Trumpai: ES direktyva NIS2 gerokai daugiau įmonių nei anksčiau įpareigoja imtis rizikos valdymo priemonių ir pranešti apie reikšmingus saugumo incidentus. Vokietijoje ji perkeliama NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, Vokietijos įstatymas); kompetentinga institucija yra BSI (Vokietijos Federalinė informacijos saugumo tarnyba). Žiniatinklio serveriams tai visų pirma reiškia: atnaujinimai, pažeidžiamumų valdymas ir incidentų tvarkymas turi būti organizuoti ir įrodomi. Šis puslapis yra bendra informacija, o ne teisinė konsultacija.
Ne teisinė konsultacija: ar jūsų įmonei taikomas NIS2 ir kokios pareigos galioja konkrečiai, išsiaiškinkite pagal BSI nurodymus ir su teisine konsultacija. Sąmoningai neįvardijame ribinių verčių ar terminų, kurie priklauso nuo jūsų priskyrimo.
Kas yra NIS2
NIS2 yra antroji ES tinklų ir informacijos saugumo direktyva. Ji, palyginti su ankstesniu reglamentavimu, gerokai išplečia įpareigotų įmonių ratą ir skiria ypač svarbias ir svarbias įstaigas. Kokie sektoriai ir dydžių klasės apimami, nustato įstatymas.
Vokietijoje direktyvą perkelia NIS2UmsuCG, kuris, be kita ko, iš naujo suformuluoja BSI įstatymą. BSI yra kontaktinė institucija registracijai, pranešimams ir priežiūrai ir savo svetainėje skelbia informaciją bei pagalbą priskyrimui. Patikimus, aktualius duomenis apie terminus ir tvarką rasite ten, o ne bendrose santraukose.
NIS2 pareigos įmonėms trumpai
Paveiktų įmonių pareigas galima grubiai suskirstyti į tris sritis:
Rizikos valdymas. Įmonės turi imtis tinkamų ir proporcingų techninių bei organizacinių priemonių. Prie to paprastai priklauso rizikos analizės ir informacijos saugumo koncepcijos, saugumo incidentų valdymas, veiklos tęstinumas su atsarginėmis kopijomis ir krizių valdymu, tiekimo grandinės saugumas, saugumas įsigyjant, kuriant ir prižiūrint, įskaitant elgesį su pažeidžiamumais, prieigos kontrolė ir kriptografija.
Pranešimai. Apie reikšmingus saugumo incidentus reikia pranešti BSI. Direktyva tam numato pakopinę tvarką, nuo ankstyvo pirminio pranešimo iki galutinės ataskaitos. Tikslius terminus ir pranešimo kelius Vokietijai rasite BSI nurodymuose.
Vadovybės atsakomybė. Vadovybė turi patvirtinti priemones, prižiūrėti jų įgyvendinimą ir mokytis kibernetinio saugumo klausimų. Daugiau apie tai puslapyje Vadovo atsakomybė.
Ką tai reiškia žiniatinklio serveriams
Žiniatinklio serveriai dažnai yra labiausiai atvira įmonės sistema. PHP2Shell parodo, kaip greitai pažeidžiamumas pagrindiniame komponente gali paliesti visas ant jo veikiančias programas. Abu pažeidžiamumai, CVE-2026-109618 ir CVE-2026-109619, leidžia vykdyti kodą be prisijungimo; BSI paskelbė 3 įspėjimo lygį (oranžinį) ir rekomendavo nedelsiant atnaujinti.
NIS2 įpareigotai įmonei iš to kyla praktiniai klausimai: ar žinome, kurie serveriai naudoja PHP ir kokios versijos? Kas seka saugumo pranešimus ir sprendžia dėl skubių atnaujinimų? Ar galime atpažinti ataką ir kas vertina, ar incidentas reikšmingas ir todėl apie jį reikia pranešti? Ar sutarta, ką perima hostingo teikėjas ir paslaugų teikėjai?
Pataisa nepašalina kenkėjiškos programinės įrangos, įterptos anksčiau, ir neįrodo, kad nieko neįvyko. Tai taip pat priklauso incidento vertinimui.
