Īsi: ES direktīva NIS2 ievērojami vairāk uzņēmumu nekā agrāk uzliek pienākumu veikt riska pārvaldības pasākumus un ziņot par būtiskiem drošības incidentiem. Vācijā to transponē NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, Vācijas likums); kompetentā iestāde ir BSI (Vācijas Federālais informācijas drošības birojs). Tīmekļa serveriem tas galvenokārt nozīmē: atjauninājumiem, ievainojamību pārvaldībai un incidentu apstrādei jābūt organizētai un pierādāmai. Šī lapa ir vispārīga informācija, nevis juridiska konsultācija.
Nav juridiska konsultācija: vai jūsu uzņēmumam piemēro NIS2 un kādi pienākumi konkrēti ir spēkā, noskaidrojiet pēc BSI norādēm un ar juridisku konsultāciju. Mēs apzināti nenorādām slieksņus vai termiņus, kas ir atkarīgi no jūsu klasifikācijas.
Kas ir NIS2
NIS2 ir otrā ES direktīva par tīklu un informācijas drošību. Salīdzinājumā ar iepriekšējo regulējumu tā ievērojami paplašina saistīto uzņēmumu loku un nošķir īpaši svarīgas un svarīgas vienības. Kuras nozares un lieluma klases ir aptvertas, nosaka likums.
Vācijā direktīvu transponē NIS2UmsuCG, kas šim nolūkam, cita starpā, pārstrādā BSI likumu. BSI ir kontaktpunkts reģistrācijai, ziņojumiem un uzraudzībai, un savā vietnē sniedz informāciju un palīglīdzekļus klasifikācijai. Uzticamas, aktuālas norādes par termiņiem un procedūrām atradīsiet tur, nevis vispārīgos kopsavilkumos.
NIS2 pienākumi uzņēmumiem pārskatā
Skartajiem uzņēmumiem pienākumus var aptuveni sagrupēt trijās jomās:
Riska pārvaldība. Uzņēmumiem jāveic piemēroti un samērīgi tehniski un organizatoriski pasākumi. Parasti tie ietver risku analīzes un informācijas drošības koncepcijas, drošības incidentu pārvarēšanu, darbības nepārtrauktību ar rezerves kopijām un krīzes pārvaldību, piegādes ķēdes drošību, drošību iegādē, izstrādē un uzturēšanā, ieskaitot rīcību ar ievainojamībām, piekļuves kontroli un kriptogrāfiju.
Ziņojumi. Par būtiskiem drošības incidentiem jāziņo BSI. Direktīva šim nolūkam paredz pakāpenisku procedūru, sākot ar agrīnu pirmo ziņojumu un beidzot ar noslēguma ziņojumu. Precīzos termiņus un ziņošanas ceļus Vācijai skatiet BSI norādēs.
Vadības atbildība. Vadībai jāapstiprina pasākumi, jāuzrauga to īstenošana un jāapmeklē apmācības kiberdrošības jautājumos. Vairāk lapā Vadītāju atbildība.
Ko tas nozīmē tīmekļa serveriem
Tīmekļa serveri bieži ir uzņēmuma visplašāk atvērtā sistēma. PHP2Shell parāda, cik ātri ievainojamība pamatkomponentē var ietekmēt visas uz tās darbojošās lietojumprogrammas. Abas ievainojamības CVE-2026-109618 un CVE-2026-109619 ļauj izpildīt kodu bez autentifikācijas; BSI ir izsludinājis 3. brīdinājuma līmeni (oranžs) un ieteicis nekavējoties atjaunināt.
NIS2 pakļautam uzņēmumam no tā izriet praktiski jautājumi: vai mēs zinām, kuri serveri izmanto PHP un kādā versijā? Kurš seko drošības paziņojumiem un lemj par ārkārtas atjauninājumiem? Vai varam atpazīt uzbrukumu un kurš novērtē, vai incidents ir būtisks un tātad ziņojams? Vai ir noregulēts, ko uzņemas hostinga sniedzējs un pakalpojumu sniedzēji?
Ielāps nenoņem ļaunprātīgu programmatūru, kas tika ievadīta iepriekš, un nepierāda, ka nekas nav noticis. Arī tas pieder pie incidenta novērtēšanas.
