Крупный клиент заявляет, что мы подпадаем под NIS2: что это вообще такое и касается ли малого бизнеса во Франции?

Юристы в крупных корпорациях тупо рассылают эту копипасту всем подряд, чтобы прикрыть свою спину. Без паники: садитесь за стол переговоров и сужайте скоуп со словами: «мы не ваша критическая инфраструктура, а изолированный поставщик ПО».

Нам три месяца назад прилетела такая же бумага от клиента из энергетики. Сначала выкатили аудит на 60 пунктов. Спокойно созвонились, показали логи доступа к базам и двухфакторку, срезали опросник до 8 пунктов и не потратили ни копейки лишней.

А как именно вы подключены к их инфраструктуре? Если у вас постоянный неограниченный VPN прямо на их серверы, то паранойю клиента можно понять. У вас только односторонний API или вы реально сидите внутри контура?

Примечание: пишу на основе своего опыта, у других может быть иначе.

Сделайте быстрый секьюрити-бриф: внутренняя двухфакторка, периодичность бэкапов, базовый инструктаж сотрудников по ИБ. Отправьте в отдел рисков клиента с формулировкой: «вот наш профиль безопасности, адекватный масштабу малого бизнеса».

Сейчас на этой теме наплодилась куча мутных контор, которые под вывеской «консалтинг по NIS2» пытаются выставлять небольшим компаниям счета по 20-30 тысяч евро. Ни в коем случае ничего не подписывайте, напрямую к МСБ регулятор с проверками и штрафами не придет.

Статья 2 директивы ЕС прямо определяет пороги по размеру компаний. В официальном ответе клиенту полезно сослаться на критерии малого и среднего бизнеса Еврокомиссии и на юридическом языке зафиксировать, что прямых обязательств у вас нет.

наш клиент тоже прибегал в такой панике, как только услышат nis2 сразу пытаются весь банкет за счет подрядчика устроить. отвечайте спокойно, покажите базовые меры безопасности и тема обычно сразу закрывается.

Очень актуальная тема. Непроверенная резервная копия — не резервная копия.

Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки. Если напишете результат здесь, это поможет и другим.

Согласен с этим. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Здесь нужно провести различие. Все, кто торопится с что такое nis2, спотыкаются на одном и том же.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Исправьте, если я ошибаюсь.

Если пойдете этим путем, сразу решите вот этот вопрос... ну изменение платежных данных никогда не подтверждается через тот же канал.

Изменение платежных данных никогда не подтверждается через тот же канал. Я бы пошел этим путем.

Да, по теме что такое nis2 ситуация именно такая. Начните с небольшого эксперимента, не привязывайте всё сразу.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Пишите, если есть вопросы, отвечу по мере возможности.

обсуждение размылось, давайте структурируем потом забытые тестовые среды становятся входом в систему чаще чем продакшн.

если не зафиксировать это письменно с самого начала, потом возникнут споры. проверено опытом.

Вы правы. Любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

Позвольте подвести итог сказанному выше... То, что делают все не значит что это правильно.

Если делаете впервые, начните с малого масштабирование потом.

Я тоже так считаю. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Взял на заметку, спасибо. Не полагайтесь на одну меру защиты; действуйте слоями.

Чем сложнее отменить решение, тем медленнее его принимайте. Если напишете результат здесь, это поможет и другим.

Мы тоже какое-то время назад застряли на том же месте. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Автоматический отчет о сканировании и пентест — это не одно и то же. Оставлю как заметку, пригодится.