NIS 2 klope na dvere: Máte pod kontrolou riadenie dokumentov?

Smernica NIS 2 predstavuje najvýznamnejšiu zmenu v oblasti kybernetickej bezpečnosti za posledné roky. Jej cieľom je zvýšiť úroveň ochrany naprieč Európskou úniou a zásadne rozšíriť okruh organizácií, ktoré budú musieť povinne zaviesť bezpečnostné opatrenia. Dopadá nielen na kritickú infraštruktúru či prevádzkovateľov digitálnych služieb, ale aj na veľkú časť výrobných podnikov, technologických firiem, poskytovateľov služieb či subjekty verejnej správy.

Slovensko je v súčasnosti v procese transpozície NIS 2 do národnej legislatívy, ktorá nadviaže na zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Po nadobudnutí účinnosti novej právnej úpravy budú organizácie povinné registrovať sa v stanovenej lehote a následne zaviesť požadované technické a organizačné opatrenia podľa metodík NBÚ SR.

Jednou z oblastí, ktoré NIS 2 výrazne posilňuje, je bezpečnostná dokumentácia. Organizácie budú musieť preukázať, že majú jasne definované, schválené, aktuálne a auditne dohľadateľné politiky, postupy, záznamy o školeniach aj dokumentáciu incidentov. Bez moderného systému na riadenie dokumentov bude splnenie týchto požiadaviek mimoriadne náročné.
 

Smernica NIS 2 zásadne rozširuje okruh organizácií, ktoré budú povinne podliehať kybernetickej regulácii. Kým pôvodná smernica NIS sa vzťahovala najmä na kritickú infraštruktúru a niekoľko vybraných sektorov, NIS 2 dopadá na tisíce firiem pôsobiacich aj mimo tradične regulovaných oblastí. Smernica rozlišuje dve kategórie – essential a important entities – pričom obidve budú musieť spĺňať prakticky rovnaké požiadavky.

Do pôsobnosti NIS 2 spadajú organizácie z oblastí ako energetika, doprava, zdravotníctvo, vodné hospodárstvo, digitálna infraštruktúra či verejná správa, ale tiež výrobný priemysel, potravinárstvo, poštové a kuriérske služby, logistika, poskytovatelia IT služieb či prevádzkovatelia digitálnych platforiem.

Kľúčovým faktorom je aj veľkosť organizácie – regulácia sa týka subjektov s viac ako 50 zamestnancami alebo ročným obratom nad 10 miliónov EUR, pokiaľ pôsobia v odvetví, ktoré smernica definuje ako kritické alebo dôležité.

Pre mnohé spoločnosti na Slovensku tak NIS 2 znamená prvú skúsenosť s povinnou kybernetickou reguláciou, ktorej rozsah je výrazne širší, než na čo boli v minulosti zvyknuté.
 

Jednou z oblastí, ktorú NIS 2 výrazne posilňuje, je riadenie bezpečnostnej dokumentácie. Smernica vyžaduje, aby organizácie mali jasne definované, schválené, aktuálne a auditne dohľadateľné bezpečnostné politiky, procesy, postupy a záznamy. Nejde pritom len o ich existenciu, ale najmä o schopnosť preukázať, že dokumenty majú riadený životný cyklus a že sa podľa nich skutočne postupuje.

Organizácie budú musieť viesť dokumentáciu týkajúcu sa napríklad riadenia rizík, správy identít a prístupov, bezpečnostných politík, riadenia dodávateľov, reakcie na incidenty, prevádzkovej bezpečnosti či plánov kontinuity činností. Dôležitou súčasťou je aj evidencia školení, potvrdenia o oboznámení zamestnancov, história zmien dokumentov či záznamy z interných kontrol.

V praxi to znamená, že firma musí byť schopná kedykoľvek preukázať, že dokument existuje, je platný, bol schválený kompetentnou osobou, má sledovanú históriu revízií a že zamestnanci majú k dispozícii jeho aktuálnu verziu. Ak sa dokumenty nachádzajú v e-mailoch, na zdieľaných diskoch alebo v rôznych neprepojených nástrojoch, je splnenie požiadaviek NIS 2 mimoriadne náročné.

Moderný DMS (Document Management System) sa preto stáva kľúčovým predpokladom pre splnenie legislatívnych požiadaviek a úspešnú auditnú pripravenosť.
 

Firmy, ktoré podcenia dokumentačnú časť NIS 2, sa vystavujú viacerým zásadným rizikám. Najčastejším problémom je, že dokumenty síce existujú, no nie sú aktuálne, riadené, schválené alebo dohľadateľné. Pri audite je potom veľmi ťažké preukázať, že dané procesy skutočne fungujú a že sa podľa nich v organizácii postupuje. Chýbajúca evidencia školení, nejasná história zmien či nesprávne uložené záznamy môžu viesť k záveru, že organizácia nesplnila povinnosti vyplývajúce zo smernice.

Nedostatky v dokumentácii zároveň zvyšujú riziko neúspechu pri kontrolách zo strany NBÚ SR, najmä v oblastiach súvisiacich s riadením incidentov, reakčnými opatreniami a správou prístupov. NIS 2 tiež kladie dôraz na zodpovednosť vrcholového vedenia, ktoré musí zabezpečiť, aby boli prijaté všetky potrebné technické a organizačné opatrenia.

Hoci presná výška sankcií bude definovaná v slovenskej legislatíve po transpozícii, smernica stanovuje, že pokuty môžu dosahovať vysoké hodnoty porovnateľné s inými európskymi reguláciami. Bez riadeného systému na prácu s dokumentmi tak môže aj dobre nastavený bezpečnostný rámec zlyhať na tom najzákladnejšom — na neschopnosti spoľahlivo doložiť, že organizácia koná v súlade s NIS 2.

Príprava na požiadavky NIS 2 môže byť výrazne jednoduchšia, ak organizácia postupuje systematicky a má k dispozícii vhodné nástroje. Prvým krokom je overiť, či firma spadá pod pôsobnosť smernice, a následne sledovať pripravovanú slovenskú legislatívu, ktorá stanoví presné povinnosti a lehoty na registráciu a implementáciu opatrení.

Nasleduje inventarizácia existujúcich dokumentov a procesov – prehľad interných smerníc, bezpečnostných politík, evidencie školení, záznamov o incidentoch a ďalších dokumentov súvisiacich s kybernetickou bezpečnosťou. Často sa ukáže, že dokumenty síce existujú, ale nefungujú v rámci riadeného životného cyklu, čo je s NIS 2 v priamom rozpore.

Ďalším krokom je zavedenie alebo aktualizácia bezpečnostných politík a ich prenesenie do prostredia, kde je možné zabezpečiť tvorbu, schvaľovanie, publikovanie, archiváciu a pravidelné revízie. Práve v tejto fáze zohráva kľúčovú úlohu moderný DMS, ktorý dokáže automatizovať schvaľovacie workflow, spravovať verzie dokumentov, riadiť prístupové práva a evidovať potvrdenia o oboznámení zamestnancov.

Súčasťou prípravy musí byť aj evidencia školení, ich periodické opakovanie, riadenie dodávateľských vzťahov, dokumentácia reakcií na incidenty a vytváranie ucelenej auditnej stopy. Správne nastavený DMS dokáže prepojiť všetky tieto oblasti do jedného prostredia, čím firmám výrazne uľahčí splnenie povinností vyplývajúcich zo smernice NIS 2.

Organizácie, ktoré sa začnú pripravovať včas, získajú dostatočnú rezervu na implementáciu opatrení aj na kvalitné nastavenie procesov, ktoré obstojí pri kontrole zo strany NBÚ SR.