NIS2 v praxi: pohľad z výrobného priemyslu

Lucia Žvačeková z Mitsubishi Chemical Group hovorí o tom, ako NIS2 mení pohľad na kybernetickú bezpečnosť vo výrobnej firme, prečo jeden spoločný európsky checklist nestačí a čo firmy pri implementácii najčastejšie podceňujú.

Čo podľa vás NIS2 mení pre firmy a prečo je dôležitá aj mimo IT alebo právneho oddelenia?

Spoločnosť Mitsubishi Chemical Group pôsobí v oblasti chemického priemyslu. Pre nás ako skupinu podnikov v EMEA regióne predstavuje smernica NIS2 nový rámec zodpovedností v oblasti kybernetickej bezpečnosti.

Doteraz tento typ priemyslu nebol povinne regulovaný rovnakým spôsobom, keďže sme nespadali do oblasti kritickej infraštruktúry. NIS2 však núti aj manažment vo výrobnej sfére, aby začal túto tému brať vážne.

V praxi to znamená alokáciu rozpočtu, personálu, výber vhodných technických riešení, vytvorenie riadenej dokumentácie a nový prístup k riadeniu dodávateľského reťazca z pohľadu kybernetickej bezpečnosti.

Za kľúčové považujem aj to, že NIS2 zavádza osobnú zodpovednosť členov vrcholového manažmentu za nedodržiavanie opatrení na riadenie kyberneticko-bezpečnostných rizík. Pre manažérov kybernetickej bezpečnosti je to zároveň silný argument pri presviedčaní vedenia, že veci treba zlepšovať.

Prečo by firmy nemali vnímať NIS2 iba ako ďalšiu compliance povinnosť?

Kybernetická odolnosť bude mať čoraz väčší vplyv aj na reputáciu a dôveru vo firmu. Dobré meno v zmysle „táto firma zatiaľ nebola kompromitovaná“ môže byť dôležité nielen reputačne, ale aj obchodne.

Firmy, ktoré budú odolnejšie voči útokom a priemyselnej špionáži, budú podľa mňa logicky získavať viac zákazníkov a objednávok. Dlhodobo prežijú najmä tie organizácie, ktoré dokážu chrániť svoje know-how, dáta a duševné vlastníctvo.

Naša spoločnosť má stovky patentov. Pri takejto hodnote je prirodzené pýtať sa, aký majetok má pre firmu väčší strategický význam a ako ho chrániť.

Ako ste vo firme začali s implementáciou NIS2?

S prípravami sme začali už začiatkom roka 2023. Vytvorili sme projektový tím v EMEA regióne a prvým krokom bola GAP analýza, od governance až po technické riešenia.

Keďže máme v EMEA regióne viac než 20 právnych jednotiek, nasledovalo hodnotenie jednotlivých podnikov. Bolo potrebné posúdiť, či vôbec spadajú do pôsobnosti NIS2, či sú regulovaným subjektom a či bude potrebná ich registrácia na príslušnom úrade.

Toto hodnotenie bolo pomerne náročné. Niektoré krajiny, napríklad Taliansko, mali zložitejšiu metodiku a viac lokálnych odlišností.

Kto všetko musel byť do procesu zapojený?

Do procesu museli byť zapojené všetky relevantné strany. Nestačí právny tím, security alebo IT. Pri implementácii NIS2 potrebujete aj lokálne pobočky, vedenie, nákup, oddelenie rozvoja dodávateľov a risk manažéra.

Práve to je jeden z dôvodov, prečo NIS2 nemožno chápať len ako úlohu jedného oddelenia. Ide o prierezový projekt, ktorý zasahuje takmer celú organizáciu.

Ako ste si rozdelili prácu medzi centrálny tím a lokálne krajiny?

Vytvorili sme si zoznam úloh podľa požiadaviek NIS2. Lokálne prístupy sa snažíme zosúladiť pod jednotný EMEA prístup.

Prakticky to znamená, že sme zobrali najprísnejšie právne požiadavky podľa vnútroštátnej legislatívy a usmernení úradov a aplikujeme tieto štandardy naprieč regiónom.

V minulosti sme viaceré riešenia nastavovali globálne. Väčšinu procesov a technických riešení preto máme v rámci regiónu pomerne jednotne, čo nám zjednodušuje zavádzanie zmien a zmierňovanie rizík.

Zároveň sme museli absolvovať povinný externý audit v Maďarsku. Ukázalo sa to ako veľmi užitočné posúdenie aktuálneho stavu.

Čo sa ukázalo ako jednoduché na papieri, ale zložité v praxi?

Jednou z najťažších vecí bola samoidentifikácia právnych jednotiek, teda posúdenie, či konkrétny podnik predstavuje regulovaný subjekt alebo nie.

V rámci skupiny máme rôzne odvetvia výroby, zložité vlastnícke vzťahy a vnútorné prepojenia pri poskytovaní služieb. To spôsobuje, že jednoduchý checklist často nestačí.

Na papieri môže vyzerať posúdenie pôsobnosti pomerne priamočiaro. V praxi však naráža na štruktúru skupiny, lokálne legislatívne rozdiely a prevádzkové prepojenia.

Ktorá časť implementácie zabrala najviac času alebo energie?

Stále sme v procese implementácie. Najviac času a energie si zatiaľ vyžiadala analýza rizík, príprava riadenej dokumentácie a budovanie systému riadenia dodávateľov.

