Lühidalt: ELi direktiiv NIS2 kohustab märksa rohkem ettevõtteid kui varem riskijuhtimise meetmetele ja oluliste turvaintsidentide teavitamisele. Saksamaal võetakse see üle seadusega NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, Saksa seadus); pädev asutus on BSI. Veebiserverite jaoks tähendab see eelkõige: uuendused, turvaaukude haldus ja intsidentide käsitlemine peavad olema korraldatud ja tõendatavad. See leht on üldine teave, mitte õigusnõustamine.
Ei ole õigusnõustamine: kas teie ettevõte NIS2 alla kuulub ja millised kohustused üksikasjades kehtivad, selgitage BSI andmete alusel ja õigusnõustamise kaudu. Me ei nimeta tahtlikult künniseid ega tähtaegu, mis sõltuvad teie liigitusest.
Mis on NIS2
NIS2 on teine ELi direktiiv võrgu- ja infoturbe kohta. See laiendab kohustatud ettevõtete ringi varasema regulatsiooniga võrreldes märgatavalt ja eristab eriti olulisi ning olulisi üksusi. Millised tegevusalad ja suurusklassid on hõlmatud, määrab seadus.
Saksamaal võtab direktiivi üle NIS2UmsuCG, mis muu hulgas sõnastab BSI seaduse uuesti. BSI on kontaktpunkt registreerimise, teavituste ja järelevalve jaoks ning pakub oma veebisaidil teavet ja abi liigitamiseks. Usaldusväärsed ja ajakohased andmed tähtaegade ja menetluste kohta leiate sealt, mitte üldistest kokkuvõtetest.
NIS2 kohustused ettevõtetele ülevaatlikult
Puudutatud ettevõtete kohustused võib jämedalt jagada kolmeks valdkonnaks:
Riskijuhtimine. Ettevõtted peavad võtma sobivaid ja proportsionaalseid tehnilisi ja korralduslikke meetmeid. Siia kuuluvad tüüpiliselt riskianalüüsi ja infoturbe kontseptsioonid, turvaintsidentide käsitlemine, tegevuse jätkamine varukoopiate ja kriisijuhtimisega, tarneahela turvalisus, turvalisus hanke, arenduse ja hoolduse käigus sealhulgas turvaaukude käsitlemine, ligipääsukontroll ja krüptograafia.
Teavitamine. Olulistest turvaintsidentidest tuleb BSI-d teavitada. Direktiiv näeb selleks ette etapiviisilise menetluse, alates varasest esmateavitusest kuni lõpparuandeni. Täpsed tähtajad ja teavitamisteed Saksamaa jaoks leiate BSI andmetest.
Juhtkonna vastutus. Juhtkond peab meetmed heaks kiitma, nende rakendamist jälgima ja laskma end küberturvalisuse küsimustes koolitada. Lisateavet leiate lehelt Juhtkonna vastutus.
Mida see veebiserverite jaoks tähendab
Veebiserverid on sageli ettevõtte kõige avatum süsteem. PHP2Shell näitab, kui kiiresti võib põhikomponendi turvaauk mõjutada kõiki sellel töötavaid rakendusi. Kaks turvaauku CVE-2026-109618 ja CVE-2026-109619 võimaldavad koodi käivitamist ilma sisselogimata; BSI on kuulutanud välja hoiatustaseme 3 (oranž) ja soovitanud kohest uuendust.
NIS2 alla kuuluva ettevõtte jaoks tekivad sellest praktilised küsimused: kas me teame, millised serverid PHP-d kasutavad ja millises versioonis? Kes jälgib turvateateid ja otsustab kiireloomuliste uuenduste üle? Kas me suudame rünnakut tuvastada ja kes hindab, kas intsident on oluline ning seega teavitamiskohustuslik? Kas on reguleeritud, mida majutaja ja teenusepakkujad üle võtavad?
Paik ei eemalda pahavara, mis toodi sisse varem, ega tõesta, et midagi ei juhtunud. Ka see kuulub intsidendi hindamise juurde.
