CRA, NIS2, DORA: trije akti, en sam sistem kibernetske odpornosti

Evropa je svojo kibernetsko odpornost zgradila v treh delih. NIS2 je namenjena ključnim in pomembnim subjektom v osemnajstih kritičnih sektorjih: gre za direktivo, torej za prenos v nacionalno zakonodajo, katerega francoska različica tako dolgo zamuja, da je Komisija 9. julija Francijo napotila pred Sodišče Evropske unije. DORA je namenjena finančnim subjektom, bankam, zavarovalnicam, družbam za upravljanje: gre za uredbo, ki velja neposredno od 17. januarja 2025, v Franciji pa jo nadzoruje ACPR. CRA je namenjen izdelkom: vsaki strojni ali programski opremi z digitalnimi elementi, danimi na evropski trg, s prvim zavezujočim rokom 11. septembra 2026 za prijavo aktivno izkoriščanih ranljivosti, Komisija pa je pravkar objavila prve smernice za njegovo izvajanje.

Iz Bruslja gledano gre za tri ločena področja uporabe. Znotraj skupine pa za iste ljudi: vodjo informacijske varnosti, skladnostno ekipo, oddelek za tveganja, pogosto celo iste zunanje izvajalce. Banka, ki razvija lastne aplikacije, zapade pod DORA za svoj sistem, pod CRA za svoje izdelke, njene odvisne družbe pa so lahko zavezane tudi NIS2. Akt sicer predvideva uskladitev: za finančne subjekte ima DORA prednost pred NIS2 kot specifičen sektorski akt. A je treba najprej natančno vedeti, kdo v skupini sodi pod kateri akt.

Ko jih razgolimo od lastne terminologije, vsi trije akti zahtevajo isto jedro. Imenovano upravljanje: vodstveni organi so odgovorni, osebno pri NIS2 in DORA, za odobritev in nadzor sistema. Dokumentirano obvladovanje tveganj IKT: popis sredstev, ocena groženj, obravnava vrzeli. Proces obvladovanja incidentov: zaznava, opredelitev, prijava, pridobljena spoznanja. In nadzor nad tretjimi stranmi: dobavna veriga pri NIS2, register ponudnikov IKT storitev pri DORA, ki ga nadzornikom predložijo od aprila 2025, veriga komponent pri CRA.

Dejanske razlike so pri rokih in kanalih prijave. Pomemben incident se pri NIS2 prijavi francoski agenciji ANSSI (zgodnje opozorilo v 24 urah, prijava v 72 urah), pri DORA finančnemu nadzorniku po njegovih lastnih harmoniziranih obrazcih, pri CRA agenciji ENISA za aktivno izkoriščano ranljivost izdelka, v 24 urah. Trije obrazci, tri ure, en sam dejanski incident.

Obravnava v silosih tukaj povzroči najkonkretnejšo škodo. Trije ločeni projekti skladnosti ustvarijo tri popise sredstev, ki se razhajajo, tri zemljevide tveganj z neprimerljivimi merili, tri postopke prijave, pri katerih nihče ne ve, kateri velja ob dveh zjutraj, ko je incident resničen in vse tri ure tečejo hkrati.

To je preizkus, ki ne odpušča: pomemben incident pri finančnem subjektu, ki razvija programsko opremo, lahko hkrati sproži prijavo po DORA nadzorniku in prijavo po CRA agenciji ENISA, medtem ko se odvisne družbe skupine sprašujejo o svojih obveznostih po NIS2. Organizacije, ki so ta scenarij že preizkusile v okviru enotnega sistema, ga obvladajo; druge ga spoznajo šele, ko ga doživijo.

Metodološki odgovor je enak tistemu, ki smo ga opisali za nabiranje regulativnih zahtev nasploh: ločiti jedro, ki se izmeri enkrat, od regulativnih pogledov, ki se razdelijo po posameznih aktih. Diagnostični pregled zrelosti na področju kibernetske odpornosti oceni skupne zmogljivosti, upravljanje, tveganja, incidente, tretje strani, testiranja, po enotni lestvici; vsako merilo je povezano z akti, ki jim služi, tri skladnosti pa se berejo kot trije prerezi istega stanja.

Tak presek razkrije koristna prekrivanja: enoten proces obvladovanja incidentov, z opredeljenimi pragi in imenikom kanalov za prijavo, naenkrat premakne naprej vse tri akte. Dobro zasnovan register tretjih strani danes služi DORA, jutri pa dobavni verigi po NIS2. Skupen jezik tveganja, na primer po ISO 27005, pa prepreči, da bi vsak akt znova izumljal lastno lestvico resnosti.

Rok CRA 11. septembra je pravi sprožilec, saj je blizu, zavezujoč in operativen. Trije koraki po vrsti: razjasniti, kdo v skupini sodi pod kateri akt, subjekt po subjekt in izdelek po izdelku. Poenotiti postopek prijave incidentov, en sam notranji postopek, trije izhodni kanali, imenovani in dosegljivi odgovorni. Nato izmeriti zrelost jedra in vrzeli pretvoriti v datiran akcijski načrt, pri čemer je treba dati prednost tistemu, kar služi vsem trem aktom hkrati.

Koledar se s tem ne bo ustavil: glavne obveznosti po CRA pridejo decembra 2027, francoski zakon o odpornosti bo nazadnje le sprejet, DORA pa nadaljuje z zaostrovanjem zahtev glede testiranj. Organizacije, ki ta trojček upravljajo iz enega samega diagnostičnega pregleda, bodo vsako novo stopnico vzele v korak. Druge bodo ob vsakem roku začele znova.