NIS2

ЕК открива наказателна процедура срещу България и още 23 държави от ЕС, тъй като не са транспонирали две директиви за киберсигурност в националните си законодателства.

На страните са дадени два месеца да го направят. Ако те не се съобразят с искането, случаят ще бъде отнесен до Съда на ЕС.

Първата процедура за нарушение, насочена срещу 23 държави членки, е свързана с NIS2. Писма са изпратени до България, Чехия, Дания, Германия, Естония, Ирландия, Гърция, Испания, Франция, Кипър, Латвия, Люксембург, Унгария, Малта, Нидерландия, Австрия, Полша, Португалия, Румъния, Словения, Словакия, Финландия и Швеция. Държавите членки трябваше да я транспонират до 17 октомври 2024 г.

Комисията открива процедури за нарушение и срещу 24 държави членки, които не са интегрирали Директива относно устойчивостта на критичните структури (CER Directive). Страната ни попада и в този списък заедно със същите държави плюс Литва.

Крайният срок по втората директива също изтече на 17 октомври 2024 г.

 

Изпълнението на изискванията за съответствие с NIS2 е принудило много организации да пренасочат средства от други области на бизнеса. Според проучване на компанията за киберсигурност Veeam това важи за 95% от засегнатите фирми.

Като цяло 80% от IT бюджетите в Европа вече се разпределят за киберсигурност и съответствие с директивата.

Повече от 1/3 (34%) от предприятията, базирани в региона на ЕМЕА, са пренасочили средства от бюджетите си за управление на риска. 30% са прибегнали до тези за по-широкообхватно набиране на персонал, 29% – за управление на кризи, а 25% – са използвали резервите за спешни случаи.

Докладът установява също така, че 20% от IT ръководителите определят бюджета като значително предизвикателство за постигане на съответствие. 68% от фирмите са успели да си подсигурят необходимото финансиране.

NIS2 предвижда сериозни санкции при неспазване на изискванията, включително индивидуална отговорност на ръководители. Това спомага за отпускането на допълнителни средства.

Стъпките, които правят организациите за постигане на съответствие с NIS2, най-често включват:

• провеждане на IT одити (29%);
• преглед на процесите и най-добрите практики в областта на киберсигурността (29%)
• разработване на нови политики и процедури (28%);
• инвестиране в нови технологии (28%);
• увеличаване на бюджетните средства за киберсигурност (28%).

 

 

Днес, 17 октомври, изтича срокът за превръщане на Директива NIS2 в национално законодателство. Oганите на държавите членки вече могат да подвеждат под лична отговорност ръководителите на организациите, ако след киберинцидент се докаже груба небрежност.

Директивата категоризира критичните сектори като „съществени“ и „важни“ въз основа на размера и значението им за националната и европейска икономика. Всяко нарушение на нейните изисквания може да струва на „съществените“ организации до 10 милиона евро или 2% от световните годишни приходи. Максималната санкция за тези, определение като „важни“, е до 7 милиона евро или 1,4% от световните годишни приходи.

NIS2 задължава правоприлагащите агенции в държавите членки на ЕС да извършват проверки на сигурността, да издават предупреждения за нарушения и да докладват за инциденти в рамките на 24 часа. От националните екипи за спешно реагиране в областта на киберсигурността се изисква да споделят информация за киберзаплахи, уязвимости и пробиви.

Срокът за транспониране на директивата беше определен преди година от ЕП с цел страните членки да имат общи, пропорционални на рисковете и заплахите мерки за киберсигурност. Но приемането на нужното законодателство върви на различни скорости. Страните „отличници“ са  едва 6 – Белгия, Гърция, Унгария, Хърватска, Литва и Латвия.

България този път е в една група с европейските лидери Франция, Германия и Италия, но не като добър пример. Страната ни изостава с приемането на необходимата правна рамка. Въпреки че публичното обсъждане на новия ни Закон за киберсигурност приключи още в началото на август, той все още не е попаднал в дневния ред на парламента.

Очаква се към този закон да се появи и нова версия на Наредба за минимални изисквания за мрежова и информационна сигурност. В нея трябва да бъдат заложени конкретните мерки, които всяка организация в обхвата на NIS2 трябва да въведе.

Ясна перспектива кога ще се случи това няма, но липсата на национално законодателство не е основание да се избегнат евентуални санкции.