Co NIS2 oznacza dla produkcji? Tak zapanujesz nad swoim OT

Czym jest NIS2?

NIS2 to europejska dyrektywa o bezpieczeństwie sieci i informacji, następczyni pierwszej dyrektywy NIS z 2016 roku. Cel: podniesienie odporności cyfrowej sektorów kluczowych i ważnych w całej UE. Dyrektywa obowiązuje na poziomie europejskim od stycznia 2023 roku, a Polska wdraża ją przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC).

Dla firm, które jej podlegają, NIS2 oznacza trzy rzeczy: obowiązek zabezpieczeń (wdrożenie odpowiednich środków i umiejętność ich wykazania), obowiązek zgłaszania (szybkie zgłaszanie poważnych incydentów organowi nadzoru) oraz obowiązek rejestracji. Nowość względem starych przepisów: za zgodność odpowiada sam zarząd i przy zaniedbaniu może zostać pociągnięty do odpowiedzialności osobistej.

Czekanie na ostateczny tekst ustawy nie jest dobrą strategią. Wymagania są w zarysie znane od lat, nie zapowiedziano okresu przejściowego, a same działania, od analizy ryzyka po zarządzanie zasobami, wymagają czasu na wdrożenie.

Czy NIS2 dotyczy twojego zakładu produkcyjnego?

Produkcja, inaczej niż przy pierwszej dyrektywie NIS, znajduje się teraz wprost na liście. Jako sektor ważny objęci są między innymi producenci żywności, chemii, wyrobów medycznych, elektroniki, maszyn i pojazdów. Reguła kciuka co do wielkości: od pięćdziesięciu pracowników albo dziesięciu milionów euro rocznego obrotu podlegasz dyrektywie.

Ale także ten, kto sam nie mieści się w kryteriach, zetknie się z NIS2. Dyrektywa zobowiązuje firmy do zapewnienia bezpieczeństwa swojego łańcucha dostaw. Duzi klienci będą więc wymagać od dostawców wykazanych zabezpieczeń. Dla wielu poddostawców w produkcji wymagania NIS2 przyjdą zatem nie od organu nadzoru, tylko z własnego portfela zamówień.

Dlaczego OT jest przy NIS2 martwym polem

W większości zakładów produkcyjnych informatyka biurowa jest w miarę poukładana: jest firma IT, są kopie zapasowe i działa program antywirusowy. Na hali wygląda to inaczej. Tam pracują sterowniki, panele operatorskie, napędy, czujniki i bramy, które czasem służą już dwadzieścia lat, obok komputerów produkcyjnych ze starymi systemami operacyjnymi i dostawców mających zdalny dostęp do maszyn.

Dokładnie ta technologia operacyjna (OT) też podlega NIS2: sieci i systemy informatyczne obejmują wszystko, co dotyka twojej produkcji. I tu pojawia się problem, bo większość firm nie ma aktualnego obrazu tego, co pracuje na hali, jakie ma oprogramowanie i co jest podłączone do sieci. Nie da się chronić tego, czego nie widać, i nie da się w audycie niczego wykazać o sprzęcie, którego nigdzie nie zarejestrowano.

Wymagania NIS2 w skrócie

Obowiązek zabezpieczeń w NIS2 wymaga odpowiednich środków opartych na analizie ryzyka. W praktyce chodzi między innymi o:

• Analizę ryzyka i politykę bezpieczeństwa: wiedzieć, gdzie jesteś podatny i co z tym robisz.
• Zarządzanie zasobami: aktualny obraz systemów, sprzętu i połączeń, także w zakładzie.
• Zarządzanie dostępem: kto ma dostęp do którego systemu, z MFA tam, gdzie to możliwe, także przy zdalnym dostępie dostawców.
• Ciągłość działania: kopie zapasowe, plany odtworzenia i ćwiczenie awarii.
• Bezpieczeństwo łańcucha dostaw: stawianie wymagań dostawcom i usługodawcom.
• Obsługę i zgłaszanie incydentów: poważny incydent zgłaszasz w ciągu 24 godzin wczesnym ostrzeżeniem, w ciągu 72 godzin idzie pełne zgłoszenie, a w ciągu miesiąca raport końcowy.

Kary nie są symboliczne: dla podmiotów kluczowych do dziesięciu milionów euro albo dwóch procent światowego rocznego obrotu, dla podmiotów ważnych do siedmiu milionów euro albo 1,4 procent.

NIS2 zaczyna się od wiedzy: zmapuj swoje zasoby OT

Każde z powyższych działań opiera się na tym samym fundamencie: wiedzieć, co się ma. Dlatego aktualny rejestr zasobów OT jest logicznym pierwszym krokiem w stronę NIS2. Ten rejestr odpowiada dla każdej maszyny i każdej szafy na pytania, które zada też audytor: co to jest, gdzie stoi, jakie oprogramowanie na tym pracuje, z czym się komunikuje i kto ma do tego dostęp?

Taka inwentaryzacja nie musi dotykać produkcji. Przez bierne podglądanie sieci i odczytanie istniejących sterowników powstaje obraz całego sprzętu i wszystkich połączeń, bez zmieniania czegokolwiek w sterowaniu. Te same połączenia, które budujesz pod Przemysł 4.0 i inteligentną fabrykę, żeby udostępnić dane maszynowe, dają też wiedzę wymaganą przez NIS2. Bezpieczeństwo i cyfryzacja są tu dwiema stronami tego samego medalu.

