Stručne: Smernica EÚ NIS2 ukladá výrazne viac firmám než predtým povinnosť prijímať opatrenia riadenia rizík a hlásiť významné bezpečnostné incidenty. V Nemecku ju prebieralo NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, nemecký zákon); príslušným orgánom je BSI. Pre webservery to znamená predovšetkým: aktualizácie, správa zraniteľností a riešenie incidentov musia byť zorganizované a preukázateľné. Táto stránka je všeobecná informácia, nie právne poradenstvo.
Žiadne právne poradenstvo: Či vaša firma spadá pod NIS2 a aké povinnosti platia v jednotlivostiach, objasnite podľa údajov príslušného orgánu (v Nemecku BSI) a s právnym poradenstvom. Vedome neuvádzame prahové hodnoty ani lehoty, ktoré závisia od vášho zaradenia.
Čo je NIS2
NIS2 je druhá smernica EÚ o bezpečnosti sietí a informácií. Okruh povinných firiem oproti predchádzajúcej úprave výrazne rozširuje a rozlišuje medzi mimoriadne dôležitými a dôležitými subjektmi. Ktoré odvetvia a veľkostné triedy sú zahrnuté, určuje zákon.
V Nemecku smernicu prebieral zákon NIS2UmsuCG, ktorý na tento účel okrem iného nanovo upravuje zákon o BSI. BSI je kontaktným miestom pre registráciu, hlásenia a dohľad a na svojej stránke poskytuje informácie a pomôcky na zaradenie. Spoľahlivé, aktuálne údaje o lehotách a postupoch nájdete tam, nie vo všeobecných zhrnutiach.
Povinnosti podľa NIS2 pre firmy v prehľade
Pre dotknuté firmy sa povinnosti dajú zhruba zhrnúť do troch oblastí:
Riadenie rizík. Firmy musia prijať vhodné a primerané technické a organizačné opatrenia. Typicky k tomu patria koncepcie analýzy rizík a bezpečnosti informácií, zvládanie bezpečnostných incidentov, udržanie prevádzky so zálohami a krízovým riadením, bezpečnosť dodávateľského reťazca, bezpečnosť pri obstarávaní, vývoji a údržbe vrátane zaobchádzania so zraniteľnosťami, riadenie prístupu a kryptografia.
Hlásenia. Významné bezpečnostné incidenty sa musia hlásiť príslušnému orgánu, v Nemecku BSI. Smernica na to predpokladá viacstupňový postup, od včasného prvého hlásenia až po záverečnú správu. Presné lehoty a cesty hlásenia pre Nemecko nájdete v údajoch BSI.
Zodpovednosť vedenia. Vedenie firmy musí opatrenia schvaľovať, dohliadať na ich vykonávanie a nechať sa školiť v otázkach kybernetickej bezpečnosti. Viac na stránke Zodpovednosť konateľa.
Čo to znamená pre webservery
Webservery sú často najviac otvoreným systémom firmy. PHP2Shell ukazuje, ako rýchlo môže zraniteľnosť v základnej komponente zasiahnuť všetky aplikácie, ktoré na nej bežia. Obe zraniteľnosti CVE-2026-109618 a CVE-2026-109619 umožňujú spustenie kódu bez prihlásenia; BSI vyhlásilo stupeň varovania 3 (oranžový) a odporučilo okamžitú aktualizáciu.
Pre firmu podliehajúcu NIS2 z toho vznikajú praktické otázky: Vieme, ktoré servery používajú PHP a v akej verzii? Kto sleduje bezpečnostné hlásenia a rozhoduje o núdzových aktualizáciách? Dokážeme útok rozpoznať a kto posudzuje, či je incident významný, a teda podlieha hláseniu? Je upravené, čo preberá poskytovateľ hostingu a dodávatelia?
Záplata neodstráni škodlivý softvér, ktorý bol zavlečený predtým, a nedokazuje, že sa nič nestalo. Aj to patrí k posúdeniu incidentu.
