NIS2 dhe Zvicra: e prekur, pa qenë anëtare

Zvicra nuk është anëtare e BE-së, pra NIS2 nuk vlen këtu. Kaq është përgjigjja e thjeshtë. Në praktikë ajo është e gabuar, ose së paku e paplotë: direktiva i arrin kompanitë zvicerane përmes rrugëve të tërthorta, dhe më me siguri se ç’do të donin shumëkush.

Shkurt: NIS2 është direktiva e BE-së 2022/2555 për sigurinë e rrjeteve dhe të informacionit. Ajo i detyron kompanitë në 18 sektorë të marrin masa konkrete sigurie dhe të raportojnë incidentet. Firmat zvicerane nuk përfshihen ligjërisht, por vihen në detyrim përmes filialeve në BE, shërbimeve në hapësirën e BE-së dhe sidomos përmes kontratave të klientëve të tyre në BE.

Shkurt: çfarë është NIS2

NIS2 është direktiva e dytë e BE-së për sigurinë e rrjeteve dhe të informacionit, në fuqi që nga janari 2023; shtetet anëtare duhej ta zbatonin në ligjet kombëtare deri më 17 tetor 2024. Ajo përfshin subjekte «thelbësore» dhe «të rëndësishme» në 18 sektorë, afërsisht nga 50 punonjës ose 10 milionë euro qarkullim. Kërkohen masa të menaxhimit të rrezikut (neni 21), detyrime raportimi dhe përgjegjësi personale e organeve drejtuese: drejtoritë duhet t’i miratojnë masat, t’i mbikëqyrin dhe të trajnohen vetë.

Detyrimi i raportimit ka tri shkallë: një paralajmërim i hershëm brenda 24 orësh, raportimi i mirëfilltë brenda 72 orësh dhe një raport përfundimtar pas një muaji. Gjobat janë të ndjeshme: deri në 10 milionë euro ose 2 përqind e qarkullimit global për subjektet thelbësore, deri në 7 milionë ose 1,4 përqind për të rëndësishmet.

Kush është i prekur: 18 sektorët

Shtojca I e direktivës rendit sektorët me kritikalitet të lartë, Shtojca II sektorët «e tjerë kritikë». Së bashku:

• Kritikalitet i lartë: energjia, transporti, bankat, infrastrukturat e tregut financiar, shëndetësia, uji i pijshëm, ujërat e zeza, infrastruktura digjitale, menaxhimi i shërbimeve TIK (B2B), administrata publike, hapësira.
• Sektorët e tjerë kritikë: shërbimet postare dhe korriere, menaxhimi i mbetjeve, kimia, ushqimi, industria përpunuese (pajisje mjekësore, elektronikë, makineri, automjete), ofruesit e shërbimeve digjitale (tregje online, motorë kërkimi, rrjete sociale), kërkimi shkencor.

Për furnizuesit zviceranë grupi i dytë është më i rëndësishmi: kush prodhon komponentë për një prodhues gjerman makinerish, ofron shërbime IT për një spital austriak ose furnizon paketime për një koncern ushqimor, furnizon një subjekt NIS2, dhe i merr detyrimet e tij të përcjella me kontratë.

Dhjetë masat minimale sipas nenit 21

Direktiva nuk përshkruan produkte, por dhjetë fusha që çdo subjekt i prekur duhet t’i mbulojë «sipas gjendjes së teknikës». Pikërisht kjo listë shfaqet më vonë sërish në pyetësorët për furnizuesit:

1. Analiza e rrezikut dhe konceptet e sigurisë për sistemet e informacionit
2. Trajtimi i incidenteve të sigurisë (incident response)
3. Vazhdimësia e biznesit: backup, rikthim, menaxhim krizash
4. Siguria e zinxhirit të furnizimit, përfshirë furnizuesit direktë
5. Siguria në blerje, zhvillim dhe mirëmbajtje, me menaxhim të dobësive
6. Procedura për vlerësimin e efektivitetit të masave
7. Higjiena kibernetike dhe trajnimi i punonjësve
8. Kriptografia dhe, ku është e përshtatshme, enkriptimi
9. Siguria e personelit, kontrolli i qasjes dhe menaxhimi i aseteve
10. Autentifikimi me shumë faktorë dhe komunikimi i sigurt

Kush i krahason këto dhjetë pika me ISO 27001, gjen pothuajse gjithçka, sepse standardi është rruga më e thjeshtë për t’i përmbushur kërkesat e NIS2-së në mënyrë të dëshmueshme. Si duket kjo rrugë për një NVM zvicerane, e kam përshkruar në ISO 27001 për NVM-të zvicerane.

Tri rrugët nga NIS2 arrin në Zvicër

1. Filialet në BE. Kush operon një njësi në një shtet anëtar, bie atje nën ligjin kombëtar të zbatimit, direkt dhe pa rrugë të tërthortë. Kompania mëmë zvicerane atëherë praktikisht i jep vetë kërkesat, që filiali të jetë në rregull.

2. Shërbimet në BE. Kush ofron shërbime digjitale në hapësirën e BE-së (cloud, managed services, DNS) mund të bjerë në fushën e zbatimit pavarësisht nga selia, dhe në disa raste duhet madje të caktojë një përfaqësues në BE.

3. Zinxhiri i furnizimit. Rasti më i shpeshtë: NIS2 i detyron kompanitë e rregulluara ta menaxhojnë sigurinë e zinxhirit të tyre të furnizimit. Ata e bëjnë këtë me instrumentin që kanë: kontratat. Furnizuesit zviceranë marrin pyetësorë, të drejta auditimi dhe anekse sigurie në kontratën kuadër. Mund t’i injorosh, por parashikueshëm humbet porosi.

