NIS2-tilskipun ESB

Þó tilskipunin hafi ekki verið innleidd í lög á Íslandi má leiða líkur að því gildissvið hennar verði með sama hætti hér heima. Þá munu lágmarkskröfur NIS2 til net- og upplýsingaöryggisráðstafana haldast óbreyttar. 

NIS2 nær almennt til nauðsynlegra og mikilvægra fyrirtækja og stofnana sem starfa í tilteknum geirum og uppfylla ákveðin stærðarviðmið. Til að meta hvort fyrirtæki falli undir NIS2 þarf því að skoða bæði starfsemi þess og stærð.

Viðauki I – nauðsynlegir innviðir:
Fyrirtæki og stofnanir sem starfa á sviði orku, samgangna, bankastarfsemi, innviða fjármálamarkaða, heilbrigðisþjónustu, drykkjarvatns, fráveitustjórnunar, stafrænna innviða, upplýsingatækniþjónustu, opinberrar stjórnsýslu og geimstarfsemi.

Viðauki II – aðrir mikilvægir innviðir:
Fyrirtæki og stofnanir sem starfa við póst- og flutningsstarfsemi, úrgangsstjórnun, framleiðslu eða dreifingu tiltekinna efna, framleiðslu eða dreifingu matvæla og annars konar framleiðslustarfsemi, auk ákveðinna stafrænna þjónustuveitenda og rannsóknarstofnana.

Stærðarviðmið:
Að meginstefnu falla fyrirtæki í ofangreindum geirum undir NIS2 ef þau teljast meðalstór eða stór samkvæmt viðmiðum ESB, þ.e. með 50 starfsmenn eða fleiri og veltu yfir 1.375 ma. ISK (10 milljónum evra).

Undantekningar eru þó frá stærðarviðmiðinu. Ákveðnir aðilar geta fallið undir NIS2 þótt þeir séu undir almennum stærðarmörkum, m.a. vegna eðlis eða mikilvægi þjónustunnar sem þeir veita.

Fyrirtæki sem fellur undir NIS2 þarf að geta sýnt fram á að net- og upplýsingaöryggi sé stjórnað með skipulögðum og áhættumiðuðum hætti. NIS2 snýst því ekki eingöngu um tæknilegar öryggisvarnir heldur einnig um stjórnarhætti, ábyrgð, verklag og viðbúnað.

Fyrirtæki þurfa m.a. að:

• greina og meta net- og upplýsingaöryggisáhættu og grípa til viðeigandi ráðstafana til að draga úr henni,

• hafa skýrar öryggisstefnur, verklag og ábyrgðarskiptingu er varða net- og upplýsingaöryggi,

• tryggja viðbúnað, rekstrarsamfellu og endurheimt ef alvarlegt atvik verður,

• hafa ferla til að greina, meðhöndla og tilkynna öryggisatvik innan tilskilinna tímamarka,

• huga að öryggi birgja og aðfangakeðju,

• innleiða viðeigandi aðgangsstýringar, auðkenningu, dulkóðun og aðrar tæknilegar öryggisráðstafanir í samræmi við bestu venjur,

• tryggja fræðslu og þjálfun starfsfólks og stjórnenda,

• tryggja að stjórnendur hafi yfirsýn yfir og beri ábyrgð á viðeigandi netöryggisráðstöfunum.

Það er að ýmsu að huga hvað varðar NIS2. Deloitte getur aðstoðað fyrirtæki og stofnanir við að meta núverandi stöðu og undirbúa þær breytingar sem þörf er á, m.a. með því að:

1. Staðfesta gildissvið: Greina hvaða starfsemi og þjónusta fellur undir NIS2 og hvaða kröfur eiga við.
2. Kortleggja núverandi stöðu: Fara yfir núverandi öryggisstefnur, verklag tæknilegar varnir, ábyrgð og viðbúnað.
3. Framkvæma NIS2-gloppugreiningu: Bera núverandi stöðu saman við kröfur NIS2 og greina úrbótatækifæri sem eru til staðar.
4. Forgangsraða úrbótum eftir áhættu: Skilgreina hvaða úrbætur eru mikilvægastar og gera raunhæfa aðgerðaáætlun um innleiðingu.
5. Skýra ábyrgð stjórnenda: Tryggja að ábyrgð, stjórnarhættir, ákvarðanataka og eftirfylgni með netöryggi séu skýr og rekjanleg.
6. Yfirfara viðbragðs- og tilkynningarferla: Tryggja að fyrirtæki geti brugðist hratt og skipulega við öryggisatvikum.
7. Meta birgja og aðfangakeðju: Kortleggja mikilvæga þjónustuveitendur og þá netöryggisáhættu sem þeim fylgir.
8. Tryggja eftirfylgni: Að uppfylla kröfur NIS2 er ekki einskiptisverkefni heldur þarf reglulega að endurmeta áhættu, prófa áætlanir og verklag og fylgja úrbótum eftir.
9. Fræðsla og stjórnendakynningar: Tilfallandi eða regluleg fræðsla um net- og upplýsingaöryggi eða verklag til ólíkra hópa á vinnustaðnum í samræmi við kröfur NIS2.