Nuo 2024 m. spalio 17 d. turi būti taikoma Europos Komisijos Tinklo ir informacinių sistemų saugumo direktyva (angl. Network and Information Systems, NIS2), kuri yra skirta aukšto kibernetinio saugumo lygio visoje Europos Sąjungoje (toliau – ES) užtikrinimui. Ką apie šį naują reglamentavimą būtina žinoti ir kaip pasiruošti? Kaip tai susiję su asmens duomenų apsauga, BDAR prievolėmis ir BDAR dokumentais?
Aktualumas
Šių dienų kontekste, plačiau naudojantis dirbtiniu intelektu bei pritaikant inovatyvias technologijas kasdienybėje, tampa itin svarbu užtikrinti tinkamus asmens duomenų apsaugos, informacijos ir kibernetinio saugumo lygius.
NIS 2 ir Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) yra dvi itin svarbios ES teisės aktų priemonės, skirtos skaitmeninės srities apsaugai. Nepaisant to, kad šių teisės aktų taikymo sritys ir tikslai skiriasi, jos yra itin glaudžiai susijusios.
Kaip ir BDAR, NIS2 yra taikoma tiek viešam, tiek privačiam sektoriui, o NIS2 reikalavimus turi atitikti visi juridiniai asmenys, kurie patenka į Lietuvos institucijų nustatytą svarbių ir kritinių įmonių ir organizacijų sąrašą, atnaujinamą ne rečiau nei kas du metus.
Anksčiau taikyta NIS direktyva Europos Komisijos sprendimu buvo pakeista naująja NIS2 direktyva siekiant spręsti naujus iššūkius ir grėsmes, su kuriomis susiduria šiuolaikinė skaitmeninė visuomenė. Atitinkamai, ES ieško būdų sustiprinti kibernetinį saugumą ir užtikrinti ES kritinės infrastruktūros apsaugą nuo kibernetinių grėsmių.
NIS2 direktyvos pakeitimai
Visų pirma, šia direktyva yra plečiama taikymo sritis bei saugumo reikalavimai yra taikomi didesniam organizacijų ir sektorių skaičiai, įskaitant energetikos, sveikatos apsaugos, transporto ir finansų sektoriais, kurie yra laikomi itin svarbiais ir kritiniais visuomenės funkcionavimui.
Taip pat yra numatyti griežtesni kibernetinio saugumo reikalavimai – organizacijos yra įpareigotos taikyti aukštesnio lygio kibernetinio saugumo priemones bei nusimatyti atitinkamas procedūras, pavyzdžiui, reguliariai vertinti rizikas ir diegti incidentų valdymo sistemas.
Svarbu ir tai, jog atsiranda ir incidentų pranešimo tvarka – organizacijos yra įpareigojamos per 24 val. pateikti pirminį pranešimą apie didelio masto kibernetinius incidentus tam, kad būtų greičiau sureaguojama ir sumažinama galima žala.
NIS2 direktyva nustato griežtas baudas (kurių didžiausia siekia 10 mln. eurų arba 2 proc. įmonės metinės apyvartos – priklausomai nuo to, kuri yra didesnė) už saugumo reikalavimų nesilaikymą, siekdama užtikrinti, kad organizacijos rimtai žiūrėtų į kibernetinio saugumo klausimus.
Pastebėtina, jog NIS2 užtikrina ne tik kibernetinį saugumą, tačiau ir šioje direktyvoje numatytus esminius organizacijų padarytus pareigų pažeidimus gali sieti ir su asmens duomenų saugumo pažeidimais. Tokiais atvejais, turi būti informuojama ir Valstybinė duomenų apsaugos inspekcija.
NIS2 ir duomenų apsauga
NIS2 direktyva orientuota į bendrą infrastruktūros ir sistemų apsaugą, o BDAR – į asmens duomenų saugumą, todėl norint išvengti kibernetinių grėsmių, būtina užtikrinti, kad organizacijos duomenų apsaugos politika būtų nuosekli ir atnaujinama pagal naujus kibernetinio saugumo standartus.
NIS2 direktyva taip pat reikalauja, kad organizacijos turėtų veiksmingus incidentų valdymo planus. Dažnai incidentai gali paveikti ir asmens duomenų saugumą, todėl incidentų valdymo procedūros turi būti integruotos su duomenų apsaugos procesais. Tai padeda greitai ir tiksliai reaguoti į incidentus, užtikrinant tiek infrastruktūros, tiek duomenų apsaugą.
Kibernetinių grėsmių ir technologijų aplinka nuolat keičiasi, todėl būtina reguliariai atnaujinti su duomenų apsauga susijusius dokumentus. BDAR dokumentai turi atitikti tiek BDAR, tiek NIS2 reikalavimus. Tai apima privatumo politikos, duomenų apsaugos procedūrų ir duomenų teikimo sutarčių su tiekėjais bei klientais peržiūrą ir atnaujinimą.
Apibendrinimas
NIS2 direktyva padės ES valstybėse narėse užtikrinti aukštą kibernetinio saugumo lygį įpareigodama svarbioms ir kritinėms organizacijoms diegti griežtesnes kibernetinio saugumo priemones. Siekiant sužinoti, kaip tai padaryti tinkamai, verta konsultuotis su ekspertais, dalyvauti jų rengiamuose mokymuose.