Práve dodávateľský reťazec je oblasť, ktorú NIS2 výrazne posúva do popredia. Firmy musia vedieť nielen to, čo majú nastavené interne, ale aj to, ako riadia bezpečnostné riziká u svojich dodávateľov.

Kedy ste zistili, že jeden spoločný európsky checklist nebude stačiť?

Po transponovaní NIS2 do maďarskej a talianskej legislatívy. Vtedy sa ukázalo, že prístup k niektorým povinnostiam môže byť v jednotlivých krajinách odlišný.

Napríklad v Maďarsku je podľa vnútroštátnej legislatívy povinný externý audit. Úrad zároveň vyšpecifikoval zoznam niekoľkých certifikovaných firiem, ktoré sú oprávnené takýto audit vykonať.

V Taliansku zase úrad požaduje informácie o dodávateľoch digitálnych služieb. Je preto potrebné sledovať nielen samotnú smernicu, ale aj miestne vyhlášky, metodiky a očakávania úradov.

V čom sa jednotlivé krajiny líšia najviac?

Najväčšie rozdiely sú v požiadavkách jednotlivých úradov a v tom, ako krajiny pristupujú k praktickej implementácii.

V Belgicku bol napríklad vytvorený CyFun model na overenie zhody s jednotlivými kontrolami. V Poľsku je zaujímavá úprava týkajúca sa vysokorizikových ICT dodávateľov.

Regulované subjekty, ktoré využívajú ICT riešenia poskytovateľov označených ako vysokorizikových, musia tieto riešenia vyradiť do siedmich rokov od zverejnenia rozhodnutia úradu. Zároveň od takéhoto dodávateľa nesmú nakupovať nové produkty ani služby a do úplného vyradenia sú povolené iba nevyhnutné opravy a údržba.

To ukazuje, že NIS2 síce vytvára spoločný európsky rámec, ale lokálna implementácia môže mať veľmi konkrétne a praktické dôsledky.

Ako koordinujete centrálny prístup s lokálnymi právnymi požiadavkami?

Máme pravidelné stretnutia v rámci projektovej skupiny. Úlohy, ktoré je potrebné vykonať, adresujeme lokálnemu vedeniu a podľa potreby aj lokálnym IT oddeleniam.

Pri takomto projekte je dôležité, aby centrálne riadenie nezostalo oddelené od lokálnej reality. Lokálne tímy musia rozumieť tomu, čo sa od nich očakáva, a centrálny tím musí rozumieť špecifikám jednotlivých krajín.

Kde vznikali najväčšie nejasnosti medzi právnym, bezpečnostným a prevádzkovým pohľadom?

Najväčšie nejasnosti vznikali pri samoidentifikácii podnikov.

Ide o moment, kde sa stretáva právna interpretácia, organizačná štruktúra, prevádzková realita a bezpečnostný pohľad. Nestačí sa pozrieť iba na právnu entitu izolovane. Treba rozumieť aj tomu, aké služby poskytuje, ako je prepojená s ďalšími subjektmi a akú rolu má v rámci celej skupiny.

Čo býva pri implementácii NIS2 najviac podcenené?

Rozpočet a potrebný personál.

Implementácia NIS2 prierezovo zahŕňa takmer všetky oddelenia, napríklad HR, IT, právne oddelenie, nákup, finance a ďalšie tímy. Preto je chybou myslieť si, že pôjde len o doplnenie dokumentácie alebo úlohu pre jeden tím.

Ak firma nemá dostatočné kapacity, implementácia sa môže rýchlo stať problémom.

Čo sa nedá vyriešiť iba dokumentáciou?

Dokumentácia je dôležitá, ale nestačí. V praxi sa musí prejaviť expertíza personálu a vhodné technické opatrenia.

Pri výrobnej firme je potrebné sústrediť sa aj na OT sektor a jeho bezpečnosť. Rovnako dôležité sú technické riešenia, ktoré musí security tím správne nastaviť a udržiavať.

NIS2 teda nie je iba o tom, že firma dokáže predložiť správne dokumenty. Musí byť schopná ukázať, že bezpečnostné opatrenia reálne fungujú.

Čo by ste dnes odporučili firmám, ktoré NIS2 zavádzajú vo viacerých krajinách?

Ak by som mala pomenovať tri odporúčania, boli by to:

Mať erudovaný personál.

Mať alokovaný rozpočet.

A ak ide o výrobné podniky alebo organizácie, ktoré začínajú takmer od základov, zvážiť pomoc externej konzultantskej firmy, ideálne takej, ktorá má pobočky v krajinách, kde sídlia regulované subjekty.

Balík činností pri implementácii NIS2 je veľký. Ak firma pôsobí vo viacerých krajinách, potrebuje kombinovať centrálny prístup s lokálnou znalosťou legislatívy a očakávaní úradov.

Záver

NIS2 nie je len ďalšia povinnosť v zozname compliance úloh. V praxi otvára otázku, ako firma riadi riziká, dodávateľov, lokálne právne požiadavky, technické opatrenia a zodpovednosť manažmentu.

Pri organizáciách pôsobiacich vo viacerých krajinách je najväčšou výzvou práve prepojenie spoločného rámca s lokálnou realitou. Jeden európsky checklist môže byť začiatok. Na samotnú implementáciu však nestačí.