Przewodnik wdrożeniowy CIR 2024/2690
Rozporządzenie wykonawcze UE, które precyzyjnie określa, jakie środki techniczne i metodyczne muszą wdrożyć podmioty objęte NIS2 - opublikowane w Dzienniku Urzędowym 17 października 2024 r. i bezpośrednio stosowane we wszystkich państwach członkowskich.
Czym jest CIR 2024/2690?
Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. zostało opublikowane w Dzienniku Urzędowym Unii Europejskiej (seria OJ L, 2024/2690). Ustanawia ono zasady stosowania dyrektywy (UE) 2022/2555 (dyrektywy NIS2) w odniesieniu do technicznych i metodycznych wymagań środków zarządzania ryzykiem w cyberbezpieczeństwie. W odróżnieniu od samej dyrektywy NIS2, rozporządzenie to nie wymaga transpozycji krajowej - obowiązuje bezpośrednio we wszystkich 27 państwach członkowskich od dnia wejścia w życie.
CIR jest odpowiedzią na pytanie, które zadaje każdy specjalista ds. zgodności: 'Co dokładnie musimy wdrożyć?' Podczas gdy §30 BSIG (niemiecka transpozycja) wymienia 10 obszarów środków w sposób ogólny, załącznik do CIR rozkłada je na konkretne, audytowalne wymagania techniczne i metodyczne. Jest to najbardziej szczegółowa dostępna oficjalna specyfikacja obowiązków NIS2 - bardziej szczegółowa niż sama dyrektywa, bardziej konkretna niż BSIG i bezpośrednio egzekwowalna.
Rozporządzenie zostało opracowane w konsultacji z ENISA i Grupą Współpracy NIS, w oparciu o istniejące ramy, w tym ISO/IEC 27001, ETSI EN 319 401 oraz normy krajowe. Ma ono zastosowanie w szczególności do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług zarządzania ICT, dostawców zarządzanych usług bezpieczeństwa, dostawców internetowych platform handlowych, dostawców wyszukiwarek internetowych, dostawców platform usług sieci społecznościowych oraz dostawców usług zaufania - choć jego wymagania techniczne stanowią faktyczny punkt odniesienia dla wszystkich podmiotów objętych NIS2.
Dostawcy usług DNS
Rejestry nazw TLD
Dostawcy usług chmurowych
Dostawcy usług zarządzania ICT (usług zarządzanych) oraz dostawcy zarządzanych usług bezpieczeństwa
Dostawcy internetowych platform handlowych
Dostawcy platform usług sieci społecznościowych
Dostawcy usług zaufania
Struktura rozporządzenia
CIR składa się z 7 artykułów definiujących zakres, definicje i wymagania, a także szczegółowego załącznika zawierającego specyfikacje techniczne i metodyczne.
Artykuł 2 - Definicje
Ustanawia definicje 'bezpieczeństwa sieci i systemów informatycznych', 'poważnego incydentu' oraz innych kluczowych pojęć. Ujednolica terminologię z dyrektywą NIS2, dodając jednocześnie precyzję właściwą dla wdrożenia.
Artykuł 3 - Istotność incydentów
Definiuje, kiedy incydent jest 'poważny' - próg uruchamiający obowiązki zgłoszeniowe. Incydent jest poważny, jeżeli powoduje stratę finansową przekraczającą 500 000 EUR lub 5% rocznego obrotu, prowadzi do wycieku tajemnic handlowych, powoduje śmierć lub znaczną szkodę na zdrowiu, lub spełnia kryteria właściwe dla danego podmiotu określone w tym artykule.
Artykuł 4 - Powtarzające się poważne incydenty
Określa, że powtarzające się incydenty, które pojedynczo nie osiągają progu istotności, mogą zostać zagregowane i potraktowane jako jeden poważny incydent, jeżeli łącznie spełniają kryteria w okresie sześciu miesięcy.
Artykuł 5 - Poważne incydenty dla rejestrów DNS i TLD
Dodaje szczególne kryteria istotności dla dostawców usług DNS i rejestrów TLD, w tym dostępność usługi poniżej 99,9% przez jakikolwiek okres, nieprawidłowy odsetek odpowiedzi DNS oraz naruszenie integralności lub poufności przechowywanych danych rejestracyjnych domen.
