NIS2: Francijo Komisija tožila pred Sodiščem EU, 15.000 subjektov brez nacionalnega okvira

Direktivo NIS2 bi morala Francija prenesti v nacionalno zakonodajo do 17. oktobra 2024. Rok je zamudila do te mere, da se je Komisija 8. julija 2026 odločila, da jo skupaj s Španijo, Irsko in Nizozemsko toži pred Sodiščem Evropske unije, z zahtevo po finančnih sankcijah. Tako imenovani zakon o odpornosti, ki naj bi direktivo prenesel, julija ni na dnevnem redu: njegova obravnava se seli na jesen. Evropska obveznost pa teče že od oktobra 2024.

Podrobnost, ki vse spremeni za tiste, ki želijo napredovati: tehnični referenčni okvir je namreč že javen. ANSSI je marca 2026 objavila svoj Référentiel Cyber France, ki zahteve NIS2 prevaja v varnostne cilje, dvajset za bistvene subjekte in petnajst za pomembne subjekte. Z drugimi besedami, bistvo tega, kar bo zahtevano, je znano še pred glasovanjem o zakonu. Čakati na zakon, da bi začeli, pomeni čakati na formalizacijo obveznosti, katerih vsebino že poznamo.

Prava sprememba je sprememba merila: od nekaj sto operaterjev pod NIS1 Francija prehaja na 15.000 do 18.000 zavezanih subjektov, razdeljenih na »bistvene subjekte« in »pomembne subjekte«. Srednje velika industrijska podjetja, občine, deležniki iz zdravstva, prometa ali živilske industrije bodo odkrili, da sodijo v obseg, z obveznostmi obvladovanja tveganj, prijave incidentov in nadzorom s strani ANSSI.

Konceptualni preskok je enak tistemu, ki ga je svoj čas prinesla GDPR: kibernetska varnost ni več tema za strokovnjake in dobre namene, temveč sistem, katerega obstoj in delovanje je treba znati dokazati. Upravljanje, analiza tveganj, varnost dobavne verige, obvladovanje incidentov, neprekinjeno poslovanje: vsaka zahteva direktive predpostavlja dokaze.

Pozornost pritegne tudi asimetrija sankcij: do 10 milijonov evrov ali 2 % svetovnega prometa za bistvene subjekte, ki so podvrženi proaktivnemu nadzoru; 7 milijonov evrov ali 1,4 % za pomembne subjekte, ki so nadzorovani po incidentu. V obeh primerih se na dan nadzora improvizacija takoj pozna.

NIS2 predpisuje minimalni nabor ukrepov: varnostne politike in analizo tveganj, obvladovanje incidentov, neprekinjeno poslovanje in krizno upravljanje, varnost dobavne verige, varnost pri nabavi in razvoju, ocenjevanje učinkovitosti ukrepov, osnovno kibernetsko higieno in usposabljanje, kriptografijo, varnost kadrovskih virov in nadzor dostopa ter večfaktorsko avtentikacijo. Deset skupin zahtev, ki dejansko oblikujejo referenčni okvir.

K temu se dodaja mehanizem prijave pomembnih incidentov z zelo kratkimi roki: zgodnje opozorilo v 24 urah, prijava v 72 urah in končno poročilo v enem mesecu. Teh rokov ni mogoče improvizirati na dan incidenta: predpostavljajo, da so odkrivanje, opredelitev in veriga odločanja že vzpostavljeni in že preizkušeni.

Dejanski obseg presega 15.000 imenovanih subjektov: direktiva jim nalaga obvladovanje varnosti njihove dobavne verige, ta zahteva pa se po pogodbeni poti širi naprej. Programski podizvajalec, industrijski vzdrževalec ali logistični ponudnik, ki sam ni zavezanec, bo od svojih reguliranih strank prejel vprašalnike in pogodbene klavzule.

Za te dobavitelje je pametno branje te zahteve komercialno: tisti, ki pride z izmerjeno in dokazljivo kibernetsko zrelostjo, obveznost spremeni v prednost pri izbiri. Pri javnih razpisih leta 2027 bo to merilo za izbor, ne bonus.

Za organizacijo, ki se s to temo šele srečuje, je smiseln vrstni red treh korakov: ugotoviti, ali sodite v obseg in po kakšni podlagi; izmeriti svojo dejansko zrelost glede na zahteve direktive, poslovna enota za poslovno enoto, namesto zbiranja posameznih presoj; in vrzeli pretvoriti v datiran akcijski načrt, saj bo uskladitev trajala mesece, rokovnik pa ne bo počakal.

Naš katalog vsebuje 11 referenčnih okvirov za kibernetsko varnost, namenjenih prav tej meritvi, logika pa velja tudi za skupine podjetij: vsaka odvisna družba ocenjena po istem merilu, kar omogoča konsolidacijo, ki pokaže, kam usmeriti napor. Skladnost z NIS2 bo upravljan maraton; bolje je vanj vstopiti z ustreznim orodjem.