorne za rano obavještavanje i direktnu vezu s nacionalnim CSIRT-om ili nadležnim tijelom, odvojeno od uloge koja vodi interni odgovor. Treće, uspostavljanje evidencije dokaza koja se može revidirati – uključujući vremenski označene zapise, kopije obavještenja i obrazloženje početne procjene ozbiljnosti – koja se može izraditi ako nadzorno tijelo kasnije pregleda kako su ispunjeni rokovi od 24 i 72 sata prema NIS2.

Operativna otpornost

Regulatori i kupci sve više očekuju dokaze da su mjere otpornosti testirane, a ne samo dokumentirane na papiru.

Stoga se od organizacija očekuje da pokažu da mogu održavati ili brzo obnoviti kritične operacije tokom remetilačkih događaja, umjesto da samo predstave pisane planove. To obično uključuje:

• Planiranje kontinuiteta poslovanja i redovno testiranje
• Vježbe oporavka od katastrofe za kritične sisteme i podatke
• Realistične simulacije odgovora na incidente
• Definisane i uvježbane procedure upravljanja krizama

Zajedno, ovi elementi pokazuju da li je otpornost zaista ugrađena u svakodnevno poslovanje.

Nova pitanja koja postavljaju kupci i partneri

Certifikacija ISO 27001 postaje preduslov za pregovore s dobavljačima. Evropski kupci očekuju ne samo certifikat ISO 27001, već i dokaz dokazane otpornosti.

Kompanije u lancu snabdijevanja moraju odgovoriti na sljedeća pitanja:

• Koliko brzo se možete oporaviti od ozbiljnog sajber incidenta?
• Kako se kritični dobavljači i treće strane procjenjuju u pogledu sigurnosnih rizika?
• Koju ulogu više rukovodstvo igra u upravljanju sajber sigurnošću?
• Koliko često se testiraju planovi za odgovor na incidente i kontinuitet poslovanja?
• Koje su mjere na snazi ​​kako bi se osigurao kontinuitet poslovanja tokom prekida?

Kompanije koje mogu demonstrirati i certifikaciju i dokazanu operativnu otpornost ističu se na visoko konkurentnim tržištima.

Šta bi menadžerski timovi trebali uzeti u obzir

Najefikasniji pristup je korištenje postojećeg ISMS-a prema standardu ISO 27001 kao osnove za širu usklađenost sa NIS2 - a zatim identifikacija i uklanjanje specifičnih nedostataka koje sama certifikacija ne rješava.

Organizacije ne moraju birati između usklađenosti sa ISO 27001 i NIS2. U većini slučajeva, ISO 27001 pruža platformu sistema upravljanja; NIS2 i njegovi nacionalni provedbeni zakoni podižu ljestvicu u određenim područjima. Ključno je razumjeti gdje su trenutne prakse već usklađene s tim zakonskim zahtjevima – i gdje su i dalje potrebna ciljana poboljšanja.

Korisna pitanja koja menadžerski timovi trebaju razmotriti:

• Da li naš program sajber sigurnosti adekvatno rješava rizike u ekosistemu naših dobavljača?
• Da li su izvršni rukovodioci aktivno uključeni u upravljanje sajber sigurnošću - a ne samo naknadno informisani?
• Možemo li demonstrirati operativnu otpornost izvan samih dokumentovanih procedura?
• Da li se procesi odgovora na incidente i oporavka redovno testiraju u odnosu na realne scenarije?
• Da li imamo dokumentovane procese koji ispunjavaju NIS2 rokove za izvještavanje od 24 i 72 sata?
• Da li naši kupci i poslovni partneri očekuju više od certifikacije kao dokaz otpornosti?

Ključni zaključci

1. ISO/IEC 27001:2022 podržava veliki dio od deset mjera upravljanja rizicima utvrđenih u članu 21(2) NIS2 – iako stepen u kojem je to slučaj zavisi od zrelosti i opsega postojećeg ISMS-a.
2. Tipična područja fokusa u certificiranim ISMS-ovima prvenstveno uključuju: rizike u lancu snabdijevanja koji se protežu izvan direktno ugovorenih partnera; dokumentovani tok rada za izvještavanje o incidentima 24/72 sata sa jasnim okidačima.
3. Jasno dodijeljena odgovornost za prihvatanje rizika na nivou višeg menadžmenta.
4. Aranžmani za hitne slučajeve i kontinuitet poslovanja koji se redovno testiraju, a ne samo opisuju.
5. ISO 27001 dodjeljuje odgovornost za rizike višem menadžmentu (uključujući i klauzulu 6.1.3(f)), ali ne utvrđuje ličnu odgovornost sama po sebi – to proizilazi samo iz NIS2 i relevantne nacionalne implementacije (npr. u vezi sa upravnim tijelima i nadzornim dužnostima).
6. Kupci i timovi za nabavku smatraju certifikaciju ISO 27001 preduslovom za procjenu dobavljača.