Konkrétne opatrenia pre webovú infraštruktúru
Nasledujúce body nie sú konečným zoznamom, ale pokrývajú najčastejšie medzery:
| Opatrenie | Súvislosť |
|---|---|
| Inventár všetkých webserverov, verzií PHP a aplikácií | Analýza rizík |
| Pevný postup pre bezpečnostné aktualizácie vrátane reštartu a dôkazu | Správa zraniteľností |
| Monitorovanie a uchovávanie logov | Zvládanie incidentov |
| Otestované zálohy a plán obnovy prevádzky | Kontinuita prevádzky |
| Písomné rozdelenie úloh s poskytovateľom hostingu a agentúrami | Dodávateľský reťazec |
| Viacfaktorové prihlásenie pre administrátorské prístupy | Riadenie prístupu |
| Pripravené cesty hlásenia a zodpovednosti | Oznamovacie povinnosti |
Ako metodický rámec sa hodí IT-Grundschutz od BSI. IT núdzový plán pre webservery spája techniku, zodpovednosti a cesty hlásenia.
Myslite na NIS2 a ochranu údajov spoločne
Útok na webserver môže byť zároveň incidentom podľa NIS2 aj porušením ochrany údajov. Vtedy bežia vedľa seba dva postupy, s rôznymi orgánmi a požiadavkami. Oznámenie dozornému orgánu pre ochranu údajov podľa čl. 33 GDPR je opísané na stránke Oznamovacia povinnosť podľa GDPR: 72 hodín. Obe cesty si naplánujte vopred, aby v kritickom prípade nikto nemusel improvizovať.
Ďalší bod sa týka dodávateľov. Mnohé firmy nechávajú weby spravovať agentúrami a servery prevádzkovať poskytovateľmi hostingu. Povinnosť zohľadňovať riziká dodávateľského reťazca prakticky znamená: zmluvne upraviť, kto nasadzuje bezpečnostné aktualizácie, ako rýchlo sa riešia kritické zraniteľnosti, ako ste informovaní o incidentoch a aké doklady dostanete. Situácia okolo PHP2Shell je dobrý skúšobný kameň, či tieto úpravy už existujú a v kritickom prípade fungovali. Ak odpoveď chýba, je to bod pre vaše riadenie rizík.
Ako konkrétne pomáha PHP SOS?
- Zaznamenáme vašu webovú infraštruktúru a posúdime riziká a medzery vo forme, ktorú môžete použiť pre svoje riadenie rizík.
- Zavedieme preukázateľný postup pre bezpečnostné aktualizácie a na požiadanie ho prevezmeme cez zmluvu o bezpečnostnej údržbe.
- S bezpečnostným monitoringom a uchovávaním logov vytvoríme základ na rozpoznanie a posúdenie incidentov.
- Pri incidente dodáme technické fakty pre vaše hlásenie orgánu; právne zaradenie zostáva na vás a vašom právnom poradenstve.
Časté otázky
Týka sa NIS2 mojej firmy?
Závisí to okrem iného od odvetvia a veľkosti podniku. Presné kritériá vyplývajú z vnútroštátneho prebratia smernice. Informácie o dotknutosti poskytuje na svojej stránke BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pre Nemecko; pri pochybnostiach otázku objasnite s právnym poradenstvom.
Čo NIS2 znamená pre firemný web?
Webservery, zákaznícke portály a obchody patria medzi systémy, ktorých riziká musí dotknutá firma riadiť. Patria sem aktualizácie, správa zraniteľností, riadenie prístupu a schopnosť rozpoznať a hlásiť incidenty.
Aké lehoty hlásenia platia podľa NIS2?
Smernica predpokladá viacstupňový postup hlásenia významných bezpečnostných incidentov. Záväzné lehoty, cesty a formuláre nájdete v údajoch príslušného vnútroštátneho orgánu a v texte zákona. Vedome tu neuvádzame lehoty bez väzby na vašu situáciu.
Platí NIS2 aj pre dodávateľov?
NIS2 vyžaduje od dotknutých subjektov, aby zohľadnili aj bezpečnosť svojho dodávateľského reťazca. Preto sa mnohí zákazníci pýtajú svojich poskytovateľov služieb a dodávateľov na bezpečnostné opatrenia, aj keď sami nepodliehajú zákonu priamo.