NIS2 pre dodávateľov: na čo sa vás začnú pýtať zákazníci

NIS2 je hlavný predpis EÚ o kybernetickej bezpečnosti pre základné a dôležité subjekty. Dodávateľov sa dotkne cez ich zákazníkov. Aj keď sa smernica na vašu firmu nevzťahuje, zákazník, na ktorého sa vzťahuje, musí riadiť „bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi jednotlivými subjektmi a ich priamymi dodávateľmi alebo poskytovateľmi služieb“. Ide o článok 21 ods. 2 písm. d) smernice (EÚ) 2022/2555.

V praxi to znamená dotazníky, nové zmluvné doložky, žiadosti o dôkazy a niekedy aj právo na audit. Týka sa to aj firiem mimo EÚ, napríklad z USA, ak poskytujú softvér, hosting, IT alebo iné služby zákazníkom v EÚ, na ktorých sa NIS2 vzťahuje.

Tento článok zhŕňa, čo smernica a jej vykonávacie predpisy naozaj hovoria o dodávateľoch a ako pripraviť odpovede, ktoré obstoja.

Kľúčové dátumy a články

• Smernica bola prijatá 14. decembra 2022. Členské štáty mali prijať národné zákony do 17. októbra 2024 a uplatňovať ich od 18. októbra 2024 (článok 41).
• Článok 20 ukladá riadiacim orgánom subjektov schvaľovať opatrenia na riadenie kybernetických rizík a dohliadať na ich zavedenie.
• Článok 21 ods. 2 vymenúva aspoň 10 oblastí opatrení, od analýzy rizík a riešenia incidentov po bezpečnosť dodávateľského reťazca, riešenie zraniteľností a viacfaktorové overenie.
• Článok 21 ods. 3 hovorí, že pri výbere opatrení pre dodávateľský reťazec musia subjekty zohľadniť „zraniteľnosti špecifické pre každého priameho dodávateľa a poskytovateľa služieb a celkovú kvalitu produktov a postupov kybernetickej bezpečnosti svojich dodávateľov a poskytovateľov služieb“.
• Článok 23 ods. 4 určuje fázy hlásenia incidentov pre subjekt: včasné varovanie do 24 hodín od zistenia významného incidentu, oznámenie incidentu do 72 hodín a záverečnú správu najneskôr 1 mesiac po oznámení.

NIS2 je smernica, takže záväzné povinnosti vyplývajú z národného zákona každej krajiny. Podrobnosti sa preto líšia a to, ktorý zákon sa na zákazníka vzťahuje, vám povie jeho právne oddelenie.

Čo pridáva vykonávacie nariadenie

Pre niektorých digitálnych poskytovateľov (okrem iného poskytovateľov cloudových služieb, dátových centier, riadených služieb a riadených bezpečnostných služieb) stanovila Komisia podrobné požiadavky vo vykonávacom nariadení (EÚ) 2024/2690. Bod 5.1 jeho prílohy najjasnejšie opisuje, čo budú zákazníci od dodávateľov žiadať. Subjekty musia stanoviť kritériá výberu dodávateľov vrátane ich postupov kybernetickej bezpečnosti a postupov bezpečného vývoja a ich zmluvy majú podľa potreby určovať:

• požiadavky na kybernetickú bezpečnosť pre dodávateľa,
• školenia a podľa potreby certifikácie zamestnancov dodávateľa,
• preverenie zamestnancov,
• povinnosť oznámiť zákazníkovi incident bez zbytočného odkladu,
• právo na audit alebo na prijímanie správ z auditu,
• povinnosť riešiť zraniteľnosti, ktoré predstavujú riziko pre zákazníka,
• pravidlá subdodávok,
• povinnosti pri skončení zmluvy, napríklad vrátenie a likvidáciu dát.

Aj zákazníci mimo rozsahu tohto nariadenia ho často používajú ako vzor, pretože článok 21 premieta do konkrétneho zoznamu.

Čo vám zákazníci naozaj pošlú

Počítajte s kombináciou týchto vecí:

1. Bezpečnostný dotazník o riadení prístupu, viacfaktorovom overení, zálohách, šifrovaní, riešení zraniteľností a reakcii na incidenty.
2. Dodatky k zmluvám s lehotami na oznámenie incidentu, ktoré sú dosť krátke na to, aby zákazník stihol poslať vlastné včasné varovanie do 24 hodín.
3. Žiadosti o dôkazy: politiky, správy z auditov, certifikáty ako ISO/IEC 27001 alebo správa SOC 2 a výsledky testov.
4. Otázky o vašich subdodávateľoch, najmä o hostingu a podpore.
5. Priebežné sledovanie: bod 5.1.6 prílohy žiada od subjektov sledovať zmeny v postupoch kybernetickej bezpečnosti dodávateľov v plánovaných intervaloch, takže čakajte opakované otázky.

Pripravte odpovede, ktoré sa dajú overiť

Dotazník je ľahké vyplniť príliš optimisticky. Zákazníci však čoraz častejšie overujú to, čo vidno zvonku. Skôr než odpoviete, uistite sa, že vonkajší obraz vašej firmy zodpovedá tomu, čo píšete:

• Overovanie pošty. Ak tvrdíte, že máte silnú bezpečnosť pošty, váš záznam DMARC by mal byť vo vynucujúcom režime:

dig +short TXT _dmarc.yourcompany.com
"v=DMARC1; p=reject; rua=mailto:dmarc@yourcompany.com"

• TLS a certifikáty. Platné certifikáty na každom názve hostiteľa dostupnom z internetu, žiadny expirovaný, žiadny na zabudnutých serveroch.
• Odhalené služby. Žiadna vzdialená plocha, databáza ani administrátorské rozhranie otvorené do internetu.
• Hygiena webu. Nastavené bezpečnostné hlavičky, žiadne odhalené súbory .env, .git ani zálohy (viac v článku odhalené súbory .env, .git a zálohy).
• Zabudnuté systémy. Žiadne opustené testovacie servery pod vašou doménou (viac v článku zabudnuté testovacie servery).

Čistý obraz zvonku ešte nedokazuje vyspelé riadenie bezpečnosti, ale slabý obraz zvonku dobre vyplnenému dotazníku veľmi rýchlo protirečí.

Kontrolný zoznam prípravy

• Určte, kto zodpovedá za bezpečnostné dotazníky zákazníkov, a udržiavajte si súbor odpovedí, ktoré sa dajú použiť opakovane.
• Spíšte postup oznamovania incidentov s kontaktom a lehotou, ktorú naozaj dodržíte.
• Veďte aktuálny zoznam svojich subdodávateľov a dát, s ktorými pracujú.
• Zdokumentujte, ako riešite zraniteľnosti, od nahlásenia po opravu.
• Dôkazy majte na jednom mieste: politiky, správy z auditov, certifikáty, súhrny testov.
• Pravidelne preverujte svoju vonkajšiu útočnú plochu a opravte to, čo by videl zákazník.
• Pred každým predĺžením zmluvy kontrolu zopakujte.

Kde pomáha Datahorses

Datahorses každý deň stráži vašu firmu zvonku: domény, DNS, certifikáty, overovanie pošty, weby a odhalené služby. Každé zistenie dostanete s presným postupom opravy a uchovávame ho ako záznam, na ktorý sa môžete odvolať, keď sa zákazník spýta, ako sledujete svoju zraniteľnosť zvonku. Do vašich systémov nevstupujeme a žiadne prístupy nepotrebujeme. Pozrite sa, čo strážime a ako prebieha spolupráca.