NIS2 — noua lege europeană de securitateDeja în vigoare
Nu doar că le supravegheați — ci că puteți arăta acest lucru, luni mai târziu, unui auditor care vă întreabă. Quanovio verifică zilnic sistemele pe care le folosiți deja, căutând exact ce vă costă: o breșă de securitate cibernetică, date cu caracter personal care ies din organizație, fișiere pe care le poate deschide oricine de pe internet, conturi pe care nu le-a închis nimeni. Consemnează ce a găsit, ce s-a rezolvat și ce a reapărut — într-un limbaj pe care îl puteți pune în mâna unui auditor, a unui asigurător sau a unui client, fără să îl mai traduceți.
Acest site face trimitere la Directiva (UE) 2022/2555 și la cerințele tehnice și metodologice prevăzute în anexa la Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei. Numerele punctelor și titlurile cerințelor sunt reproduse din aceste texte, în limba în care citiți. Cifrele măsurate de noi sunt marcate ca atare. Directiva (UE) 2022/2555·RPA (UE) 2024/2690
Pe scurtPatru întrebări
Dacă sunteți o organizație medie sau mare din energie, transporturi, sănătate, apă, alimentație, producție, deșeuri, poștă, chimie, servicii digitale, cercetare sau administrație publică, aproape sigur da. Legea se numește NIS2, se aplică în toate cele 27 de state ale Uniunii și a adus sub reglementare mii de organizații care nu fuseseră niciodată reglementate pe securitate. Multe dintre ele încă nu știu.
Amenzile ajung la 10 milioane EUR sau 2 % din cifra de afaceri anuală mondială, care dintre acestea este mai mare. Administratorii pot răspunde personal, iar autoritățile pot suspenda un director din atribuții. În practică, primul lucru care se întâmplă este mai simplu: un client, un asigurător sau o bancă vă cere dovezile, iar dumneavoastră nu aveți niciuna.
Un raport, în fiecare dimineață. Spune ce este în neregulă, ce s-a rezolvat și ce a reapărut după ce fusese rezolvat. Fiecare rând este legat de partea numerotată din lege căreia îi răspunde, așa că atunci când cineva cere dovezi trimiteți raportul, nu începeți un proiect.
Să reparați ce găsește. Noi nu atingem niciodată sistemele dumneavoastră — nici nu putem, și acest lucru este intenționat. Vă spunem ce este în neregulă și în ce ordine să vă ocupați; oamenii dumneavoastră sau furnizorul dumneavoastră IT fac treaba, iar raportul de a doua zi spune dacă a funcționat.
Ideea pe care se sprijină totulDouă lucruri diferite
Gândiți-vă la stingătoarele din clădirea dumneavoastră. Nu este de ajuns să le aveți. Cineva semnează lunar o fișă care spune că au fost verificate, iar acea fișă este ceea ce cere inspectorul. Securitatea funcționează acum la fel. Legea nu întreabă doar dacă supravegheați — vă cere să produceți documentul. Majoritatea organizațiilor fac mult mai mult decât pot arăta.
O singură pagină. Mai jos este un exemplu real, prescurtat. Numărul din stânga este partea din lege căreia îi răspunde fiecare rând; nu trebuie să îl înțelegeți, dar persoana care vă inspectează îl va înțelege.
| Punct din anexă | Cerință | Observație | Stare |
|---|---|---|---|
| 11.2 | Gestionarea drepturilor de acces | Un link de partajare creat în martie rămâne activ pe un document restricționat la 28 august. Documentul poate fi accesat de oricine deține linkul, fără autentificare. | Recurent închis și verificat anterior la 2 septembrie |
| 11.7 | Autentificarea multifactor | Patru conturi cu privilegii de administrare se autentifică doar cu parolă. | Deschis consemnat prima dată la 14 septembrie |
| 6.10 | Gestionarea și divulgarea vulnerabilităților | Trei vulnerabilități clasificate drept critice au fost remediate; absența lor a fost confirmată la colectarea următoare. | Închis, verificat confirmat la 19 septembrie |
Numerele punctelor și titlurile cerințelor sunt reproduse din anexa la Regulamentul de punere în aplicare (UE) 2024/2690 al Comisiei. Observațiile de mai sus sunt o ilustrare, nu datele vreunei entități. Remedierea este efectuată de administratorii entității; acest registru consemnează doar ce a fost observat. RPA (UE) 2024/2690 · Anexă
Cifrele marcate ca măsurate reprezintă numărătoarea noastră față de setul de detecții Wazuh publicat public, la data indicată, nu o cifră dintr-o sursă a UE.
Aproximativ o treime dintre controalele numerotate din RPA (UE) 2024/2690 pot fi dovedite prin telemetrie. Restul — metodologia de evaluare a riscului, evaluarea lanțului de aprovizionare, politica de criptografie, instruirea, securitatea fizică — sunt documentare și sunt raportate ca deschise, împreună cu dovezile pe care le va solicita un auditor. Afirmațiile de acoperire care depășesc ceea ce poate observa un sistem de monitorizare nu rezistă la audit.
| Ref. | Control | Detecții | Dovedit |
|---|---|---|---|
| 11.6 | Autentificare | 293 | Da |
| 11.2 | Gestionarea drepturilor de acces | 127 | Da |
| 3.2 | Monitorizare și jurnalizare | 119 | Da |
| 3.4 | Evaluarea și clasificarea evenimentelor | 92 | Da |
| 6 | Securitatea în achiziționarea, dezvoltarea și întreținerea rețelelor și a sistemelor informatice | 67 | Da |
| 11.3 | Conturile privilegiate și conturile de administrare a sistemului | 30 | Parțial |
| 11.5 | Identificare | 21 | Da |
| 11.7 | Autentificarea multifactor | 0 | Necesită o sursă de identitate |
Conectorii solicită exclusiv permisiuni de citire. O credențială returnată cu drept de scriere este respinsă la conectare, nu păstrată.
Aceeași soluție, instalată în rețeaua dumneavoastră sau operată de noi în Uniunea Europeană. Instalarea proprie nu transmite nimic în exterior.
Fiecare constatare include un plan de remediere executat de administratorii dumneavoastră. Colectările următoare consemnează rezultatul ca închis, nerezolvat sau reapărut.
ReferințeEUR-Lex · ENISA
Fiecare cifră, termen și titlu de cerință de pe acest site este preluat din textele de mai jos. Acolo unde site-ul citează, citează versiunea lingvistică oficială în care îl citiți.
Spuneți-ne ce folosește organizația dumneavoastră — cinci rânduri sunt de ajuns — și vă spunem ce părți din lege ați putea dovedi astăzi și care nu. În scris, gratuit și fără niciun apel telefonic.