Konkrečios žiniatinklio infrastruktūros priemonės
Toliau pateikti punktai nėra baigtinis sąrašas, bet apima dažniausias spragas:
| Priemonė | Sąsaja |
|---|---|
| Visų žiniatinklio serverių, PHP versijų ir programų inventorius | Rizikos analizė |
| Nustatyta saugumo atnaujinimų tvarka, įskaitant paleidimą iš naujo ir įrodymą | Pažeidžiamumų valdymas |
| Stebėsena ir žurnalų saugojimas | Incidentų valdymas |
| Išbandytos atsarginės kopijos ir atkūrimo planas | Veiklos tęstinumas |
| Užduočių pasiskirstymas su hostingo teikėju ir agentūromis raštu | Tiekimo grandinė |
| Daugiaveiksnis prisijungimas administratorių prieigoms | Prieigos kontrolė |
| Paruošti pranešimo keliai ir atsakomybės | Pranešimo pareigos |
Metodiniu pagrindu tinka BSI IT-Grundschutz. IT avarinis planas žiniatinklio serveriams sujungia techniką, atsakomybes ir pranešimo kelius.
NIS2 ir duomenų apsauga kartu
Ataka prieš žiniatinklio serverį gali būti kartu ir NIS2 incidentas, ir duomenų apsaugos pažeidimas. Tuomet greta vyksta dvi procedūros su skirtingomis institucijomis ir reikalavimais. Pranešimas duomenų apsaugos priežiūros institucijai pagal BDAR 33 straipsnį aprašytas puslapyje BDAR pranešimo pareiga: 72 valandos. Abu kelius suplanuokite iš anksto, kad kritiniu atveju niekam nereikėtų improvizuoti.
Dar vienas dalykas liečia paslaugų teikėjus. Daug įmonių svetaines patiki prižiūrėti agentūroms, o serverius eksploatuoti hostingo teikėjams. Pareiga atsižvelgti į tiekimo grandinės riziką praktiškai reiškia: sutartyje sureguliuoti, kas diegia saugumo atnaujinimus, kaip greitai tvarkomi kritiniai pažeidžiamumai, kaip jus informuoja apie incidentus ir kokius įrodymus gaunate. PHP2Shell padėtis yra geras patikrinimas, ar tokios nuostatos jau yra ir ar kritiniu atveju veikė. Jei atsakymo nėra, tai klausimas jūsų rizikos valdymui.
Kaip PHP SOS padeda konkrečiai?
- Surašome jūsų žiniatinklio infrastruktūrą ir rizikas bei spragas vertiname forma, kurią galite naudoti rizikos valdymui.
- Įrengiame įrodomą saugumo atnaujinimų tvarką ir pageidaujant perimame ją pagal saugumo priežiūros sutartį.
- Su saugumo stebėsena ir žurnalų saugojimu sukuriame pagrindą atpažinti ir vertinti incidentus.
- Incidento metu pateikiame technines aplinkybes jūsų pranešimui BSI; teisinis vertinimas lieka jums ir jūsų teisinei konsultacijai.
Dažni klausimai
Ar NIS2 liečia mano įmonę?
Tai priklauso, be kita ko, nuo sektoriaus ir įmonės dydžio. Tikslūs kriterijai išplaukia iš Vokietijos perkėlimo įstatymo. BSI savo svetainėje skelbia informaciją apie taikymą; abejodami šį klausimą išsiaiškinkite su teisine konsultacija.
Ką NIS2 reiškia įmonės svetainei?
Žiniatinklio serveriai, klientų portalai ir parduotuvės priklauso sistemoms, kurių riziką turi valdyti paveikta įmonė. Prie to priklauso atnaujinimai, pažeidžiamumų valdymas, prieigos kontrolė ir gebėjimas atpažinti bei pranešti apie incidentus.
Kokie pranešimo terminai galioja pagal NIS2?
Direktyva numato pakopinę pranešimo tvarką dėl reikšmingų saugumo incidentų. Privalomus terminus, kelius ir formas Vokietijai rasite BSI nurodymuose ir įstatymo tekste. Čia sąmoningai neįvardijame terminų be ryšio su jūsų padėtimi.
Ar NIS2 galioja ir tiekėjams?
NIS2 reikalauja, kad paveiktos įstaigos atsižvelgtų ir į savo tiekimo grandinės saugumą. Todėl daug klientų klausia savo paslaugų teikėjų ir tiekėjų apie saugumo priemones, net jei jie patys tiesiogiai nepatenka į įstatymo taikymo sritį.