Konkreetsed meetmed veebi taristule
Järgmised punktid ei ole ammendav loend, kuid katavad sagedasemad lüngad:
| Meede | Seos |
|---|---|
| Kõigi veebiserverite, PHP versioonide ja rakenduste inventar | Riskianalüüs |
| Kindel menetlus turvauuenduste jaoks, sh taaskäivitus ja tõend | Turvaaukude haldus |
| Seire ja logide säilitamine | Intsidentide käsitlemine |
| Testitud varukoopiad ja taaskäivituse plaan | Tegevuse järjepidevus |
| Ülesannete jaotus majutaja ja agentuuridega kirjalikult | Tarneahel |
| Mitmefaktoriline autentimine administraatoriligipääsude jaoks | Ligipääsukontroll |
| Ette valmistatud teavitamisteed ja vastutusalad | Teavitamiskohustused |
Metoodilise raamistikuna sobib BSI IT-baaskaitse (IT-Grundschutz). Veebiserverite IT-hädaolukorra plaan seob tehnika, vastutusalad ja teavitamisteed.
Mõelge NIS2 ja andmekaitse koos
Rünnak veebiserverile võib olla korraga nii NIS2 intsident kui ka andmekaitserikkumine. Siis kulgevad kaks menetlust kõrvuti, erinevate asutuste ja nõuetega. Andmekaitse järelevalveasutusele teavitamist IKÜM art 33 järgi kirjeldab leht IKÜM-i teavitamiskohustus: 72 tundi. Planeerige mõlemad teed ette, et tõsisel hetkel ei peaks keegi improviseerima.
Teine punkt puudutab teenusepakkujaid. Paljud ettevõtted laskevad veebisaite agentuuridel hooldada ja servereid majutajatel käitada. Kohustus arvestada tarneahela riske tähendab praktikas: reguleerida lepinguga, kes paigaldab turvauuendused, kui kiiresti kriitilisi turvauke käsitletakse, kuidas teid intsidentidest teavitatakse ja milliseid tõendeid saate. PHP2Shelli olukord on hea proovikivi, kas need reeglid juba kehtivad ja tõsisel hetkel toimisid. Kui vastus puudub, on see punkt teie riskijuhtimise jaoks.
Kuidas PHP SOS konkreetselt aitab?
- Kaardistame teie veebitaristu ning hindame riskid ja lüngad kujul, mida saate oma riskijuhtimises kasutada.
- Seadistame tõendatava turvauuenduste menetluse ja võtame selle soovi korral üle turvahoolduslepinguga.
- Turvaseire ja logide säilitamisega loome aluse intsidentide tuvastamiseks ja hindamiseks.
- Intsidendi korral anname tehnilised faktid teie BSI-le esitatava teavituse jaoks; õiguslik hinnang jääb teile ja teie õigusnõustajale.
Korduma kippuvad küsimused
Kas minu ettevõtet NIS2 puudutab?
See sõltub muu hulgas tegevusalast ja ettevõtte suurusest. Täpsed kriteeriumid tulenevad Saksamaa ülevõtmisseadusest. BSI pakub oma veebisaidil teavet puudutatuse kohta; kahtluse korral selgitage küsimus õigusnõustamise kaudu.
Mida NIS2 ettevõtte veebisaidi jaoks tähendab?
Veebiserverid, klienditeenindusportaalid ja poed kuuluvad süsteemide hulka, mille riske peab puudutatud ettevõte juhtima. Siia kuuluvad uuendused, turvaaukude haldus, ligipääsukontroll ning võime intsidente tuvastada ja neist teavitada.
Millised teavitamistähtajad NIS2 järgi kehtivad?
Direktiiv näeb olulisete turvaintsidentide puhul ette etapiviisilise teavitamismenetluse. Saksamaa siduvad tähtajad, teed ja vormid leiate BSI andmetest ja seaduse tekstist. Me ei nimeta siin tahtlikult tähtaegu, mis ei ole seotud teie olukorraga.
Kas NIS2 kehtib ka tarnijatele?
NIS2 nõuab puudutatud asutustelt ka tarneahela turvalisuse arvestamist. Seetõttu küsivad paljud kliendid oma teenusepakkujatelt ja tarnijatelt turvameetmete kohta, isegi kui need ise otseselt seaduse alla ei kuulu.