Szóstego lipca bieżącego roku Parlament Europejski oficjalnie przyjął dyrektywę bezpieczeństwa sieci i informacji. Dyrektywa NIS (ang. Network and Information Security Directive) dotycząca bezpieczeństwa sieci teleinformatycznych i przetwarzanych w nich informacji została właśnie zatwierdzona przez Parlament Europejski oraz rządy państw unijnych. Państwa członkowskie mają 21 miesięcy na wdrożenie nowego prawa do przepisów krajowych oraz 6 miesięcy na określenie dostawców kluczowych usług. Nowe unijne standardy obligują firmy i instytucje do upubliczniania informacji o zaistniałych atakach cybernetycznych.
Dyrektywa była wyczekiwana od długiego czasu, a jej treść została uzgodniona i ogłoszona przez Radę Europy jeszcze w grudniu 2015 roku. Dzięki przyspieszeniu procedury 6 lipca tego roku dokument został uchwalony przez Parlament Europejski.
„Najważniejszy jest fakt, że dyrektywę objęto klauzulą implementacji w ciągu 21 miesięcy we wszystkich krajach członkowskich. Oznacza to, że wszystkie organizacje wymienione w tej dyrektywie jako należące do sektorów, w których przedsiębiorcy świadczą usługi istotne z perspektywy bezpieczeństwa wewnętrznego, mają trochę czasu na przygotowanie się do nowych regulacji. Dyrektywa dotyczy nie tylko instytucji państwowych, lecz także komercyjnych, będących krytycznymi z punktu widzenia państw. A zatem wpływa na sektory takie jak bankowość, finanse, wytwarzanie i dystrybucja energii, transport, opieka zdrowotna, usługi internetowe i administracja publiczna. Ważne jest również to, że nowe przepisy dotyczą nie tylko lokalnych przedsiębiorstw czy organizacji, lecz także tych działających w skali globalnej, takich jak Facebook, Google, Amazon – one w takim samym stopniu są zobowiązane do zgłaszania zdarzeń oraz do zapewnienia jak najwyższego poziomu ochrony tych informacji, które są u nich przetwarzanie” – mówi Michał Jarski, Regional Director CEE w firmie Trend Micro.
Jawność zaistniałych wycieków danych
Najważniejszą zmianą, jaką pociągnie za sobą wejście nowych przepisów, będzie konieczność zgłaszania i raportowania wszelkiego rodzaju wycieków danych i naruszeń bezpieczeństwa do organów określonych w przepisach lokalnych. Bardzo ważne jest wskazanie, które organy będą odpowiadały za obsługę bieżących incydentów. W Polsce od początku lipca istnieje nowa jednostka o nazwie Narodowe Centrum Cyberbezpieczeństwa, powstała na bazie CERT Polska, a także związana z NCC cała struktura CERT-ów odpowiedzialnych za poszczególne sektory gospodarki, począwszy od CERT-u rządowego poprzez spodziewane do powstania na przykład dla bankowości czy sektora energetycznego.
Cyberbezpieczeństwo pioryrtetem dla władz UE
Zmiany wniesione przez dyrektywę NIS staną się uzupełnieniem uchwalonej wcześniej regulacji o nazwie GDPR (ang. General Data Protection Regulation) dotyczącej przetwarzania oraz bezpośredniej ochrony danych osobowych, gromadzonych przez różnego rodzaju jednostki. Połączenie nowego prawa dotyczącego bezpieczeństwa sieciowego w ogólności z wymogami odnoszącymi się do przetwarzania danych osobowych stwarza zupełnie nową strukturę, która wymusza wręcz nawiązanie i zacieśnienie współpracy pomiędzy sektorem prywatnym a publicznym oraz pomiędzy poszczególnymi państwami. Z punktu widzenia odporności takiego dużego organizmu, jakim jest Unia Europejska, jest to ogromny krok naprzód, który będzie wymagał gigantycznego wysiłku oraz nakładów finansowych, niemniej jednak pozwoli na koordynację działań przeciwko przestępcom, szpiegom czy hacktywistom zakłócającym działanie systemów rządowych.
„W skali globalnej straty, które są powodowane przez ataki włamywaczy elektronicznych, są liczone w setkach miliardów dolarów rocznie. Codziennie pojawia się pół miliona nowych, nigdzie nieidentyfikowanych wcześniej zagrożeń. To są zagrożenia zarówno w formie malware’u, złośliwego kodu, lecz także różnego rodzaju mechanizmy, które pozwalają włamywaczom na wykradanie indywidualnych kont bankowych. Do nich zliczamy również popularne ostatnio ataki typu rasnsomware, które cyberprzestępcy stosują w celu łatwego wzbogacenia się. Prócz ekonomicznie motywowanych zagrożeń, mamy też do czynienia z całą masą ataków z pogranicza wojny hybrydowej” – mówi Michał Jarski, Regional Director CEE w firmie Trend Micro.
Współpraca międzynarodowa
Europejska Agencja Bezpieczeństwa Sieci i Informacji (ENISA) zacznie odgrywać bardzo ważną rolę w budowaniu sieci współpracujących ze sobą zespołów narodowych. Do tej pory było to ciało o niewykorzystanym potencjale, bliżej nieokreślonych kompetencjach – natomiast teraz faktyczna będzie rola koordynacyjna tego organu.
Nowe przepisy nadają również ogromną rolę firmom komercyjnym, które są dostawcami technologii ochronnej, czyli wszystkich rozwiązań pozwalających na realizację skutecznych taktyk obronnych przed cyberzagrożeniami. Motywacją do korzystania z zaawansowanych systemów zabezpieczeń będzie nie tylko nakaz ujawniania informacji o zdarzeniach naruszeń bezpieczeństwa, lecz także konieczność udowodnienia, że zrobiło się wszystko, aby do takich incydentów nie dopuścić. Zadaniem firm komercyjnych będzie zatem dostarczenie takich narzędzi, które pozwolą zminimalizować ryzyko wystąpienia incydentów.
Równocześnie dyrektywa ta wzmocni współpracę dostawców z sektora Security IT z Europolem, Interpolem czy innymi jednostkami służącymi ściganiu przestępców oraz aktywnemu neutralizowaniu zagrożeń. Kluczowe będzie tu dzieleniu się informacjami o obserwacjach dotyczących cyberzagrożeń w skali światowej z CERT-ami narodowymi – w taki sposób, żeby wyposażać je w odpowiednią wiedzę z różnych źródeł i laboratoriów badawczych. Przekazanie informacji pozwoli na ostrzeżenie i podniesienie dodatkowych zabezpieczeń w tych obszarach, które jeszcze nie zostały dotknięte.
