Vodič · Pravo i obveze
NIS2 i sigurnosne kopije: što tvrtke moraju dokazati
Ukratko: NIS2 upravljanje sigurnosnim kopijama i oporavak nakon katastrofe izričito navodi kao minimalne mjere. Nije dovoljno imati sigurnosne kopije: tvrtka mora moći dokazati da se izrađuju redovito, da su zaštićene i da se mogu vratiti. Odgovornost snosi uprava.
Što NIS2 kaže o sigurnosnim kopijama
Direktiva NIS2 (EU) 2022/2555 obvezuje tvrtke u važnim sektorima na mjere kibernetičke sigurnosti. Članak 21 stavak 2 navodi minimalne mjere. Točka (c) spominje kontinuitet poslovanja, kao što su upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama.
Dvije druge točke istog popisa izravno se odnose na sigurnosne kopije: točka (f) zahtijeva politike i postupke za procjenu učinkovitosti mjera, što za sigurnosne kopije znači: testirati vraćanje. Točka (h) zahtijeva upotrebu kriptografije i, prema potrebi, šifriranja.
Članak 20 odgovornost dodjeljuje upravi: upravljačka tijela moraju odobriti mjere, nadzirati njihovu provedbu i za to proći osposobljavanje. Sigurnosne kopije time su izričito stvar uprave.
Na koga se odnosi
NIS2 vrijedi za tvrtke u sektorima iz priloga I. i II. direktive, na primjer energetika, promet, zdravstvo, digitalna infrastruktura, IT usluge za druge tvrtke (upravljane usluge), otpad, kemikalije, hrana, proizvodnja kritičnih proizvoda i digitalne usluge. U pravilu su obuhvaćena srednja i velika poduzeća u tim sektorima, dakle od 50 zaposlenika ili s godišnjim prometom i ukupnom bilancom većima od 10 milijuna eura. U nekim područjima NIS2 vrijedi bez obzira na veličinu.
U Njemačkoj zakon o provedbi NIS2 prenosi direktivu u Zakon o BSI-ju, a obuhvaćeni subjekti moraju se registrirati kod BSI-ja, njemačkog Saveznog ureda za informacijsku sigurnost. Odnosi li se direktiva na vašu tvrtku i kako, mora se provjeriti u svakom pojedinačnom slučaju; BSI za to nudi online test. U drugim državama EU-a vrijede nacionalni zakon o provedbi i ondje nadležno tijelo.
I bez NIS2: GDPR već u članku 32 zahtijeva sposobnost brze ponovne uspostave osobnih podataka nakon incidenta i redovitu provjeru mjera. Mnoga osiguranja od kibernetičkih rizika postavljaju ista pitanja.
Što revizori žele vidjeti za sigurnosne kopije
Zakoni određuju ciljeve, a ne proizvode. U praksi se revizije ipak svode na ista pitanja:
| Pitanje revizora | Što služi kao dokaz |
|---|---|
| Postoji li koncept sigurnosnih kopija? | Pisani koncept: što, koliko često, kamo, koliko dugo, tko je odgovoran (BSI IT-Grundschutz CON.3) |
| Izrađuju li se sigurnosne kopije doista? | Zapisnik svih sigurnosnih kopija s rezultatom, bez praznina u razdoblju revizije |
| Jesu li zaštićene od napada? | Nepromjenjiva ili odspojena kopija, šifriranje, kopija izvan tvrtke |
| Mogu li se vratiti? | Dokumentirani testovi vraćanja s datumom, opsegom i rezultatom |
| Tko je što izbrisao ili promijenio? | Sljediv zapisnik brisanja i promjena zadržavanja |
| Može li se vjerovati zapisniku? | Zapisnik otporan na manipulaciju, kopija na drugom mjestu (BSI IT-Grundschutz OPS.1.1.5) |
Pet koraka do sigurnosnih kopija koje se mogu dokazati
- Napisati koncept: za svaki sustav utvrditi količinu podataka, učestalost kopiranja, zadržavanje i najdulji podnošljivi zastoj. Vodič Koncept sigurnosnih kopija pokazuje što mora sadržavati.
- Više kopija na više mjesta: barem jedna kopija izvan tvrtke i jedna nepromjenjiva; pravilo 3-2-1-1-0 dobra je orijentacija.
- Redovito testirati vraćanje: ne samo jednom godišnje ručno, nego kontinuirano i dokumentirano. Članak Testiranje vraćanja objašnjava kako to automatizirati.
- Bilježiti sve što se događa sa sigurnosnim kopijama i zaštititi zapisnik od naknadne izmjene.
- Izvještavati: uprava redovito dobiva razumljivo izvješće i tako može dokazati da ispunjava svoju dužnost nadzora.
Što se događa u slučaju propusta
Direktiva predviđa znatne novčane kazne: za ključne subjekte do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa na svjetskoj razini, za važne subjekte do 7 milijuna eura ili 1,4 %, ovisno o tome koji je iznos veći. Sama šteta često je teža: bez vraćanja koje funkcionira tvrtka je nakon napada ransomwareom paralizirana danima ili tjednima.
Kako vam AegisGrid pomaže
AegisGrid u jednom pokretanju piše na do osam odredišta, uključujući nepromjenjiva i ona izvan tvrtke. Backup poslužitelj automatski probno vraća sigurnosne kopije i pokreće virtualne strojeve u izoliranom okruženju. Svaka sigurnosna kopija, vraćanje, provjera i brisanje bilježe se u povezanom zapisniku dokaza koji se svakodnevno potpisuje i koji možete odmah slati u svoj SIEM. Iz njega svakog mjeseca izrađuje potpisano izvješće o dokazima u PDF-u, za revizore i za upravu.
Ovaj je članak općeniti uvod i nije pravni savjet. Nijedan softver sam ne čini tvrtku usklađenom s NIS2; sigurnosne kopije dio su cjelovitog koncepta.
Česta pitanja o NIS2 i sigurnosnim kopijama
Zahtijeva li NIS2 određeni softver za sigurnosne kopije?
Ne. NIS2 određuje ciljeve, a ne proizvode: upravljanje sigurnosnim kopijama, oporavak nakon katastrofe, procjenu učinkovitosti i prema potrebi šifriranje. Bitno je da provedbu možete dokazati.
Koliko često treba testirati vraćanje?
NIS2 ne propisuje rok. Dokazali su se redoviti uzorci, na primjer tjedno, i potpuni test najvažnijih sustava barem jednom godišnje. Bitno je da je svaki test dokumentiran zajedno s rezultatom.
Vrijedi li NIS2 i za IT pružatelje usluga?
Da, pružatelji upravljanih usluga pripadaju sektorima direktive. Osim toga, njihovi klijenti sve češće traže dokaze o sigurnosti lanca opskrbe.
Sigurnosne kopije koje se mogu dokazati
Pokazujemo vam zapisnik i izvješće o dokazima na vašim sustavima – na engleskom ili njemačkom.