NIS2 direktiva bo spremenila upravljanje IT-infrastrukture. Kako bo to vplivalo na način, kako kupujete programsko opremo?

Direktivo NIS2 je Evropska unija odobrila decembra 2022, posamezne države članice EU pa so jo morale uveljaviti do 18. oktobra 2024. V praksi pa še ni bila vključena v pravne rede številnih držav članic EU.

Avtor: Michal Baudys, Vodja strategije javnega sektorja za trge EU v podjetju Forscope

NIS2 – koga to zadeva?

Cilj direktive je izboljšati varnost omrežij in informacijskih sistemov znotraj EU. Nova zakonodaja bo zajela na desettisoče podjetij po celotni Evropski uniji ter prinesla pomembne spremembe v načinu upravljanja kibernetske varnosti v javnem in zasebnem sektorju, pri čemer bo – za razliko od svoje predhodnice, Direktive NIS – med drugim pokrivala tudi javno upravo, prehranski sektor, industrijo in ravnanje z odpadki.

Direktiva opredeljuje dve vrsti entitet:

• Osrednji subjekti z najširšim naborom odgovornosti.
• Pomembni subjekti, ki morajo izpolnjevati manj stroge zahteve, vendar so še vedno regulirani.

Poenostavljeno povedano, v te subjekte sodijo srednje velika (in večja) podjetja, ki zaposlujejo najmanj 50 oseb ali katerih letni prihodek presega 10 milijonov evrov. Prav tako so vključeni tudi drugi subjekti, opredeljeni v direktivi NIS2, npr. subjekti javne uprave, subjekti, določeni kot kritični subjekti v skladu z Direktivo (EU) 2022/2557, ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev, kvalificirani ponudniki storitev zaupanja in registri domen najvišje ravni ter ponudniki DNS-storitev, ne glede na njihovo velikost. Drugi subjekti so lahko vključeni tudi na podlagi nacionalne zakonodaje.

Vendar pa Direktiva vključuje nekaj izjem. Do 17. aprila 2025 morajo vse države članice pripraviti sezname zgoraj omenjenih subjektov, ki bodo zajeti z novimi predpisi.

NIS2 v primerjavi z rabljeno programsko opremo

Pri izbiri rabljenega programja, ki pogosto omogoča do 70-odstotno optimizacijo stroškov v primerjavi z nakupom neposredno od proizvajalca, je treba upoštevati nekaj vprašanj s področja kibernetske varnosti.

Ti nasveti bodo koristni ne le v kontekstu uveljavljanja določb direktive NIS2, temveč tudi za varno upravljanje IT-infrastrukture v organizaciji nasploh.

Najpomembnejše je, da se trudite uporabljati programsko opremo, katere življenjski cikel še ni končan. To pomeni, da proizvajalec zanjo še vedno zagotavlja najnovejše posodobitve, ki med drugim prispevajo k izboljšani kibernetski varnosti.

Ta cikel lahko včasih traja tudi do deset let, vendar se vselej splača povprašati posrednika programja za podrobnosti in strokovno pomoč. Še bolj priporočljivo je, da izbrani posrednik ponuja razširjen nabor podpore, ki vključuje tehnične storitve, storitve licenciranja, področje skladnosti in pravne storitve – pristop, ki ga najdete v ponudbi verodostojnih podjetij, kot je Forscope.

Tu je vredno omeniti, da se življenjski cikel programske opreme običajno deli na štiri faze:

• Prva faza je popolna podpora, ko programska oprema prejema vsa posodobitve – ki obravnavajo varnostna in druga vprašanja – ter omogoča zahteve za spremembe izdelka ali njegovih funkcij pri proizvajalcu.
• Druga faza je razširjena podpora. Od prve se razlikuje predvsem po tem, da ni več mogoče zahtevati sprememb izdelka ali funkcionalnosti, saj posodobitve, ki niso povezane s kibernetsko varnostjo, niso več na voljo. Preostali elementi, kot so varnostne posodobitve in dostop do podpore, ostanejo nespremenjeni.
• Tretja faza je po podpori. Med njo je še nekaj časa mogoče uporabljati varnostne posodobitve, a le ob dodatnem plačilu. Hkrati je to zadnji trenutek, da se odločite za novejšo programsko opremo.
• V četrti fazi programska oprema ni več podprta.

Alternativa tretji in četrti fazi bi lahko vključevala uporabo namenskih rešitev za izboljšanje kibernetske varnosti programske opreme, ki je proizvajalec ne podpira več. Takšne rešitve lahko priporočijo in ponudijo tudi posredniki programske opreme.

Tisti, ki upravljajo IT-infrastrukturo organizacije, bi morali zato poskrbeti za redno nameščanje popravkov in posodobitev, ki lahko pomagajo preprečiti izpostavljenost sistemov napadom.

Poleg tega vedno zagotovite, da uporabljate preverjeno programsko opremo, ki jo ponuja zanesljiv posrednik. To je ključno, saj na trgu obstajajo lažni ponudniki, ki na primer nudijo zgolj ključe izdelkov brez ustrezne dokumentacije. Nezakonit nakup takšne programske opreme povečuje tveganje pravnih sporov, odškodninske odgovornosti zaradi kršitve pravic intelektualne lastnine ter – v primeru namestitve iz neznanih namestitvenih datotek – tudi tveganje namestitve zlonamerne programske opreme. Zato je bistveno izbrati zanesljivega dobavitelja.

Dobro si je zapomniti, da kibernetska varnost ni le IT, temveč tudi fizična varnost in izobraževanje. Sredstva, ki jih je mogoče prihraniti z ugodnim nakupom licenc, se lahko namenijo za krepitev fizične varnosti, izobraževanje uporabnikov ali druga vlaganja v IT-varnost.