CRA, NIS2, DORA: trzy akty prawne, jeden system cyberodporności

Europa zbudowała swoją cyberodporność w trzech częściach. NIS2 dotyczy podmiotów kluczowych i ważnych z osiemnastu sektorów krytycznych: to dyrektywa, a więc wymaga transpozycji krajowej, której francuska wersja każe na siebie czekać do tego stopnia, że Komisja skierowała sprawę przeciwko Francji do Trybunału Sprawiedliwości 9 lipca. DORA dotyczy podmiotów finansowych: banków, ubezpieczycieli, towarzystw zarządzających aktywami. To rozporządzenie, obowiązujące wprost od 17 stycznia 2025 roku, nadzorowane we Francji przez ACPR. CRA dotyczy produktów: wszelkiego sprzętu i oprogramowania zawierającego elementy cyfrowe, wprowadzanego na rynek europejski, z pierwszym wiążącym terminem 11 września 2026 roku, dotyczącym zgłaszania aktywnie wykorzystywanych podatności. Komisja opublikowała właśnie pierwsze wytyczne dotyczące jego stosowania.

Z perspektywy Brukseli to trzy odrębne obszary. Z perspektywy wnętrza grupy kapitałowej to te same osoby: CISO, zespół ds. zgodności, dział zarządzania ryzykiem, często ci sami dostawcy. Bank, który tworzy własne aplikacje, podlega DORA w zakresie swojego systemu, CRA w zakresie swoich produktów, a jego grupa może obejmować spółki zależne podlegające NIS2. Przepisy przewidują zresztą sposób powiązania tych aktów: dla podmiotów finansowych DORA ma pierwszeństwo przed NIS2 jako akt sektorowy o bardziej szczegółowym charakterze. Trzeba jednak dokładnie wiedzieć, który podmiot w grupie podlega jakim przepisom.

Pozbawione własnego słownictwa, trzy akty prawne wymagają tego samego fundamentu. Nazwanego ładu zarządczego: organy zarządzające odpowiadają osobiście, w przypadku NIS2 i DORA, za zatwierdzanie i nadzorowanie systemu. Udokumentowanego zarządzania ryzykiem ICT: identyfikacji aktywów, oceny zagrożeń, usuwania luk. Procesu obsługi incydentów: wykrywania, kwalifikowania, zgłaszania, wyciągania wniosków. Oraz kontroli dostawców zewnętrznych: łańcucha dostaw w NIS2, rejestru dostawców ICT w DORA, przekazywanego organom nadzoru od kwietnia 2025 roku, oraz łańcucha komponentów w CRA.

Rzeczywiste różnice dotyczą terminów i kanałów zgłoszeń. Poważny incydent zgłasza się do ANSSI w ramach NIS2 (wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin), do nadzorcy finansowego w ramach DORA według jego własnych zharmonizowanych wzorów, oraz do ENISA w ramach CRA w przypadku aktywnie wykorzystywanej podatności produktu, w ciągu 24 godzin. Trzy formularze, trzy zegary, jeden rzeczywisty incydent.

To właśnie podejście silosowe przynosi tu najbardziej konkretne szkody. Trzy niezależne projekty zgodności tworzą trzy rozbieżne spisy aktywów, trzy mapy ryzyka o niekompatybilnych skalach, trzy procedury zgłaszania, z których nikt nie wie, która obowiązuje o drugiej w nocy, gdy incydent jest rzeczywisty i wszystkie trzy zegary tykają jednocześnie.

To test, który nie wybacza błędów: istotny incydent u podmiotu finansowego będącego jednocześnie wydawcą oprogramowania może jednocześnie uruchomić zgłoszenie DORA do nadzorcy oraz zgłoszenie CRA do ENISA, podczas gdy spółki zależne grupy zastanawiają się nad swoimi obowiązkami wynikającymi z NIS2. Organizacje, które przećwiczyły ten scenariusz na jednolitym systemie, przechodzą przez niego sprawnie; pozostałe odkrywają go, doświadczając go na własnej skórze.

Odpowiedzią metodologiczną jest ta sama, którą opisywaliśmy w kontekście spiętrzenia regulacyjnego w ogóle: oddzielenie fundamentu, który mierzy się raz, od widoków regulacyjnych, które przedstawia się dla każdego aktu osobno. Diagnoza dojrzałości cyberodporności ocenia wspólne zdolności, ład zarządczy, ryzyko, incydenty, dostawców zewnętrznych, testy, na jednolitej skali; każde kryterium jest powiązane z aktami prawnymi, którym służy, a trzy obszary zgodności odczytuje się jako trzy projekcje tego samego stanu faktycznego.

Takie zestawienie ujawnia przydatne punkty styku: jednolity proces obsługi incydentów, z progami kwalifikacji i spisem kanałów zgłoszeń, posuwa naprzód wszystkie trzy akty prawne jednocześnie. Dobrze zbudowany rejestr dostawców zewnętrznych służy dziś DORA, a jutro łańcuchowi dostaw w ramach NIS2. A wspólny język ryzyka, na przykład ten z normy ISO 27005, zapobiega sytuacji, w której każdy akt prawny wymyśla własną skalę powagi zdarzeń.

Termin CRA wyznaczony na 11 września to dobry impuls do działania, ponieważ jest bliski, wiążący i operacyjny. Trzy działania w odpowiedniej kolejności: wyjaśnienie, który podmiot w grupie podlega jakim przepisom, osobno dla każdego podmiotu i każdego produktu. Ujednolicenie procesu zgłaszania: jedna wewnętrzna procedura, trzy kanały wyjściowe, wyznaczeni i dostępni odpowiedzialni pracownicy. Następnie zmierzenie dojrzałości fundamentu i przekształcenie luk w datowany plan działania, z priorytetem dla działań służących wszystkim trzem aktom jednocześnie.

Harmonogram się na tym nie zatrzyma: główne obowiązki wynikające z CRA wejdą w życie w grudniu 2027 roku, francuska ustawa o odporności w końcu zostanie uchwalona, a DORA stale podnosi wymagania dotyczące testów. Organizacje, które zarządzają tym trio na podstawie jednej diagnozy, wchłoną każdy kolejny krok. Pozostałe będą zaczynać od nowa przy każdym kolejnym terminie.