Достатъчен ли е ISO 27001 за съответствие с NIS2?"

През годините, тъй като киберсигурността се превърна във все по-важна област на фокус в ИТ, много средни до големи компании получиха сертификат ISO 27001. Въпросът, който вълнува повечето корпоративен мениджмънт: дали сертификатът е достатъчен, за да отговори на изискванията на NIS2? Имайте предвид, че в много страни преводът на законодателството на ЕС в националното законодателство все още не е завършен, така че може да възникнат допълнителни изисквания.

Обхватът на ISO сертификата

NIS2 набляга на киберсигурността от обществена гледна точка. Обхватът е дейностите, които са важни за непрекъснатостта на правилното функциониране на една държава. Така че първо и преди всичко трябва да се уверите, че обхватът на дейностите, които са сертифицирани по ISO 27001 във вашата компания, са всички дейности, които са важни или съществени за обществото.

Това е минималният минимум, някои държави може да са по-стриктни при приемането на сертификат ISO 27001 за съответствие с NIS2. В Белгия, например, позиция на регулатора е, че сертификатът ISO 27001 трябва да обхваща цялата компания, включително дъщерни дружества, които не са напълно разделени. Моля, проверете изискванията за обхват на ISO 27001 с вашия регулаторен съветник или директно с регулаторния орган.

ISO 27001:2013 срещу ISO 27001:2022

ISO 27001:2022 е най-новата версия на глобалния стандарт за системи за управление на информационната сигурност (ISMS). Издадена от Международната организация по стандартизация (ISO) на 25 Октомври 2022 г., тази версия служи като подобрение и ревизия на своя предшественик, ISO 27001:2013. Неговата основна цел остава да създаде всеобхватна рамка от политики, процедури и контрол за най-добри практики за намаляване на рисковете от пробиви в сигурността.

Рамката на ISO 27001:2022 отразява тази на ISO 27001:2013, с подобен цикъл за разработване, внедряване, поддържане и подобряване на ISMS. В допълнение, основната структура остава в съответствие с други стандарти на ISO като ISO 9001 (управление на качеството) и ISO 14001 (управление на околната среда), рационализирайки процеса на интегриране.

Независимо от това, ISO 27001:2022 въвежда забележителни промени и подобрения спрямо ISO 27001:2013, включително:

Подчертаване на централната роля на висшето ръководство, предоставящо насоки за ISMS (също изискване на NIS2).
Актуализиране на контролите в Приложение А, за да се включат нововъзникващи технологии и променящи се заплахи.
Хармонизиране със съответните свързани стандарти като ISO/IEC 27701 (управление на информацията за поверителност) и ISO/IEC 27018 (облачни изчисления).
Изясняване на изискванията за извършване на оценка на риска и извършване на отстраняване на риска.

Преходният период започва на 31 октомври 2022 г. и завършва на 31 октомври 2025 г. Сертификатите, базирани на ISO 27001:2013, ще изтекат или ще бъдат отменени в края на преходния период.

ISO 27001:2013 е добро начало, но ISO 27001:2022 е по-добра основа предвид неговите подобрения, които са в съответствие с изискванията на NIS2. В допълнение, сертификатите ISO27001:2013 са валидни само до една година след датата на влизане в сила на законодателството NIS2. Ако имате ISO 27001:2013 и все още не сте започнали да надграждате сертификата, сега е добър момент да започнете да го правите.

Управление на риска

ISO 27001 е система за управление, базирана на риска, а не на правила, така че идентифицирането и подходящото управление на рисковете е фундаментално и съществено. Тъй като някои рискове са приемливи за една компания, не всички контроли са непременно необходими и не всички рискове трябва да бъдат напълно адресирани. Кои рискове са приемливи и кои не зависи изцяло от управлението на риска за риск на компанията.