Direkt, gjysmë-direkt, me kontratë: në fund kërkesa mbërrin në të njëjtin inbox, te kompania zvicerane.

Çfarë pyet një pyetësor për furnizuesit

Pyetësorët që mbërrijnë që nga 2024 te furnizuesit zviceranë i ngjajnë shumë njëri-tjetrit. Blloqet tipike:

• Organizata: A ka një person përgjegjës për sigurinë e informacionit? Një politikë sigurie, e nënshkruar nga drejtoria? Një certifikim (ISO 27001, TISAX)?
• Teknika: MFA për të gjitha qasjet në distancë? Backup-e të enkriptuara, të testuara rregullisht? Afate patch-imi për dobësitë kritike? EDR në të gjitha pajisjet fundore?
• Incidentet: Sa shpejt na informoni për një incident që prek të dhënat tona? A ka një plan incident response?
• Furnizuesit tuaj: Si i kontrolloni furnizuesit tuaj dhe shërbimet cloud?

Pika e fundit është e pakëndshmja: detyrimi zbret më tej nëpër zinxhir. Kush i përgjigjet pyetësorit, së shpejti duhet ta dërgojë vetë.

Po vetë Zvicra?

Paralelisht Zvicra ka ecur përpara: Ligji i rishikuar për Sigurinë e Informacionit (ISG) është në fuqi që nga 2024, dhe që nga 1 prilli 2025 operatorët e infrastrukturave kritike duhet t’i raportojnë sulmet kibernetike brenda 24 orësh te Zyra Federale për Sigurinë Kibernetike (BACS). Kjo është më e ngushtë se NIS2, por tregon të njëjtin drejtim: siguria kibernetike po kalon nga standardi teknik në detyrim ligjor. Si zhvillohet zakonisht një sulm i tillë dhe ku mund të ndalet, e tregon Anatomia e një sulmi.

Këtu shtohet Ligji i rishikuar për Mbrojtjen e të Dhënave (nDSG), i cili që nga 1 shtatori 2023 kërkon «masa të përshtatshme teknike dhe organizative» dhe i bën të raportueshme shkeljet e sigurisë së të dhënave. Kush mund t’u përgjigjet sinqerisht pyetësorëve NIS2, i ka përmbushur zakonisht edhe kërkesat e nDSG-së, sepse masat mbivendosen në masë të madhe.

NIS2 dhe ISG në krahasim

Kush duhet t’u shërbejë të dyjave, si furnizues i një klienti në BE dhe si operator i një infrastrukture kritike në Zvicër, duhet t’i njohë dallimet:

	NIS2 (BE)	Detyrimi i raportimit ISG (CH)
Kush	18 sektorë, nga rreth 50 punonjës	Operatorët e infrastrukturave kritike
Raportimi i parë	24 orë (paralajmërim i hershëm)	24 orë te BACS
Raportimet pasuese	72 orë, raport përfundimtar pas 1 muaji	Plotësim brenda 14 ditësh
Katalogu i masave	Dhjetë fusha sipas nenit 21	Pa listë përfundimtare
Sanksionet	Deri 10 mln euro ose 2 % e qarkullimit	Gjoba për shkelje të detyrimit të raportimit

Katalogu sipas nenit 21 është pjesa më kërkuese: detyrimi zviceran i raportimit thotë se duhet raportuar, NIS2 thotë përveç kësaj çfarë duhet të kesh zbatuar më parë.

Tri keqkuptime që i dëgjoj shpesh

• «Jemi nën 50 punonjës, pra jashtë.» Pragu vlen për subjektin e rregulluar, jo për furnizuesit e tij. Një firmë me dhjetë veta që furnizon një klient NIS2, merr të njëjtin pyetësor si një koncern.
• «Ofruesi ynë i IT-së merret me këtë.» Përgjegjësia nuk mund të delegohet jashtë, vetëm zbatimi. Në pyetësor është emri juaj, jo ai i ofruesit.
• «Një certifikatë e zgjidh këtë.» ISO 27001 ndihmon shumë, por scope-i duhet të përputhet: një certifikatë për selinë në Zyrih nuk thotë asgjë për prodhimin në Poloni.

Çfarë u rekomandoj kompanive

Hapi i parë nuk kushton asgjë: sqaro nëse je i prekur. A kam filiale në BE? A ofroj shërbime në BE? A furnizoj kompani të rregulluara? Kush i përgjigjet «po» njërës prej këtyre pyetjeve, bën si hap të dytë një gap assessment, me kuptim ndaj ISO 27001, sepse masat e tij i mbulojnë kryesisht kërkesat e NIS2-së dhe njihen edhe nga klientët zviceranë. Masat dhe dëshmitë për këtë nuk kanë pse të jetojnë në Excel: CISO Assistant i sjell ISO 27001 dhe NIS2 tashmë si framework-e. Hapi i tretë është i pakëndshëm, por i sinqertë: lexoji anekset kontraktuale të sigurisë nga klientët e BE-së para se t’i nënshkruash. Dhe sa mund të kushtojë e gjithë kjo, është pyetja e radhës. Security budget check jep për dy minuta një interval për kompanitë zvicerane.

Për firmat zvicerane NIS2 nuk është burokraci e largët e BE-së. Është shablloni i asaj që klientët tash e tutje do ta kërkojnë me kontratë, dhe kush i ka bazat në rregull, u përgjigjet pyetësorëve për orë në vend të javëve.