Gandrīz viss, ko mēs rakstām par NIS2, sākas ar tabulu. Darbinieku skaits, apgrozījums, nozares. Un ar teikumu — tas uz jums neattiecas.
Šoreiz stāsts ir otrādi. No 1. oktobra tas attieksies arī uz tiem, uz kuriem tabula neattiecas.
Nacionālās kiberdrošības likuma grozījumi ir spēkā kopš 18. jūnija, un no 1. oktobra likums aptver arī uzņēmumus, kurus valsts atzinusi par nacionālajai drošībai nozīmīgiem — neatkarīgi no izmēra. Ja īsi: agrāk biji drošībā, jo biji mazs. Tagad vari būt subjekts, jo esi svarīgs.
Tālāk — četri termiņi. Nevis tāpēc, lai biedētu, bet tāpēc, ka katrs no tiem beidzas ar vienu un to pašu jautājumu: vai varat pierādīt, ka jūsu kopijas tiešām strādā?
1 mēnesis: reģistrācija
Viens mēnesis reģistrācijai Nacionālajā kiberdrošības centrā, skaitot no dienas, kad esi kļuvis par subjektu. Tas ir pirmais papīrs, ko prasa likuma 22. pants.
Praktiski tas nozīmē veidlapu, kurā jānorāda ne tikai nosaukums un kontakti, bet arī IP adrešu diapazoni un valstis, kurās darbojaties. Lielākajai daļai mazo uzņēmumu šī ir pirmā reize, kad kāds palūdz uzrakstīt, kur fiziski atrodas jūsu dati.
3 mēneši: cilvēks, kurš atbild par parolēm
Trīs mēnešu laikā jāieceļ kiberdrošības pārvaldnieks. Tā var būt arī ārpakalpojuma persona.
Te ir izmaiņa, ko daudzi nepamanīja jūnijā: parādījušās personāla drošības prasības. Darba devējam jāizvērtē riski, pieņemot darbā cilvēkus ar privileģētu piekļuvi kritiskajām sistēmām, un ir tiesības pieprasīt izziņu no Sodu reģistra. Ja tavā uzņēmumā administratora paroli zina trīs cilvēki, šī prasība attiecas uz viņiem trim.
Pajautā sev: vai tu zini, kurš šodien zina tava servera administratora paroli?
24 stundas, 72 stundas, 1 mēnesis: kad papīri beidzas un sākas tehnika
Šeit sākas daļa, kuras dēļ mēs vispār rakstām šo rakstu.
24 stundas agrīnajam brīdinājumam par incidentu, 72 stundas pilnam paziņojumam un viens mēnesis gala ziņojumam. Tie ir tie paši skaitļi, par kuriem rakstījām saistībā ar 11. septembra CRA pienākumu.
Un te ir teikums, ko pārdevēji parasti izlaiž: uzraugi skatās gan uz dokumentiem, gan uz to, vai tehnika tiešām strādā tā, kā solīts. Pašvērtējuma ziņojums reizi gadā vai reizi trijos gados ir tukšs papīrs bez trim lietām — procesu kartēšanas, IKT resursu inventarizācijas un pārbaudītām rezerves kopijām.
CSDD gadījums augustā parādīja, kas notiek, kad otrā daļa nav izdarīta. 1,2 miljoni ierakstu, 2500 kompensācijas pieprasījumu, valde un padome atkāpjas vienā dienā. Nevis tāpēc, ka nebija dokumentu. Tāpēc, ka nebija noturības.
Kur šajā stāstā ir tavi dati, ja tu pat neesi NIS2 subjekts
Ja tavā uzņēmumā nav 12 darbinieki un 800 000 eiro apgrozījums, tu visdrīzāk neesi subjekts. Un tomēr šis likums tevi skars — caur taviem klientiem.
Tavi lielie klienti no 1. oktobra kļūst par subjektiem vai jau ir. Viņiem auditā jautās: kā jūs nodrošināt piegādes ķēdes drošību? Un viņi jautās tev. Ar vienu e-pastu:
“Lūdzu, atsūtiet pierādījumu, ka jūsu dati tiek dublēti un atjaunošanas tests veikts pēdējo 3 mēnešu laikā.”
Vētra neuzlauž paroles, bet NIS2 iznīcina datus tāpat — trijos veidos:
- Kopija ir, bet neviens to nav atjaunojis. Pašvērtējumā ierakstīts “dublējam katru dienu”. Uzraugs palūdz parādīt atjaunošanas žurnālu. Žurnāla nav. Tāpat kā CSDD gadījumā — papīrs bija, pierādījuma nebija.
