Na kratko: Direktiva EU NIS2 bistveno več podjetij kot prej zavezuje k ukrepom obvladovanja tveganj in k prijavi pomembnih varnostnih incidentov. V Nemčiji jo izvaja zakon NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, nemški zakon); pristojni organ je BSI (nemški zvezni urad za informacijsko varnost). Za spletne strežnike to predvsem pomeni: posodobitve, upravljanje ranljivosti in obravnava incidentov morajo biti organizirani in dokazljivi. Ta stran je splošna informacija, ne pravno svetovanje.
Ni pravno svetovanje: ali vaše podjetje spada pod NIS2 in katere obveznosti posamično veljajo, razjasnite na podlagi navedb BSI in s pravnim svetovanjem. Praga ali rokov, ki so odvisni od vaše uvrstitve, namenoma ne navajamo.
Kaj je NIS2
NIS2 je druga direktiva EU o varnosti omrežij in informacij. Krog zavezanih podjetij v primerjavi s prejšnjo ureditvijo bistveno razširja in razlikuje med posebej pomembnimi in pomembnimi subjekti. Katere panoge in velikostni razredi so zajeti, določa zakon.
V Nemčiji direktivo izvaja NIS2UmsuCG, ki zaradi tega med drugim na novo oblikuje zakon o BSI. BSI je kontaktna točka za registracijo, prijave in nadzor ter na svoji spletni strani zagotavlja informacije in pripomočke za uvrstitev. Zanesljive, aktualne podatke o rokih in postopkih najdete tam, ne v splošnih povzetkih.
Obveznosti NIS2 za podjetja na pregled
Za prizadeta podjetja je obveznosti mogoče grobo združiti v tri področja:
Obvladovanje tveganj. Podjetja morajo sprejeti ustrezne in sorazmerne tehnične in organizacijske ukrepe. Sem praviloma sodijo koncepti za analizo tveganj in informacijsko varnost, obvladovanje varnostnih incidentov, ohranjanje poslovanja z varnostnimi kopijami in kriznim upravljanjem, varnost dobavne verige, varnost pri nabavi, razvoju in vzdrževanju vključno z ravnanjem z ranljivostmi, nadzor dostopa in kriptografija.
Prijave. Pomembne varnostne incidente je treba prijaviti BSI. Direktiva za to predvideva stopenjski postopek, od zgodnje prve prijave do končnega poročila. Natančne roke in poti prijave za Nemčijo povzemite iz navedb BSI.
Odgovornost vodstva. Poslovodstvo mora ukrepe odobriti, nadzirati njihovo izvajanje in se izobraževati o vprašanjih kibernetske varnosti. Več o tem na strani Odgovornost poslovodstva.
Kaj to pomeni za spletne strežnike
Spletni strežniki so pogosto najbolj odprt sistem podjetja. PHP2Shell kaže, kako hitro lahko ranljivost v osnovni komponenti prizadene vse aplikacije, ki tečejo na njej. Obe ranljivosti, CVE-2026-109618 in CVE-2026-109619, omogočata izvajanje kode brez prijave; BSI je razglasil opozorilno stopnjo 3 (oranžna) in priporočil takojšnjo posodobitev.
Za podjetje, zavezano po NIS2, iz tega izhajajo praktična vprašanja: ali vemo, kateri strežniki uporabljajo PHP in v kateri različici? Kdo spremlja varnostna obvestila in odloča o nujnih posodobitvah? Ali lahko napad zaznamo in kdo oceni, ali je incident pomemben in zato predmet prijave? Ali je urejeno, kaj prevzameta ponudnik gostovanja in izvajalci?
Popravek ne odstrani škodljive programske opreme, ki je bila vnesena prej, in ne dokazuje, da se ni zgodilo nič. Tudi to sodi k oceni incidenta.
