Zarządzanie podatnościami w NIS 2 na mocy artykułu 21(2)(e)
Zarządzanie podatnościami ma dwie strony w NIS 2. Jak postępujesz ze słabościami we własnych systemach. Oraz jak postępujesz ze słabościami, które ludzie Ci zgłaszają. Artykuł 21(2)(e) to miejsce, w którym mieści się ten obowiązek, CIR (UE) 2024/2690 §6.10 precyzuje szczegóły dla objętych nim dostawców cyfrowych, a §30(2)(5) BSIG transponuje obowiązek do prawa niemieckiego.
W skrócie
Zarządzanie podatnościami to punkt (e) na liście artykułu 21(2). CIR zatytułowuje odpowiadającą mu sekcję 'Postępowanie z podatnościami i ich ujawnianie'. Ten tytuł zdradza istotę. NIS 2 dba jednocześnie o dwie rzeczy: słabości tkwiące w systemach, które prowadzisz, oraz słabości, które osoby z zewnątrz znajdują w Twoich produktach i chcą Ci o nich powiedzieć.
Dla objętych nim dostawców cyfrowych CIR §6.10 wymienia pięć działań. Pozyskuj informacje o podatnościach od CSIRT, organów, dostawców i usługodawców. W stosownych przypadkach prowadź skanowanie podatności i zapisuj wyniki w planowanych odstępach. Usuwaj krytyczne bez zbędnej zwłoki. Powiąż postępowanie z podatnościami z procesami zmian, łatania, ryzyka i incydentów. Oraz ustanów procedurę skoordynowanego ujawniania podatności (CVD) zgodną z krajową polityką CVD.
Niemcy wskazują zarządzanie podatnościami i ich ujawnianie dla każdego podmiotu w §30(2)(5) BSIG, nie narzucając formy. BSI jest krajowym koordynatorem skoordynowanego ujawniania podatności (§5(1) BSIG) i prowadzi je przez CERT-Bund. Sam NIS 2 ustanawia również europejską bazę danych podatności na mocy artykułu 12, prowadzoną przez ENISA, do której podmioty mogą dobrowolnie ujawniać.
Artykuł 21(2)(e) dyrektywy NIS 2 (2022/2555)
Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie.
Punkt (e) na liście dziesięciu środków. Zwróć uwagę na ujęcie: postępowanie z podatnościami i ich ujawnianie mieszczą się w szerszym obowiązku dotyczącym nabywania, rozwoju i utrzymania. CIR dzieli to na odrębne punkty (6.1 nabywanie, 6.10 podatności).
CIR (UE) 2024/2690, załącznik §6.10
Odpowiednie podmioty uzyskują informacje na temat podatności technicznych w swoich sieciach i systemach informatycznych, oceniają narażenie na takie podatności oraz podejmują odpowiednie środki w celu zarządzania nimi.
Bezpośrednio wiążące prawo UE dla rodzajów podmiotów wymienionych w art. 1 CIR (DNS, TLD, chmura, centra danych, MSP, usługi zaufania i inne). §6.10.2 wymienia pięć konkretnych działań. §6.10.3 stanowi, że gdy pomijasz łagodzenie, zapisujesz dlaczego. §6.10.4 stanowi, że w planowanych odstępach przeglądasz kanały, których używasz do monitorowania informacji o podatnościach.
§30(2)(5) BSIG (Niemcy)
Środki bezpieczeństwa w procesie nabywania, rozwoju i utrzymania systemów informatycznych, komponentów i procesów, w tym zarządzanie podatnościami i ich ujawnianie.
Niemcy kopiują tekst UE. Krajowe ramy CVD przebiegają przez program skoordynowanego ujawniania CERT-Bund w BSI, do czego w Niemczech odnosi się sformułowanie 'zgodne z obowiązującymi krajowymi politykami CVD' w CIR §6.10.2(e).
Wprowadź informacje do środka
Śledź informacje o podatnościach od CSIRT, organów, dostawców i usługodawców. Prowadź skanowanie podatności w rytmie odpowiednim do Twojego środowiska. Narzędzia skanujące (Tenable, Qualys, Nessus, OpenVAS) to strona inżynierska. Kanały (newsletter CERT-Bund, biuletyny dostawców, NVD) to strona świadomości. Potrzebujesz obu.
Napraw krytyczne, udokumentuj resztę
Krytyczne podatności są usuwane bez zbędnej zwłoki. Postępowanie z podatnościami musi zazębiać się z Twoim zarządzaniem zmianą, zarządzaniem łatkami, zarządzaniem ryzykiem i zarządzaniem incydentami. Tam, gdzie decydujesz się nie łagodzić, §6.10.3 stanowi, że tworzysz udokumentowany plan łagodzenia lub zapisujesz, dlaczego żadne działanie nie jest potrzebne. Żadnego cichego zaległościowca.
Prowadź skoordynowany proces ujawniania
Ustanów procedurę przyjmowania zgłoszeń podatności od osób z zewnątrz i koordynowania ich ujawniania, zgodną z obowiązującą krajową polityką CVD. Minimalna mechanika: opublikowany kanał kontaktu (skrzynka security@ lub plik security.txt), SLA potwierdzenia, harmonogram usuwania oraz skoordynowane publiczne ujawnienie. CERT-Bund pośredniczy w razie potrzeby.
