Obowiązki operatorów a dyrektywa NIS

Dyrektywa NIS określa nowe obowiązki operatorów kluczowych w świetle przepisów o cyberbezpieczeństwie. W ogólności regulacje te dotyczą odporności systemów teleinformatycznych na ataki hakerów. Jacy przedsiębiorcy zaliczani są do grona operatorów kluczowych? I jakie obowiązki narzuca na nich dyrektywa NIS?

Operatorzy kluczowi

Dyrektywa NIS (Network Internet Security), ma na celu zapewnienie wysokiego poziomu odporności systemów teleinformatycznych na ataki w cyberprzestrzeni. Z kolei zwiększenie odporności systemów ma zapewnić niezakłócone świadczenie usług,  kluczowych dla państwa i jego gospodarki oraz usług cyfrowych. Dyrektywa  skierowana jest do dwóch grup podmiotów – operatorów usług kluczowych i dostawców usług cyfrowych. Jak tłumaczy nasz rozmówca, specjalista z firmy Audytel, zajmującej się przeprowadzaniem audytów teleinformatycznych:

Do operatorów usług kluczowych zaliczamy przedsiębiorców z takich sektorów jak: energetyka, bankowość i infrastruktura rynków finansowych, transport, służba zdrowia, zaopatrzenie w wodę pitną oraz infrastruktura cyfrowa. Do dostawców usług cyfrowych zaś zaliczamy dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz usług przetwarzania w chmurze. Dyrektywa NIS nie wprowadza rozróżnienia na podmioty prywatne oraz publiczne, a co za tym idzie każdy wyznaczony podmiot świadczący wyżej wymienione usługi, musi wypełniać narzucane przez nią obowiązki.

Obowiązki operatorów usług kluczowych wynikające z dyrektywy NIS

Dyrektywa NIS narzuca na operatorów usług kluczowych dwa główne obowiązki. Przede wszystkim operatorzy zobowiązani są do wprowadzania zależnych od poziomu ryzyka środków zarówno organizacyjnych, jak i technicznych, które zapewnią bezpieczeństwo oraz ciągłość świadczonych przez nich usług. W ramach tego obowiązku operatorzy muszą m.in.:

• zbierać informacje o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty systemów informacyjnych, które są wykorzystywane do świadczenia usług kluczowych,
• zarządzać incydentami,
• stosować środki techniczne i organizacyjne w celu analizowania i zarządzania ryzykiem, na jakie narażone są systemy informacyjne wykorzystywane przez operatora do świadczenia usług kluczowych,
• zarządzać ryzykiem zakłócenia ciągłości świadczenia usług kluczowych,
• obejmować świadczone usługi kluczowe systemem monitorowania w trybie ciągłym,
• utrzymywać i bezpiecznie eksploatować systemy informacyjne,
• stosować środki zapobiegające i ograniczające wpływ incydentów na bezpieczeństwo systemów informacyjnych.

Ponadto operatorzy zobowiązani są do prowadzenia odpowiedniej dokumentacji dotyczącej cyberbezpieczeństwa systemów informacyjnych, które wykorzystywane są do świadczenia usług kluczowych. Drugim głównym obowiązkiem operatorów usług kluczowych jest konieczność raportowania oraz obsługi incydentów. Co to oznacza w praktyce? Otóż operator musi zidentyfikować zaistniały incydent, następnie dokonać jego rejestracji oraz klasyfikacji. Incydenty sklasyfikowane według progów jako poważne, czyli takie, które powodują lub mogą spowodować poważne obniżenie jakości lub nawet przerwanie ciągłości działania świadczonej usługi kluczowej, muszą być zgłaszane niezwłocznie (nie później niż w ciągu 24 godzin od momentu wykrycia) do właściwego CSIRT (Computer Security Incident Response Team). Dodatkowo operatorzy mają obowiązek wyznaczyć osoby odpowiedzialne za cyberbezpieczeństwo świadczonych usług kluczowych oraz zapewnienie użytkownikom usług dostępu do wiedzy, która umożliwi zrozumienie zagrożeń cyberbezpieczeństwa i stosowanie skutecznych sposobów zabezpieczania się przed nimi. Ponadto operatorzy zobowiązani są do przeprowadzania co najmniej raz na dwa lata audytu bezpieczeństwa teleinformatycznego. Ustawa NIS dopuszcza możliwość budowy wewnętrznych struktur odpowiedzialnych za cyberbezpieczeństwo, jak i outsourcingu usług z zakresu cyberbezpieczeństwa. Dyrektywa ma pomóc przedsiębiorstwom skuteczniej stawiać opór hakerom, a także pomóc w zapobieganiu atakom na infrastrukturę cyfrową. Zaniechanie realizacji postanowień NIS wiąże się z możliwością otrzymania kary pieniężnej.