Въпреки че NIS2 също призовава за основан на риска подход, сигурно е, че сертифициране по ISO 27001 на компании с много висок управление на риска няма да бъде прието за съответствие с NIS2, тъй като това противоречи на целта на NIS2, която е да осигури непрекъснатост на бизнеса за основни и важни предприятия.

Значението на ISO 27002

Стандартът ISO 27002 е подробно допълнително ръководство за контролите за сигурност в рамките на ISO 27001. ISO 27002 предоставя насоки за най-добри практики за избор и прилагане на контролите, изброени в ISO 27001, но контролите ISO 27002 (94 контрола в стандарта 2022) не са задължителни, за да станете сертифицирани по 27001. В най-добрия случай те са референтен набор от контроли за информационна сигурност, които организациите могат да използват. Освен това компаниите могат да сертифицират само за ISO 27001, не и за ISO 27002.

Както е показано в таблицата по-горе, много контроли на ISO 27002 съответстват на изискванията на NIS 2. Като такъв, въпреки че не се изисква за получаване на сертификат ISO 27001, (повечето) ISO 27002 е задължителен за съответствие с NIS2.

Управлението на непрекъснатостта на бизнеса е мястото, където ISO 22301 може да помогне, но не е задължително.

Съгласно NIS2 критичните и важни субекти трябва да осигурят непрекъснатост на операциите в случай на голям инцидент, който може да е инцидент, различен от кибератака, и който може да не е вътрешен инцидент, но също и инцидент при критичен доставчик. Следователно организациите трябва да внедрят цялостна рамка за устойчивост - която включва непрекъснатост на бизнеса, възстановяване след бедствие и управление на кризи - за да минимизират прекъсванията.

Ако организациите внимателно са внедрили горните контроли ISO27001 и ISO27002, свързани с непрекъснатостта на бизнеса и възстановяването след бедствие (5.29 и 5.30 като основни), те трябва да спазват NIS2 в тази област. Въпреки това организациите, обхванати от NIS2, могат да обмислят добавянето на ISO 22301 за управление на непрекъснатостта на бизнеса (BCM). ISO 22301 е предназначен да помогне за прилагането, поддържането и непрекъснатото подобряване на подхода за непрекъснатост на бизнеса на компанията. Въпреки че някои аспекти на ISO 27001 включват управление на непрекъснатостта на бизнеса, той не дефинира процес за прилагане на BCM. Тук се намесва допълнителният стандарт ISO 22301. Сертифицирането по този стандарт допълнително ще демонстрира съответствие с NIS 2, но не е абсолютно задължително.

Управлението на риска във веригата на доставки, не е само свързано със сигурността на информацията

В контекста на NIS2 не трябва да се обръща внимание само на информационната сигурност по цялата верига на доставки. Всяка заплаха за непрекъснатостта на бизнеса, която потенциално може да се разпространи през цялата верига на доставки, трябва да бъде идентифицирана и смекчена. Следователно съдържанието на оценките на риска може да бъде преразгледано, за да се постави по-голям акцент върху мерките за непрекъснатост на бизнеса, прилагани от доставчика. Списъкът с доставчици, обхванати от управлението на риска от трета страна, също може да бъде преразгледан, тъй като докато фокусът на ISO 27001 е повече върху веригата за доставки на ИКТ, фокусът на NIS2 върху общата непрекъснатост на бизнеса може да изисква от вас да разширите списъка с оценени доставчици. Очевидно трябва да се вземе предвид и сигурността на потенциални ИТ интеграции (напр. API) с тези доставчици, които не са ИКТ.

ISO 27036 за управление на риска във веригата за доставки е малко като ISO 22301 за непрекъснатост на бизнеса. ISO 27001 не дефинира процес за прилагане на риск от трета страна. Това е мястото, където ISO 27036 може да помогне на компании, които нямат опит/експертиза в тази област или искат да използват стандарта за структуриране на дейността. Но и тук ISO 27036 не е задължителен за съответствие с NIS2.