Konkrēti pasākumi tīmekļa infrastruktūrai
Turpmākie punkti nav izsmeļošs saraksts, taču aptver visbiežākās nepilnības:
| Pasākums | Saistība |
|---|---|
| Visu tīmekļa serveru, PHP versiju un lietojumprogrammu inventārs | Risku analīze |
| Noteikta procedūra drošības atjauninājumiem, ieskaitot pārstartēšanu un pierādījumu | Ievainojamību pārvaldība |
| Uzraudzība un žurnālu glabāšana | Incidentu pārvarēšana |
| Pārbaudītas rezerves kopijas un atjaunošanas plāns | Darbības nepārtrauktība |
| Uzdevumu sadale ar hostinga sniedzēju un aģentūrām rakstiski | Piegādes ķēde |
| Daudzfaktoru pieteikšanās administratoru piekļuvēm | Piekļuves kontrole |
| Sagatavoti ziņošanas ceļi un atbildības | Ziņošanas pienākumi |
Kā metodisku ietvaru der izmantot BSI IT-Grundschutz. IT ārkārtas plāns tīmekļa serveriem savieno tehniku, atbildības un ziņošanas ceļus.
NIS2 un datu aizsardzība kopā
Uzbrukums tīmekļa serverim vienlaikus var būt gan NIS2 incidents, gan datu aizsardzības pārkāpums. Tad paralēli norisinās divas procedūras ar dažādām iestādēm un prasībām. Ziņošana datu aizsardzības uzraudzībai saskaņā ar VDAR 33. pantu aprakstīta lapā VDAR ziņošanas pienākums: 72 stundas. Abus ceļus plānojiet iepriekš, lai nopietnā gadījumā nevienam nebūtu jāimprovizē.
Vēl viens punkts skar pakalpojumu sniedzējus. Daudzi uzņēmumi vietnes uztic aģentūrām un serverus hostinga sniedzējiem. Pienākums ņemt vērā piegādes ķēdes riskus praktiski nozīmē: līgumā noregulēt, kurš ieinstalē drošības atjauninājumus, cik ātri tiek apstrādātas kritiskas ievainojamības, kā jūs tiekat informēti par incidentiem un kādus pierādījumus saņemat. Situācija ap PHP2Shell ir labs pārbaudes akmens, vai šie regulējumi jau pastāv un vai tie nopietnā gadījumā darbojās. Ja atbildes nav, tas ir punkts jūsu riska pārvaldībai.
Kā PHP SOS palīdz konkrēti?
- Mēs uzskaitām jūsu tīmekļa infrastruktūru un novērtējam riskus un nepilnības formā, ko varat izmantot savā riska pārvaldībā.
- Mēs ieviešam pierādāmu procedūru drošības atjauninājumiem un pēc vēlēšanās uzņemamies to ar drošības uzturēšanas līgumu.
- Ar drošības monitoringu un žurnālu glabāšanu mēs radām pamatu incidentu atpazīšanai un novērtēšanai.
- Incidenta gadījumā mēs sniedzam tehniskos faktus jūsu ziņojumam BSI; juridiskā klasifikācija paliek pie jums un jūsu juridiskās konsultācijas.
Biežāk uzdotie jautājumi
Vai mans uzņēmums ir skarts ar NIS2?
Tas cita starpā ir atkarīgs no nozares un uzņēmuma lieluma. Precīzie kritēriji izriet no Vācijas transponēšanas likuma. BSI savā vietnē sniedz informāciju par skartību; šaubu gadījumā jautājumu noskaidrojiet ar juridisku konsultāciju.
Ko NIS2 nozīmē uzņēmuma vietnei?
Tīmekļa serveri, klientu portāli un veikali ietilpst sistēmās, kuru riski skartajam uzņēmumam jāpārvalda. Tas ietver atjauninājumus, ievainojamību pārvaldību, piekļuves kontroli un spēju atpazīt un ziņot par incidentiem.
Kādi ziņošanas termiņi ir spēkā saskaņā ar NIS2?
Direktīva paredz pakāpenisku ziņošanas procedūru būtiskiem drošības incidentiem. Saistošos termiņus, ceļus un veidlapas Vācijai skatiet BSI norādēs un likuma tekstā. Mēs apzināti nenorādām termiņus bez saiknes ar jūsu situāciju.
Vai NIS2 attiecas arī uz piegādātājiem?
NIS2 prasa skartajām vienībām ņemt vērā arī savas piegādes ķēdes drošību. Tāpēc daudzi klienti vaicā pakalpojumu sniedzējiem un piegādātājiem par drošības pasākumiem, pat ja šie paši tieši neietilpst likuma tvērumā.