Okresowo, nie reaktywnie
Pkt 6.10.2(b) wymaga w stosownych przypadkach skanowania podatności z zapisem wyników w planowanych odstępach, a pkt 6.10.4 przeglądu kanałów monitorowania w planowanych odstępach. Dla podmiotów objętych CIR oznacza to spisany rytm: udokumentuj, jak często skanujesz i jak często przeglądasz listę kanałów, i trzymaj się tego. Żaden tekst nie ustala interwału.
Ujawnianie jest częścią obowiązku
§ 30 ust. 2 pkt 5 BSIG i art. 21 ust. 2 lit. e NIS 2 wymieniają ujawnianie podatności obok zarządzania nimi, dla każdego podmiotu. Dla objętych CIR dostawców cyfrowych pkt 6.10.2(e) wymaga procedury zgodnej z krajową polityką skoordynowanego ujawniania. Minimalny zestaw: skrzynka security@, którą ktoś czyta, krótka polityka i plik security.txt, który na nią wskazuje.
BSI / program CVD CERT-Bund
BSI prowadzi CERT-Bund, federalny CSIRT, i prowadzi program skoordynowanego ujawniania podatności. Badacze mogą zgłaszać przez CERT-Bund, a BSI będzie koordynować z dotkniętymi dostawcami. § 5(1) BSIG czyni BSI krajowym koordynatorem skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1 NIS 2. Jeśli ustanawiasz proces ujawniania po raz pierwszy, dobrym wzorem jest wytyczna BSI dotycząca CVD.
Europejska baza danych podatności (artykuł 12 NIS 2)
Artykuł 12 NIS 2 ustanawia europejską bazę danych podatności prowadzoną przez ENISA. Podmioty mogą dobrowolnie ujawniać do niej podatności. Nie jest to obowiązkowy kanał zgłaszania na mocy artykułu 23. To ogólnounijne źródło referencyjne, które agreguje informacje o podatnościach z całej UE.
Krajowe CSIRT jako koordynatorzy CVD
Każde państwo członkowskie wyznacza jeden ze swoich CSIRT na koordynatora skoordynowanego ujawniania podatności (art. 12 ust. 1 NIS 2). Prawo krajowe może wykraczać poza dyrektywę (art. 5), więc sprawdź tekst krajowy; różni się też to, z którym CSIRT rozmawiasz i jak działa jego koordynacja.
Łatamy w Patch Tuesday, to wystarczy.
Nie dla dostawców cyfrowych objętych CIR: pkt 6.10.2(c) stanowi, że krytyczne podatności są usuwane bez zbędnej zwłoki. Patch Tuesday to rytm wydawania dostawcy. Zero-day ujawniony w czwartek z aktywnym wykorzystywaniem nie czeka do następnego wtorku. Rytm łatania dla rutynowych poprawek oraz proces poza pasmem dla problemów krytycznych pokrywa oba przypadki.
Nie mamy procesu CVD, bo nikt nigdy nie zgłasza nam podatności.
Dla dostawców cyfrowych objętych CIR pkt 6.10.2(e) wymaga procedury z góry, a nie dopiero wtedy, gdy napłyną zgłoszenia. Dla wszystkich pozostałych ujawnianie jest wymienione w § 30 ust. 2 pkt 5 BSIG bez narzuconej formy. Skrzynka security@ i jednostronicowa polityka to w obu przypadkach mały, rozsądny krok.
Skanowanie podatności to zadanie zespołu bezpieczeństwa.
Jest nim, dopóki nie przeczytasz §6.10.2(d): postępowanie z podatnościami musi być spójne z zarządzaniem zmianą, zarządzaniem łatkami, zarządzaniem ryzykiem i zarządzaniem incydentami. To czyni zarządzanie podatnościami procesem międzyzespołowym dotykającym operacji IT, rozwoju i ryzyka, a nie odizolowaną działalnością bezpieczeństwa.
Strona ujawniania to niedoudokumentowana połowa. Realistyczne minimum: skrzynka security@twojadomena.com kierowana do dwóch osób, jednostronicowa polityka ujawniania oraz plik security.txt pod /.well-known/security.txt wskazujący na skrzynkę. Co do terminów, wytyczna BSI dotycząca CVD oczekuje, że dostawca potwierdzi zgłoszenie w ciągu trzech dni roboczych, i daje od 45 do 90 dni na naprawę, czyli zakres zwyczajowy na świecie.
- Dyrektywa (UE) 2022/2555 (NIS 2), artykuł 12 i artykuł 21(2)(e): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (CIR), załącznik §6.10: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Ustawa BSI (BSIG), §30(2)(5) w brzmieniu zmienionym ustawą o wdrożeniu NIS2 i wzmocnieniu cyberbezpieczeństwa
- BSI / program skoordynowanego ujawniania podatności CERT-Bund: bsi.bund.de
- Europejska baza danych podatności ENISA (artykuł 12 NIS 2)
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
