Накратко: Директивата на ЕС NIS2 задължава значително повече фирми, отколкото преди, към мерки за управление на риска и към уведомяване за значителни инциденти със сигурността. В Германия тя се транспонира чрез NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, германски закон); компетентният орган е BSI (Федерална служба за информационна сигурност на Германия). За уеб сървърите това означава преди всичко: актуализациите, управлението на уязвимостите и обработката на инциденти трябва да са организирани и да могат да се докажат. Тази страница е обща информация, не представлява правен съвет.
Не е правен съвет: дали Вашата фирма попада под NIS2 и какви задължения важат в детайл, изяснете по данните на BSI и с правна консултация. Умишлено не посочваме прагове или срокове, които зависят от Вашето класифициране.
Какво е NIS2
NIS2 е втората директива на ЕС за мрежовата и информационната сигурност. Тя значително разширява кръга на задължените фирми спрямо предишната уредба и разграничава особено важни и важни субекти. Кои отрасли и размерни класове са обхванати, определя законът.
В Германия NIS2UmsuCG транспонира директивата и за целта, наред с другото, преработва BSI-Gesetz (германски закон). BSI е контактното звено за регистрация, уведомления и надзор и предоставя на уебсайта си информация и помощ за класифицирането. Надеждни и актуални данни за срокове и процедури ще намерите там, а не в общи резюмета.
Задълженията по NIS2 за фирмите накратко
За засегнатите фирми задълженията грубо могат да се обхванат в три области:
Управление на риска. Фирмите трябва да предприемат подходящи и пропорционални технически и организационни мерки. Към тях типично спадат концепции за анализ на риска и информационна сигурност, справяне с инциденти със сигурността, поддържане на дейността с резервни копия и управление на кризи, сигурност на веригата на доставки, сигурност при доставки, разработка и поддръжка, включително работа с уязвимости, контрол на достъпа и криптография.
Уведомления. За значителни инциденти със сигурността трябва да се уведомява BSI. Директивата предвижда за това поетапна процедура, от ранно първо уведомление до заключителен доклад. Точните срокове и пътища за уведомяване за Германия вземете от данните на BSI.
Отговорност на ръководството. Ръководството трябва да одобрява мерките, да следи изпълнението им и да се обучава по въпросите на киберсигурността. Повече по темата има в Отговорност на управителя.
Какво означава това за уеб сървърите
Уеб сървърите често са най-отворената система на дадена фирма. PHP2Shell показва колко бързо уязвимост в основен компонент може да засегне всички приложения, които работят върху него. Двете уязвимости CVE-2026-109618 и CVE-2026-109619 позволяват изпълнение на код без вход в системата; BSI обяви ниво на предупреждение 3 (оранжево) и препоръча незабавна актуализация.
За фирма, подчинена на NIS2, от това възникват практически въпроси: Знаем ли кои сървъри ползват PHP и в коя версия? Кой следи съобщенията за сигурност и решава за спешни актуализации? Можем ли да разпознаем атака и кой преценява дали инцидентът е значителен и следователно подлежи на уведомяване? Уредено ли е какво поемат доставчикът на хостинг и доставчиците на услуги?
Пачът не премахва зловреден софтуер, внесен преди това, и не доказва, че нищо не се е случило. Това също е част от оценката на инцидента.
Конкретни мерки за уеб инфраструктурата
Следващите точки не са изчерпателен списък, но покриват най-честите пропуски:
| Мярка | Отношение |
|---|---|
| Опис на всички уеб сървъри, версии на PHP и приложения | Анализ на риска |
| Твърда процедура за актуализации на сигурността, включително рестарт и доказателство | Управление на уязвимостите |
| Наблюдение и съхранение на логове | Справяне с инциденти |
| Тествани резервни копия и план за възстановяване | Непрекъснатост на дейността |
| Писмено разпределение на задачите с доставчика на хостинг и агенциите | Верига на доставки |
| Многофакторно удостоверяване за администраторските достъпи | Контрол на достъпа |
| Подготвени пътища за уведомяване и отговорности | Задължения за уведомяване |
Като методическа рамка е подходящ IT-Grundschutz на BSI. ИТ авариен план за уеб сървъри свързва техниката, отговорностите и пътищата за уведомяване.
NIS2 и защита на данните заедно
Атака срещу уеб сървър може да бъде едновременно инцидент по NIS2 и нарушение на защитата на данните. Тогава две процедури вървят паралелно, с различни органи и изисквания. Уведомяването на надзора по защита на данните по чл. 33 от ОРЗД е описано в Задължение за уведомяване по ОРЗД: 72 часа. Планирайте и двата пътя предварително, за да не се налага никому да импровизира при истински случай.
Друга точка засяга доставчиците на услуги. Много фирми възлагат поддръжката на уебсайтовете на агенции, а експлоатацията на сървърите на доставчици на хостинг. Задължението да се отчитат рисковете на веригата на доставки на практика означава: договорно да се уреди кой внася актуализациите за сигурност, колко бързо се третират критичните уязвимости, как се информирате за инциденти и какви доказателства получавате. Ситуацията около PHP2Shell е добър пробен камък дали тези уредби вече съществуват и дали са проработили при истински случай. Ако липсва отговор, това е точка за Вашето управление на риска.
Как помага PHP SOS конкретно?
- Описваме Вашата уеб инфраструктура и оценяваме рисковете и пропуските във форма, която можете да ползвате за Вашето управление на риска.
- Изграждаме доказуема процедура за актуализации на сигурността и при желание я поемаме чрез договор за поддръжка на сигурността.
- Със следене на сигурността и съхранение на логове създаваме основата за разпознаване и оценка на инциденти.
- При инцидент предоставяме техническите факти за Вашето уведомление до BSI; правната класификация остава при Вас и Вашата правна консултация.
Често задавани въпроси
Засегната ли е моята фирма от NIS2?
Това зависи, наред с другото, от отрасъла и размера на фирмата. Точните критерии следват от германския закон за транспониране. BSI предоставя на уебсайта си информация за засегнатостта; при съмнение изяснете въпроса с правна консултация.
Какво означава NIS2 за фирмен уебсайт?
Уеб сървърите, клиентските портали и магазините са сред системите, чиито рискове засегнатата фирма трябва да управлява. Към това спадат актуализациите, управлението на уязвимостите, контролът на достъпа и способността да се разпознават и съобщават инциденти.
Какви срокове за уведомяване важат по NIS2?
Директивата предвижда поетапна процедура за уведомяване при значителни инциденти със сигурността. Обвързващите срокове, пътища и формуляри за Германия вземете от данните на BSI и от текста на закона. Тук умишлено не посочваме срокове без връзка с Вашата ситуация.
Важи ли NIS2 и за доставчиците?
NIS2 изисква от засегнатите субекти да отчитат и сигурността на веригата си на доставки. Затова много клиенти питат своите доставчици на услуги и доставчици за мерки за сигурност, дори те самите да не попадат пряко под закона.