Kibernetinis saugumas: kaip pasiruošti įmonėms

Kibernetinis saugumas: TIS2 reikalavimai

Kibernetinis įmonių saugumas

Kibernetinis saugumas ir būtinų priemonių įdiegimo mastas priklauso nuo juridinio asmens dydžio ir darbuotojų skaičiaus, IT infrastruktūros sudėtingumo ir jau įdiegtų kibernetinio saugumo priemonių. Kaip pasiruošti TIS2?

ES direktyva (angl. k – NIS2) reikalauja įmonėje įgyvendinti tam tikrus veiksmus. Mūsų ekspertų vertinimu, vidutiniškai įmonėms prireiks nuo 6 iki 18 mėnesių, kad kibernetinis saugumas su pateiktų reikalavimų sąrašu būtų įgyvendintas.

Įgyvendinimo etapai

Europos Sąjungos teisės aktas, skirtas kibernetinio saugumo stiprinimui, įsigaliojo 2023 m. ir turi būti perkeltas į nacionalinę teisę iki 2025 m. balandžio mėn.

Europos Sąjungos (ES) TIS2 direktyva yra griežtesnė už ankstesnę TIS1. Iš įmonių, veikiančių valstybėse narėse, reikalaujama didesnio pasiruošimo. Pavyzdžiui, griežtesnė IT infrastruktūros apsauga taikoma įmonėms, atitinkančioms tam tikrus reikalavimus.

Kuo anksčiau įmonės pradės diegti reikiamas kibernetinio saugumo priemones, tuo mažiau susidurs su kibernetinėmis grėsmėmis, baudomis už reikalavimų nesilaikymą.

Kibernetinis saugumas ir priemonės

Pagal TIS2 direktyvą, Lietuvoje veikiantys juridiniai asmenys patenka į sektorius, kuriems taikomi kibernetinio saugumo atitikmens kriterijai.

Plačiau apie griežtesnius kibernetinio saugumo standartus bei jų įgyvendinimo reguliavimą galite skaityti čia. Privalu įgyvendinti tinkamas technines ir organizacines priemones:

rizikų valdymas;
duomenų apsauga;
prieigos kontrolė;
incidentų valdymo procedūros;
įmonės privalės užtikrinti, kad ir jų tiekėjai atitiktų saugumo reikalavimus.

Atsakomybė ir baudos

vadovai gali būti asmeniškai atsakingi ir baudžiami už direktyvos nesilaikymą;
baudos gali siekti iki 10 mln. € arba 2% įmonės metinių pajamų.

Kaip įmonės gali pasiruošti TIS2?

atlikti kibernetinio saugumo auditą ir įvertinti dabartinį pasirengimą;
atnaujinti saugumo politiką pagal TIS2 reikalavimus;
investuoti į IT apsaugos priemones (pvz., ugniasienes, šifravimą, atsargines kopijas);
kibernetinio saugumo mokymai: ugdyti darbuotojų žinias apie kibernetines grėsmes ir atsparumą atakoms;
sukurti incidentų valdymo planą ir reguliariai jį testuoti.
Kas prižiūrės TIS2 įgyvendinimą Lietuvoje?
Lietuvoje TIS2 direktyvos įgyvendinimą prižiūrės Nacionalinis kibernetinio saugumo centras (NKSC), kuris bus atsakingas už: incidentų stebėseną ir reagavimą, įmonių atitikties vertinimą, kontrolę ir sankcijas už pažeidimus.

Įmonės parengimas TIS2 įgyvendinimui gali trukti nuo šešių mėnesių iki pusantrų metų. Svarbu pažymėti, kad direktyva numato ne vienkartinį nustatytą reguliavimą, o nuolatinį kibernetinio saugumo palaikymą. Todėl įmonės turi kasmet atlikti saugumo auditus, reguliariai peržiūrėti rizikų valdymo strategijas ir nedelsiant pranešti apie kibernetinius incidentus atitinkamoms institucijoms.

Dabartinės įmonės būklės vertinimas (trukmė 1–3 mėn.)

konsultacijos;
atliekamas IT infrastruktūros ir kibernetinio saugumo rizikų vertinimas;.
identifikuojamos kritinės sistemos, duomenys ir paslaugos;
peržiūrimi esami saugumo standartai ir procedūros.

Planavimas ir reikalavimų nustatymas (2–4 mėn.)

sudaromas atitikties planas pagal TIS2 reikalavimus;
nustatoma incidentų valdymo politika ir pranešimų apie incidentus procedūros.

Techninių priemonių diegimas (3–9 mėn.)

stiprinamas tinklo, sistemų ir duomenų saugumas;
diegiami kibernetinio saugumo sprendimai: ugniasienės, įsilaužimų aptikimo sistemos, atsarginių kopijų strategijos ir kt.;
įgyvendinamos prieigos valdymo ir autentifikavimo priemonės.

Organizaciniai pakeitimai ir mokymai (3–6 mėn.)

kuriamos naujos saugumo politikos ir procedūros.
vykdomi darbuotojų kibernetinio saugumo ir reagavimo į incidentus mokymai;
stiprinama tiekimo grandinės sauga: vertinami IT paslaugų tiekėjai ir jų atitiktis TIS2 reikalavimams.

Testavimas ir tobulinimas (3–6 mėn.)

atliekami saugumo testai ir įsiveržimo (penetraciniai) testai;
taisomi nustatyti pažeidžiamumai;
reguliariai atnaujinamos procedūros pagal naujus grėsmių scenarijus.

MB „Kibernetinis spektras“ konsultuoja, atlieka mokymus, auditus, tvarko IT infrastruktūrą ir vykdo priežiūrą net mažiausiems verslo subjektams.

Kreipkitės nurodytais kontaktais.

27 vasario, 2025

Kibernetinis saugumas

+370 686 08269

|

ernestas.mickus@cyberspektras.lt

Naujienos

Apie „Kibernetinis spektras”

Kontaktai