NIS2 za podjetja: kaj zahteva in kako dokazati redno testiranje

Direktiva (EU) 2022/2555, znana kot NIS2, je nadomestila prvo direktivo NIS in bistveno razširila krog organizacij, ki morajo upravljati kibernetska tveganja. V Sloveniji se prenaša z Zakonom o informacijski varnosti (ZInfV-1).

Kdo je zavezanec

NIS2 loči bistvene in pomembne subjekte. Poleg energetike, prometa, zdravstva in digitalne infrastrukture zajema tudi proizvodnjo določenih izdelkov, prehrano, poštne storitve in ravnanje z odpadki. Praviloma velja za srednja in velika podjetja v teh sektorjih.

Ključne obveznosti

• ukrepi za obvladovanje tveganj (politike, nadzor dostopa, varnostne kopije, šifriranje),
• obravnava in poročanje o pomembnih incidentih v predpisanih rokih,
• varnost dobavne verige,
• ocenjevanje učinkovitosti ukrepov, kamor sodi redno testiranje,
• odgovornost in usposabljanje vodstva.

Kazni

Direktiva predvideva globe do 10 milijonov evrov ali 2 % svetovnega letnega prometa za bistvene subjekte ter do 7 milijonov evrov ali 1,4 % za pomembne subjekte. Vodstvo je lahko za neizpolnjevanje obveznosti tudi osebno odgovorno.

Zakaj enkratni pentest ne zadostuje več

Letni penetracijski test pokaže stanje na določen dan. Infrastruktura se med tem spreminja: nove naprave, posodobitve, novi uporabniki. Revizorja zanima, ali tveganja stalno obvladujete.

Kako redno testiranje postane dokazilo

1. Uvedite kontinuirano testiranje zunanjega in notranjega omrežja.
2. Ranljivosti razvrstite po dejanskih poteh vdora, ne le po oceni CVSS.
3. Beležite, kdaj je bila ranljivost najdena in kdaj odpravljena.
4. Redno poročajte vodstvu z enotno varnostno oceno.

Platforme za kontinuirano penetracijsko testiranje, kot je NetworksDefender, te korake avtomatizirajo in pripravijo poročila, usklajena z ISO 27001 in NIS2.

Skladnost ni enkratni projekt, ampak dokazljiv proces.