Konkretni ukrepi za spletno infrastrukturo
Naslednje točke niso dokončen seznam, vendar pokrivajo najpogostejše vrzeli:
| Ukrep | Povezava |
|---|---|
| Popis vseh spletnih strežnikov, različic PHP in aplikacij | Analiza tveganj |
| Trden postopek za varnostne posodobitve vključno z ponovnim zagonom in dokazilom | Upravljanje ranljivosti |
| Nadzor in hramba dnevnikov | Obvladovanje incidentov |
| Preizkušene varnostne kopije in načrt ponovnega zagona | Neprekinjenost poslovanja |
| Pisna delitev nalog s ponudnikom gostovanja in agencijami | Dobavna veriga |
| Večfaktorska prijava za skrbniške dostope | Nadzor dostopa |
| Pripravljene poti prijave in odgovornosti | Obveznosti prijave |
Kot metodološki okvir je primerna osnovna zaščita IT (IT-Grundschutz) urada BSI. Načrt ukrepanja ob IT-incidentu za spletne strežnike povezuje tehniko, odgovornosti in poti prijave.
NIS2 in varstvo podatkov misliti skupaj
Napad na spletni strežnik je lahko hkrati incident NIS2 in kršitev varstva podatkov. Takrat tečeta dva postopka vzporedno, z različnimi organi in zahtevami. Prijava nadzornemu organu za varstvo podatkov po 33. členu GDPR je opisana na strani Obveznost prijave po GDPR: 72 ur. Obe poti načrtujte vnaprej, da v resni situaciji nihče ne mora improvizirati.
Še ena točka zadeva izvajalce. Mnoga podjetja spletne strani prepustijo vzdrževanju agencijam, strežnike pa upravljajo ponudniki gostovanja. Obveznost upoštevanja tveganj dobavne verige praktično pomeni: pogodbeno urediti, kdo namešča varnostne posodobitve, kako hitro se obravnavajo kritične ranljivosti, kako ste obveščeni o incidentih in katera dokazila prejmete. Položaj okoli PHP2Shell je dober preizkusni kamen, ali te ureditve že obstajajo in so v resni situaciji delovale. Če odgovora ni, je to točka za vaše obvladovanje tveganj.
Kako PHP SOS konkretno pomaga?
- Popišemo vašo spletno infrastrukturo ter tveganja in vrzeli ocenimo v obliki, ki jo lahko uporabite za svoje obvladovanje tveganj.
- Vzpostavimo dokazljiv postopek za varnostne posodobitve in ga na željo prevzamemo prek varnostne pogodbe o vzdrževanju.
- Z varnostnim nadzorom in hrambo dnevnikov ustvarimo podlago za zaznavanje in ocenjevanje incidentov.
- Ob incidentu zagotovimo tehnična dejstva za vašo prijavo BSI; pravna uvrstitev ostane pri vas in vašem pravnem svetovalcu.
Pogosta vprašanja
Ali NIS2 zadeva moje podjetje?
To je med drugim odvisno od panoge in velikosti podjetja. Natančna merila izhajajo iz nemškega izvedbenega zakona. BSI na svoji spletni strani zagotavlja informacije o prizadetosti; v dvomu vprašanje razjasnite s pravnim svetovanjem.
Kaj NIS2 pomeni za spletno stran podjetja?
Spletni strežniki, portali za stranke in spletne trgovine spadajo med sisteme, katerih tveganja mora prizadeto podjetje obvladovati. Sem sodijo posodobitve, upravljanje ranljivosti, nadzor dostopa in zmožnost zaznavanja ter prijavljanja incidentov.
Kateri roki za prijavo veljajo po NIS2?
Direktiva predvideva stopenjski postopek prijave za pomembne varnostne incidente. Zavezujoče roke, poti in obrazce za Nemčijo povzemite iz navedb BSI in besedila zakona. Rokov brez povezave z vašim položajem tu namenoma ne navajamo.
Ali NIS2 velja tudi za dobavitelje?
NIS2 od prizadetih subjektov zahteva, da upoštevajo tudi varnost svoje dobavne verige. Zato številne stranke svoje izvajalce in dobavitelje sprašujejo po varnostnih ukrepih, tudi če ti sami neposredno ne spadajo pod zakon.