Ważne jednak, żeby rejestr dalej żył. Jednorazowa inwentaryzacja w arkuszu jest przy najbliższej zmianie znowu nieaktualna. W platformie takiej jak MeshOS przegląd zasobów jest częścią cyfrowego bliźniaka twojego zakładu: zmiany, awarie i połączenia są prowadzone na bieżąco zamiast odtwarzane raz do roku.

Od wiedzy do audytu: wykazać, że masz to pod kontrolą

NIS2 wymaga nie tylko wdrożenia środków, ale też umiejętności ich wykazania. Z żywym rejestrem zasobów jako podstawą nagle staje się to wykonalne:

• Segmentacja sieci: pokaż, jakie są strefy, co biegnie między biurem a zakładem i gdzie leżą rozdzielenia. To rdzeń bezpiecznej integracji IT i OT.
• Rejestrowanie i wykrywanie: zapisuj, kto i kiedy miał dostęp do której maszyny, oraz sygnalizuj nietypowe zachowanie w sieci.
• Polityka aktualizacji: wykaż dla każdego zasobu, jaka wersja pracuje, jakie jest ryzyko i jaka była decyzja o aktualizacji albo jej wstrzymaniu. W OT natychmiastowa aktualizacja nie zawsze jest możliwa, a udokumentowana decyzja też się liczy.
• Obowiązek zgłaszania: przy incydencie potrzebujesz faktów w ciągu 24 godzin. Aktualny obraz systemów i połączeń robi różnicę między zgadywaniem a zgłoszeniem.

Plan działania: w pięciu krokach gotowy na NIS2

1. Ustal swoją pozycję: czy twoja firma podlega dyrektywie jako podmiot kluczowy lub ważny, czy wymagania przyjdą do ciebie przez klientów w łańcuchu?
2. Zinwentaryzuj OT: zmapuj maszyny, sterowania, sieci i dostępy zewnętrzne oraz utrzymuj ten obraz aktualnym.
3. Przeprowadź analizę ryzyka: ustal dla każdego systemu, jaki byłby skutek awarii albo nadużycia i gdzie leżą największe ryzyka.
4. Wdróż środki: podziel sieć na segmenty, uporządkuj zarządzanie dostępem i kopie zapasowe, ustal zasady z dostawcami i uruchom monitoring.
5. Utrwal i ćwicz: spisz politykę, przeszkol pracowników i zarząd, przećwicz proces obsługi incydentu i zbieraj dowody na audyt.

Najczęstsze pytania o NIS2

Kiedy NIS2 zacznie obowiązywać w Polsce?

Dyrektywa europejska obowiązuje już od stycznia 2023 roku i miała zostać przeniesiona do prawa krajowego do października 2024. Polska robi to przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Od chwili jej wejścia w życie obowiązki obowiązują bezpośrednio; nie zapowiedziano okresu przejściowego.

Czy mój zakład produkcyjny podlega NIS2?

Produkcja została wskazana jako sektor ważny, w tym producenci żywności, chemii, wyrobów medycznych, elektroniki, maszyn i pojazdów. Reguła kciuka: od pięćdziesięciu pracowników albo dziesięciu milionów euro rocznego obrotu podlegasz dyrektywie. Mniejsi poddostawcy dostają te wymagania zwykle przez swoich klientów.

Jakie są kary według NIS2?

Podmioty kluczowe ryzykują kary do dziesięciu milionów euro albo dwóch procent światowego rocznego obrotu, podmioty ważne do siedmiu milionów euro albo 1,4 procent. Poza tym zarząd może przy zaniedbaniu odpowiadać osobiście.

Czym różni się NIS1 od NIS2?

NIS2 obejmuje znacznie więcej sektorów, w tym produkcję, stawia ostrzejsze wymagania co do zabezpieczeń i zgłaszania, mocno podnosi kary i wprost przypisuje odpowiedzialność zarządowi.

Czy OT też liczy się do NIS2?

Tak. Sieci i systemy informatyczne obejmują także systemy sterowania na hali: sterowniki, panele operatorskie, sieci przemysłowe i zdalny dostęp dostawców. Analiza ryzyka patrząca wyłącznie na IT biurowe nie jest dla zakładu produkcyjnego kompletna.

Podsumowanie: zacznij od wiedzy, reszta pójdzie za nią

NIS2 wielu zakładom wydaje się biurokratycznym obowiązkiem, ale jego sedno jest bardzo praktyczne: wiedz, co pracuje w twoim zakładzie, chroń to odpowiednio do ryzyka i pokaż, że masz to pod kontrolą. Aktualny obraz zasobów OT jest do tego pierwszym i najważniejszym krokiem, a przy okazji daje od razu fundament pod dalszą cyfryzację.

Meshnex pomaga zakładom produkcyjnym zmapować OT i bezpiecznie połączyć je z IT, od inwentaryzacji zasobów po segmentację sieci i monitoring. Ciekawi cię, gdzie stoi twój zakład? Skontaktuj się z nami albo przeczytaj więcej o naszym podejściu.