Artykuł 6 - Wymagania techniczne i metodyczne
Artykuł podstawowy - wymaga od objętych podmiotów wdrożenia wymagań technicznych i metodycznych określonych w załączniku. Środki muszą być 'odpowiednie i proporcjonalne' do ryzyk, z uwzględnieniem wielkości podmiotu, jego narażenia, prawdopodobieństwa wystąpienia incydentów oraz wpływu społecznego.
Artykuł 7 - Wejście w życie
Rozporządzenie weszło w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym (opublikowane 17 października 2024 r.). Obowiązuje bezpośrednio we wszystkich państwach członkowskich, bez konieczności transpozycji krajowej.
Polityka bezpieczeństwa sieci i systemów informatycznych
Wymaga udokumentowanej polityki bezpieczeństwa sieci i systemów informatycznych zatwierdzonej przez kierownictwo, określającej podejście podmiotu do zarządzania bezpieczeństwem, przeglądanej w zaplanowanych odstępach oraz aktualizowanej po poważnych incydentach lub zmianach. Stanowi ramy dla wszystkich kolejnych środków.
Polityka zarządzania ryzykiem
Wymaga ram zarządzania ryzykiem z określoną metodyką, identyfikacji ryzyk dla sieci i systemów informatycznych, analizy i oceny ryzyka względem kryteriów akceptacji ryzyka, planu postępowania z ryzykiem oraz zatwierdzenia ryzyka szczątkowego przez kierownictwo, przeglądanych w zaplanowanych odstępach.
Obsługa incydentów
Wymaga polityki i procedur wykrywania, analizy, ograniczania, reagowania na incydenty oraz odtwarzania po nich, z określonymi rolami, rejestrowaniem, eskalacją i komunikacją, a także ustrukturyzowanej analizy poincydentalnej, która przekłada wyciągnięte wnioski z powrotem na środki.
Ciągłość działania i zarządzanie kryzysowe
Wymaga planu ciągłości działania i odtwarzania po awarii opartego na analizie wpływu na działalność, zarządzania kopiami zapasowymi i redundancją z przetestowanymi procedurami przywracania oraz planu zarządzania kryzysowego z określonymi rolami, przeglądanych i testowanych w zaplanowanych odstępach.
Bezpieczeństwo łańcucha dostaw
Wymaga polityki bezpieczeństwa łańcucha dostaw regulującej relacje z bezpośrednimi dostawcami i usługodawcami, w tym kryteriów bezpieczeństwa dla wyboru, wymagań umownych oraz wykazu dostawców utrzymywanego i monitorowanego przez cały cykl życia relacji.
Bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu sieci i systemów informatycznych
Wymaga uwzględnienia bezpieczeństwa w nabywaniu, rozwoju i utrzymaniu systemów, obejmując bezpieczne praktyki rozwoju, zarządzanie konfiguracją, zarządzanie zmianą, testowanie bezpieczeństwa, zarządzanie aktualizacjami oraz obsługę podatności przez cały cykl życia.
Polityki i procedury oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie
Wymaga, aby podmiot określił polityki i procedury oceny skuteczności swoich środków zarządzania ryzykiem, w tym monitorowanie, przegląd oraz niezależną ocenę, tak aby identyfikować niedociągnięcia i z czasem doskonalić te środki.
Podstawowe praktyki cyberhigieny i szkolenia w zakresie bezpieczeństwa
Wymaga podstawowych praktyk cyberhigieny oraz programu podnoszenia świadomości w zakresie bezpieczeństwa dla całego personelu, ze szkoleniami właściwymi dla roli dla pracowników z zadaniami w zakresie bezpieczeństwa oraz dla kierownictwa, obejmującymi polityki, zagrożenia i obowiązki zgłaszania.
Kryptografia
Wymaga polityki i procedur stosowania kryptografii, w tym doboru algorytmów i długości kluczy odpowiednich do danych, oraz zarządzania kluczami obejmującego generowanie, przechowywanie, rotację i niszczenie, przeglądanych względem aktualnych najlepszych praktyk.
