NIS2: wszystko, co musisz wiedzieć o ustawie o cyberbezpieczeństwie i zakupach oprogramowania

Dyrektywa NIS2 to największa europejska ustawa dotycząca cyberbezpieczeństwa od wielu lat. Jest szeroko zakrojona, surowo egzekwowana i bezpośrednio istotna dla każdego, kto odpowiada za zakupy oprogramowania w organizacji. Oto, co musisz wiedzieć.

Czym jest NIS2?

NIS2 to skrót od Network and Information Security Directive 2, następca pierwotnej dyrektywy NIS z 2016 roku. Dyrektywa zobowiązuje organizacje w sektorach krytycznych do strukturalnego wzmacniania swojej odporności cyfrowej. NIS2 obowiązuje na poziomie europejskim od 17 października 2024 roku. Wdrożenie w Holandii poprzez ustawę o cyberbezpieczeństwie jest spodziewane w drugim kwartale 2026 roku.

Dla kogo obowiązuje NIS2?

NIS2 dotyczy organizacji z 18 sektorów krytycznych, podzielonych na podmioty zasadnicze i ważne. Należą do nich: energia, transport, opieka zdrowotna, gospodarka wodna, infrastruktura cyfrowa, usługi finansowe, administracja publiczna i inne. Również dostawcy organizacji z tych sektorów mogą być pośrednio objęci ustawą poprzez obowiązek zarządzania łańcuchem dostaw.

Co się zmienia w porównaniu do NIS1?

Najważniejsze zmiany:

• Szerszy zakres: znacznie więcej sektorów i organizacji objętych dyrektywą

• Odpowiedzialność osobista: zarządy są odpowiedzialne za przestrzeganie przepisów i mogą ponosić osobistą odpowiedzialność

• Wyższe kary: do 10 mln euro lub 2% światowego rocznego obrotu dla podmiotów zasadniczych

• Obowiązek zarządzania łańcuchem dostaw: organizacje muszą kontrolować bezpieczeństwo swoich dostawców

• Obowiązek zgłaszania: incydenty muszą być zgłaszane w ciągu 24 godzin do CSIRT

Co oznacza NIS2 dla zakupów oprogramowania?

Obowiązek zarządzania łańcuchem dostaw ma najbardziej bezpośredni wpływ na zakupy oprogramowania. Organizacje muszą:

• utrzymywać aktualny przegląd wszystkich dostawców ICT i oprogramowania

• zawrzeć umowne ustalenia dotyczące bezpieczeństwa ze wszystkimi odpowiednimi dostawcami

• okresowo oceniać bezpieczeństwo dostawców

• umawiać procedury eskalacji incydentów z krytycznymi dostawcami oprogramowania

Bez uporządkowanego przeglądu oprogramowania zgodność z NIS2 nie jest możliwa. SoftVaro pomaga organizacjom stworzyć taki przegląd jako punkt wyjścia do spełnienia wymogów.