NIS2 в България: писмо не е нужно, а първият срок при инцидент е 24 часа

В България организацията трябва сама да провери дали дейността и размерът ѝ я поставят в обхвата на Закона за киберсигурност. Ако е обхваната и установи значителен инцидент, законът изисква ранно предупреждение до 24 часа до секторния екип за реагиране при инциденти с компютърната сигурност (СЕРИКС).

Получаването на индивидуално писмо не е условие тези задължения да започнат да се прилагат: задълженията произтичат от закона. Проверете последователно предоставяната услуга, размера на предприятието и основанията, при които размерът не е решаващ. Така може да определите дали организацията вероятно е съществен или важен субект и да подготвите уведомяването, преди да възникне инцидент.

Първо определете действителната дейност

Съпоставете всяка услуга, която организацията предоставя, с видовете субекти в приложенията към закона. Правният преглед на обхвата подрежда проверката по дейност, размер и специални основания. Използването на компютри или доставката на услуги за регулиран клиент сами по себе си не правят една фирма съществен или важен субект.

Приложение I обхваща сектори с висока критичност: сред тях са енергетика, транспорт, здравеопазване, питейни и отпадъчни води, цифрова инфраструктура и управление на ИКТ услуги за други предприятия. Приложение II включва други критични сектори, например пощенски и куриерски услуги, управление на отпадъци, производство, преработка и разпространение на храни, както и определени онлайн платформи. Съпоставяйте конкретната дейност с описанието в приложението, защото общото название на отрасъла може да обхваща и услуги извън закона. Ако фирмата има повече от една дейност, разгледайте всяка от тях.

После проверете размера и изключенията от него

Общото правило включва публични и частни субекти от посочените видове, които покриват критериите за средно предприятие или надхвърлят горната му граница и предоставят услуги или извършват дейност в ЕС. Размерът се преценява по правилата за малките и средните предприятия, като се вземат предвид персоналът и финансовите показатели. При група дружества значение могат да имат и данните за партньорски и свързани предприятия; само броят на служителите в българското дружество не решава въпроса.

По-малки организации също могат да попаднат в обхвата по специално основание. Такива правила има например за доставчици на DNS услуги, регистри на домейни от първо ниво, доставчици на удостоверителни услуги и определени доставчици на обществени електронни съобщителни мрежи или услуги. Възможно е и включване заради значението на конкретна услуга — например ако субектът е единственият ѝ доставчик или прекъсването ѝ би имало сериозни последици за обществената безопасност или здравето.

Доставчик на болница, банка или енергиен оператор трябва да провери собствения си обхват по същите критерии. Клиентът може да постави договорни изисквания за сигурност и уведомяване по веригата на доставки, но този договор не замества законовата преценка за доставчика.

Установете вероятната категория и вземете вътрешно решение

След проверката на обхвата определете дали организацията вероятно е съществен или важен субект. Големите субекти от приложение I по правило са съществени, а останалите обхванати субекти, които не покриват критериите за съществени, са важни. Има и специални категории съществени субекти, затова резултатът не бива да се извежда само от размера. Обобщението на Eversheds Sutherland посочва необходимостта организациите сами да анализират дейностите и възможната си категория.

Националните компетентни органи определят субектите по предвидения в закона ред. Вътрешната оценка все пак е необходима за решенията преди това: запишете кои услуги и дружества от групата сте разгледали, кои критерии сте приложили и къде има неяснота. Ръководството може въз основа на тази оценка да възложи мерките за управление на киберриска и подготовката за инцидент; административното определяне не е причина работата да се отлага.

Осигурете отговорници и канал за съобщаване

За вероятно обхванатата организация ръководството трябва да одобри мерките за управление на киберриска и да следи изпълнението им. Законът предвижда мерки за обработване на инциденти, непрекъснатост на услугите, резервни копия, контрол на достъпа, обучение и сигурност по веригата на доставки. Изпълнението може да се възложи на вътрешен екип или външен доставчик, но надзорът остава задължение на ръководството.

Преди инцидент уточнете кой записва кога е установен, кой оценява значимостта му и кой подава ранното предупреждение и следващите съобщения. Определете заместник за всеки отговорник и намерете приложимия секторен СЕРИКС. Контактите на CERT Bulgaria са публикувани за връзка с националния екип; те не означават, че той автоматично е секторният адресат за всяка организация.

При значителен инцидент следвайте графика за уведомяване

Сроковете започват от установяването на значителния инцидент, а не след края на техническото разследване. Значителен е инцидент, който е причинил или може да причини сериозно оперативно смущение или финансова загуба за субекта, либо значителни вреди за други лица. Първоначалната информация може да е непълна; следващите съобщения я допълват. Запишете момента на установяване и наличните факти, за да не зависи уведомяването от готовността на окончателния анализ.

1. До 24 часа от установяването: подайте ранно предупреждение до СЕРИКС. Когато е приложимо, посочете съмнение за незаконосъобразни или злонамерени действия и възможно трансгранично въздействие.
2. До 72 часа от установяването: подайте уведомление с актуализираната информация и първоначална оценка на тежестта и въздействието. За доставчиците на удостоверителни услуги срокът за това уведомление е 24 часа.
3. По искане на СЕРИКС: представете междинен доклад с новата информация.
4. До един месец след уведомлението: представете окончателен доклад за последиците, вероятната причина и предприетите мерки. Ако инцидентът продължава, подайте междинен доклад и представете окончателния до един месец след справянето с него.

Когато значителният инцидент вероятно ще засегне предоставянето на услугата, преценете и уведомяването на нейните получатели без ненужно забавяне. Ако е засегната сигурността на лични данни или дейността е под специален секторен режим, съответните задължения се разглеждат паралелно. Подготовката на контактите и отговорниците позволява тези решения да се вземат, докато екипът едновременно ограничава инцидента.

Прочетете също:

• България влиза в AI партньорство с 54 държави — ресурсите са залогът
• Spotify Partner Program: 2000 часа не стигат без допустим пазар
• PopJoy отвори глобално — авторите на комикси печелят от първия ден