Bezpieczeństwo zasobów ludzkich
Wymaga środków bezpieczeństwa zasobów ludzkich w całym cyklu zatrudnienia, w tym weryfikacji przed zatrudnieniem w stosownych przypadkach, określonych obowiązków w zakresie bezpieczeństwa, warunków zatrudnienia oraz procedur dotyczących zmiany roli i zakończenia zatrudnienia, tak aby dostęp wygasał wraz z zatrudnieniem.
Kontrola dostępu
Wymaga polityki kontroli dostępu z zarządzaniem uprawnieniami dostępu (11.2) i kontami uprzywilejowanymi (11.3), systemami administrowania (11.4), unikalną identyfikacją (11.5), uwierzytelnianiem (11.6) oraz uwierzytelnianiem wieloskładnikowym lub ciągłym (11.7) dla dostępu do systemów krytycznych i dostępu zdalnego, przeglądanej w zaplanowanych odstępach.
Zarządzanie zasobami
Wymaga polityki zarządzania zasobami z klasyfikacją zasobów, inwentaryzacji sieci i systemów informatycznych oraz zasobów wspierających, zasad postępowania z zasobami zgodnie z klasyfikacją oraz polityk dotyczących nośników wymiennych i bezpiecznego zwrotu lub usuwania zasobów.
Bezpieczeństwo środowiskowe i fizyczne
Wymaga ochrony obiektów przed zagrożeniami fizycznymi i środowiskowymi, w tym mediów wspierających, kontrolowanego dostępu fizycznego do systemów oraz ochrony przed awariami takimi jak utrata zasilania, pożar i zalanie, proporcjonalnie do ryzyka dla systemów.
Dyrektywa NIS2 (UE) 2022/2555 jest aktem nadrzędnym - ustanawia ramy, obowiązki i system egzekwowania na poziomie UE. Państwa członkowskie były zobowiązane do transponowania jej do prawa krajowego do 17 października 2024 r. Niemiecką transpozycją jest NIS2UmsuCG, które nowelizuje BSIG. BSIG zawiera obecnie wszystkie obowiązki NIS2 w prawie niemieckim, w tym §30 (środki cyberbezpieczeństwa) i §32 (zgłaszanie incydentów).
CIR 2024/2690 jest bezpośrednio stosowanym rozporządzeniem UE - nie wymaga transpozycji i ma pierwszeństwo przed sprzecznymi przepisami krajowymi. Tam, gdzie CIR określa wymaganie techniczne, wymaganie to obowiązuje bezpośrednio, niezależnie od tego, czy BSIG się do niego odnosi. Dla rodzajów podmiotów wymienionych w artykule 1 CIR jest podstawowym standardem zgodności.
Dla podmiotów NIE wymienionych bezpośrednio w artykule 1 CIR, lecz nadal podlegających NIS2 (np. dostawców energii, ochrony zdrowia, transportu), CIR stanowi najbardziej autorytatywne odniesienie do tego, jak wyglądają środki 'odpowiednie i proporcjonalne'. Oczekuje się, że sądy niemieckie i BSI będą odwoływać się do specyfikacji technicznych CIR przy ocenie, czy środki przedsiębiorstwa spełniają standard §30 BSIG - nawet jeśli CIR formalnie nie wiąże tych podmiotów.
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z dnia 17 października 2024 r. - Dziennik Urzędowy Unii Europejskiej, OJ L 2024/2690
- EUR-Lex - pełny tekst CIR 2024/2690 (CELEX: 32024R2690)
- Dyrektywa (UE) 2022/2555 (dyrektywa NIS2) - Dziennik Urzędowy Unii Europejskiej
- ENISA - wytyczne techniczne dotyczące środków wdrożeniowych NIS2 (2024)
- secuvera GmbH - analiza wymagań CIR 2024/2690 i mapowanie na ISO 27001 (2024)
- BSIG - §30 (Risikomanagementmaßnahmen), §32 (Meldepflichten), w brzmieniu nadanym przez NIS2UmsuCG