Наш контрагент утверждает, что директива NIS2 касается и нас. Что это такое и обязательна ли она в Испании?

Процесс работает ровно так: 1) Крупный основной производитель напрямую подпадает под закон NIS2. 2) Закон говорит этому производителю: "уязвимость твоих поставщиков — это твоя уязвимость, проверяй их". 3) Производитель, чтобы выполнить свою ответственность, пытается заставить вас подписать эту форму. То есть вы затронуты не по закону, а по договору.

Технические пункты в форме заказчика обычно стандартные: обязательные VPN и MFA при удалённом доступе к серверам с файлами CAD/CAM, актуальная endpoint-защита на устройствах сотрудников и еженедельный офлайн-бэкап. Если задокументируете, что выполняете эти четыре шага, проверку пройдёте без проблем.

Многие фирмы видят в законе пункт "компании до 50 сотрудников освобождены" и расслабляются, но на практике это иллюзия. Когда крупные автомобильные гиганты кладут перед вами этот договор и говорят "не подпишешь — детали не куплю", от освобождения в законе не остаётся никакого коммерческого смысла.

Мы команда промышленной автоматизации из 25 человек в Барселоне. В прошлом месяце похожий немецкий заказчик прислал нам NIS2-обязательство из 40 пунктов. Мы заплатили независимому специалисту 3.800 евро за внутреннее логирование и настройку файрвола, закрыли недостатки и утвердили форму.

Ваш заказчик хочет просто декларацию самооценки, которую подпишет только руководитель компании, или требует отчёта о пентесте или аудите от внешней аккредитованной кибербезопасной компании? Эта разница сильно меняет ваши операционные расходы.

В Испании Национальный институт кибербезопасности (INCIBE) предлагает руководства и инструменты самооценки для предприятий, входящих в цепочку поставок. Перед тем как отвечать заказчику, будет полезно изучить минимальные меры безопасности в руководствах INCIBE для МСП.

Вы не в той группе которая получит штраф напрямую по закону но чтобы не потерять заказчика выполнить минимальные меры из техзадания обязательно.

Когда мы впервые об этом услышали, нам тоже показалось ненужной бюрократией Евросоюза. Но когда по требованию заказчика мы пересмотрели свои системы то обнаружили, что наш внутренний сервер полностью открыт наружу без защиты, а пароли бывших сотрудников до сих пор активны. Обязаловка раздражает но на самом деле вы защищаете свою компанию от катастрофы.

исправление: ошибся в цифре, было чуть меньше.

Мне тоже интересно.

Согласен, хочу даже особо подчеркнуть. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Хорошо, что вы создали эту тему. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Проверено опытом.

Появились три разных мнения они дополняют друг друга. Большинство инцидентов начинается не с уязвимости а с украденного пароля.

Конечно, если ваша ситуация отличается, всё меняется.

А как вы решили этот вопрос? Спешка в решениях оборачивается исправлениями через полгода.

Не полагайтесь на одну меру защиты; действуйте слоями. Интересно, есть ли те, кто делает иначе.

Здесь есть ловушка не могу промолчать. честно ошибка, сделанная на стороне директива NIS2, обычно исправима но дорого.

Пишите если есть вопросы отвечу по мере возможности.

Здесь есть еще и аспект измерений. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

На этом всё, извините, если затянул.

При выполнении этого часто совершают одну ошибку. короче то что делают все не значит что это правильно.

Оставлю как заметку, пригодится.

Самое упускаемое из вида в теме директива NIS2: Все, кто торопится с директива NIS2, спотыкаются на одном и том же.

Исправьте, если я ошибаюсь.

По теме директива NIS2 так категорично говорить сложно. Пытаться сделать это в одиночку — самый дорогой путь.

Большая часть потерь времени копится на задачах, ожидающих согласования.