В областта на уведомяването за инциденти определено има какво да се свърши

Член 23 от ДИРЕКТИВАТА NIS2 гласи, че „Всяка държава-членка гарантира, че основни и важни субекти уведомяват без неоправдано забавяне своя CSIRT или, когато е приложимо, своя компетентен орган за всеки инцидент, който има значително въздействие върху предоставянето на техните услуги. ”

Киберпрестъпниците действат през националните граници. Следователно NIS2 има за цел да подобри сътрудничеството и споделянето на информация относно кибер инциденти в целия Европейски съюз. Следователно има задължение за незабавно докладване на значими инциденти на компетентните органи в рамките на определени срокове, определени от отделните държави-членки. Директивата описва предписаните срокове за такива доклади:

• Първо известяване с 24 часа

• Първи доклад в рамките на 72 часа

• Пълен отчет до месец след уведомление

Това изискване има далечни последици и е само незначително обхванато от стандартите ISO 27001/27002. За организациите, които са предмет на GDPR, прилагането на Приложение A 5.24 (Планиране и подготовка за управление на инциденти в информационната сигурност) изисква да бъдат въведени процедури за уведомяване, за да се докладват нарушения на данните на властите в рамките на 72 часа. NIS2 обаче има за цел да докладва всеки инцидент със сигурността, който представлява заплаха за непрекъснатостта на бизнеса, в рамките на 24 часа. За да докладват правилно, компаниите трябва първо да имат адекватно откриване, включително първоначален анализ и криминалистика, и реакция при инциденти. Също така трябва да има вътрешни процеси за отчитане и вземане на решения във „военен стил“, за да се спази 24-часовият краен срок. Тези процеси трябва не само да бъдат дефинирани, но и да бъдат тествани, за да се гарантира, че работят както трябва.

Заключение

Въпреки че ISO 27001:2022 предоставя обширна рамка и съдържа подобрения, които съответстват на изискванията на NIS2, организациите трябва да проведат задълбочен анализ на своите операции и процеси за управление на риска, за да гарантират пълно съответствие. Специално внимание трябва да се обърне на обхвата на сертификацията и допълнителните процедури за докладване на инциденти, които NIS2 изисква. Съветваме организациите да се консултират регулярно със специализирани регулаторни съветници или директно с националните регулаторни органи за актуални изисквания и насоки.

В България, процесът по прилагане на Директивата NIS2, която цели укрепване на киберсигурността на ниво ЕС, все още е в ход. Предвидено е изменение на Закона за киберсигурността, за да се осигури съответствие с новите изисквания на NIS2. Проектозаконът беше предложен за публично обсъждане през лятото на 2024 година, с последващо предложение за приемане от Народното събрание.

Очаква се Министерството на електронното управление да играе ключова роля като национален регулаторен орган, отговарящ за прилагането на директивата в страната. Този орган ще наблюдава прилагането на националната стратегия за киберсигурност и ще координира с други държави членки на ЕС за обмен на информация и управление на киберсигурността.

Сред задълженията, поставени от NIS2, е включването на широк кръг организации в сфери като енергетика, транспорт, финанси, здравеопазване и цифрова инфраструктура, които трябва да въведат минимални мерки за киберсигурност, включително политики за оценка на риска и реагиране при инциденти.

Въпреки че крайният срок за транспониране на директивата изтече на 17 октомври 2024 г., в България процесът все още не е завършен, като официалното приемане на необходимите законови промени се забави поради липсата на сформирано правителство.

NIS 2 Directive

За компаниите е важно да разберат, че независимо от забавянето в законодателния процес, подготовката за съответствие с изискванията на NIS2 е критично важна и трябва да се осъществява непрекъснато. Подходящи стъпки включват провеждането на вътрешни анализи, преглед на съществуващите процедури за киберсигурност, както и обучения и внедряване на нови политики съгласно директивата.