Wymogi zgodnosci dla infrastruktury krytycznej
Przedsiebiorstwa energetyczne i operatorzy uslug komunalnych sa klasyfikowani jako operatorzy uslug kluczowych (OES) na mocy unijnej dyrektywy NIS2 — co naklada na nich obowiazki w zakresie zarzadzania ryzykiem cyberbezpieczenstwa, raportowania incydentow oraz bezpieczenstwa lancucha dostaw. Brak zgodnosci grozi karami administracyjnymi do 10 mln EUR lub 2% globalnego obrotu na mocy NIS2.
Dyrektywa NIS2 — kluczowe obowiazki
- Srodki zarzadzania ryzykiem cyberbezpieczenstwa proporcjonalne do poziomu ryzyka
- Raportowanie incydentow: zgloszenie istotnych incydentow do krajowego CSIRT w ciagu 24 godzin, pelny raport w ciagu 72 godzin
- Bezpieczenstwo lancucha dostaw — ocena praktyk bezpieczenstwa dostawcow i uslugodawcow
- Srodki zapewnienia ciaglosci dzialania — zarzadzanie kopiami zapasowymi, odtwarzanie po awarii, zarzadzanie kryzysowe
- Odpowiedzialnosc kadry zarzadzajacej — NIS2 wyraznie naklada osobista odpowiedzialnosc na organy zarzadzajace
Powiazanie ISO 27001 z NIS2
ISO 27001:2022 stanowi najbardziej kompleksowe ramy dla spelnienia wymagan art. 21 NIS2 dotyczacych zarzadzania ryzykiem cyberbezpieczenstwa. Program gotowosci do NIS2 firmy BALTUM mapuje zabezpieczenia ISMS zgodne z ISO 27001 na obowiazki wynikajace z NIS2 — identyfikujac luki i dostarczajac priorytetowy plan naprawczy dostosowany do terminu transpozycji NIS2 w Panstwa czlonkowskim.
Bezpieczenstwo OT i ICS
Organizacje z sektora energetycznego stoja przed dodatkowym wyzwaniem zwiazanym z bezpieczenstwem technologii operacyjnych (OT) i przemyslowych systemow sterowania (ICS) — obszarow, ktore nie sa w pelni objete przez ramy ukierunkowane na IT. BALTUM wspolpracuje z audytorami specjalizujacymi sie w OT, aby rozszerzyc zakres ISO 27001 na srodowiska SCADA, DCS i ICS, z odniesieniem do norm IEC 62443 tam, gdzie ma to zastosowanie.