- Vienīgā kopija ir tajā pašā vietā. Ja rezerves kopija glabājas uz diska blakus datoram vai uz tā paša servera, kas tika uzlauzts, tad incidents skar abus vienlaikus. 3-2-1 principa “1” — viena kopija fiziski citur — ir tieši tas punkts, ko tagad pārbauda.
- Paroles zina visi, bet neatbild neviens. Trīs cilvēki zina administratora paroli, bet neviens nav atbildīgs par kopijām. NIS2 personāla prasība prasa nosaukt vārdus. Un, kad vārdi nosaukti, uzreiz parādās jautājums: kurš pēdējo reizi pārbaudīja, vai kopija ir vesela?
Ko izdarīt vienā pēcpusdienā pirms 1. oktobra
Šis saraksts ir īss ar nodomu. To var izdarīt arī tad, ja neesi subjekts — lai atbildētu uz klienta e-pastu.
- Inventarizācija. Uz vienas lapas uzraksti, kur glabājas tavi dati: datori, serveri, mākonis, papīra mapes. Tieši to prasa IKT resursu saraksts pašvērtējumam.
- Viena atjaunošanas pārbaude. Paņem vienu nejaušu mapi un atjauno to no kopijas uz cita datora. Pieraksti datumu, laiku un kurš to darīja. Tas ir vienīgais pierādījums, ko uzraugs pieņems.
- Vienas kopijas pārvietošana. Ja visas kopijas ir vienā adresē, izveido vienu ārpus biroja — privātā mākonī Latvijā. Vētra augustā parādīja, ka 596 degvielas uzpildes stacijās bija tikai 69 ģeneratori. Tava biroja adrese ir tava “vienīgā uzpildes stacija”.
- Vārdi pie parolēm. Pieraksti, kuriem trim cilvēkiem ir piekļuve kritiskajām sistēmām. Tas nav sods — tas ir sākums personāla drošības prasībai.
- Bezsaistes aploksne. Izdrukā kontaktus: Nacionālais kiberdrošības centrs (NIS2@mod.gov.lv), tavs IT atbalsts, apdrošinātājs. Kad internets nedarbojas, e-pasts ar kontaktiem ir tikpat noderīgs kā nekas.
Un viens jautājums, ko der uzdot skaļi pirms 1. oktobra: ja tavs lielākais klients rīt atsūtītu vēstuli ar lūgumu pierādīt, ka tavas rezerves kopijas tiešām strādā, ko tu atsūtītu atpakaļ? Atbilde uz šo jautājumu arī ir tava gatavība NIS2.
Vēlies pierādījumu, nevis pieņēmumu? Apskati mūsu risinājumus automātiskai datoru dublēšanai ar glabāšanu Latvijā un pierādītu atjaunošanas žurnālu vai sazinies ar mums — 30 minūtēs izvērtēsim, vai tu esi subjekts un ko jautās tavi klienti.
Biežāk uzdotie jautājumi
Vai es esmu NIS2 subjekts, ja man ir 12 darbinieki?
Visticamāk nē. Būtisks sniedzējs ir vismaz 250 darbinieki vai apgrozījums virs 50 miljoniem, svarīgs — apgrozījums vismaz 10 miljoni. Izņēmums no 1. oktobra: uzņēmumi, kurus valsts atzinusi par nacionālajai drošībai nozīmīgiem, kļūst par subjektiem neatkarīgi no izmēra.
Kas mainījās 18. jūnijā?
Atcelts publiskais auditoru saraksts — tagad var izvēlēties jebkuru atbilstošu auditoru, precizēts subjektu loks, ieviestas personāla drošības prasības un saskaņoti termiņi reģistrācijai un pārvaldnieka iecelšanai.
Ko tieši pārbaudīs uzraugi saistībā ar backup?
Ne tikai to, vai ir politika, bet vai tehnika strādā tā, kā solīts — vai kopijas tiek veidotas, vai tās glabājas citā vietā un vai ir veikts atjaunošanas tests ar ierakstu.
Kas notiek, ja nēesmu reģistrējies līdz 1. aprīlim?
Reģistrācijas termiņš esošajiem subjektiem bija 2025. gada 1. aprīlis. Ja nokavēts, pareizā rīcība ir reģistrēties tagad, nevis gaidīt vēstuli.
