Artėja TIS2 direktyvos terminai: ką iki pavasario turi padaryti verslas?

Nacionalinis kibernetinio saugumo centras (NKSC) į Kibernetinio saugumo subjektų registrą dar pernai įtraukė apie 1,5 tūkst. organizacijų, kurioms aktualūs Tinklų ir informacinių sistemų saugumo direktyvos (TIS2) pokyčiai. Artėjant pirmajam direktyvos įgyvendinimo terminui, Aurimas Žlibinas, „Telia“ verslo klientų vadovas, pabrėžia, kad šis procesas – tai ne tik teisinė prievolė, o pirmiausia galimybė sustiprinti savo verslo tęstinumą.

Dar 2025 m. pavasarį NKSC sudarė naująjį Kibernetinio saugumo subjektų registrą, į kurį buvo įtrauktos 1443 organizacijos iš ypatingos svarbos ir kitų itin svarbių sektorių. Šios įmonės jau turėjo gauti oficialius pranešimus apie tai, kad joms taikomi atnaujinto Kibernetinio saugumo įstatymo ir TIS2 direktyvos reikalavimai.

Pagal TIS2 direktyvos įgyvendinimo planą, per pirmus metus nuo pranešimo gavimo organizacijos turi įsivertinti atitiktį: atlikti rizikų analizę, pasirengti dokumentaciją, paskirti atsakingus asmenis, apmokyti darbuotojus. Per antruosius metus pereinama prie techninių priemonių diegimo ir nuolatinio atitikties užtikrinimo.

A. Žlibino teigimu, TIS2 direktyvą vertėtų suprasti ne tik kaip teisinę prievolę, bet ir kaip pagalbą verslui susidėlioti procesus taip, kad būtų pasiruošęs bet kokiems iššūkiams. TIS2 reikalavimai apima ne tik pačias organizacijas, bet ir jų tiekimo grandines, todėl net ir nedidelis partneris yra svarbi visos valstybės atsparumo dalis.

TIS2 direktyva siekiama užtikrinti, kad esminės paslaugos ir verslo procesai veiktų net ir įvykus rimtiems incidentams. Todėl saugumas čia tampa ne IT komandos užduotimi, o aukščiausio lygio vadovų atsakomybe. Vadovai privalo ne tik patvirtinti rizikų valdymo priemones, bet ir užtikrinti, kad jos realiai veiktų, būtų testuojamos ir nuolat atnaujinamos.

A. Žlibino teigimu, ES direktyvos veikia kaip gairės, o praktinius reikalavimus Lietuvoje labai aiškiai apibrėžia Kibernetinio saugumo įstatymas ir Kibernetinio saugumo reikalavimų aprašas (KSRA). Įmonės turi turėti dokumentuotą saugumo politiką, veiklos tęstinumo planą, incidentų valdymo procesus, aiškiai paskirstytas atsakomybes, taip pat užtikrinti darbuotojų pasirengimą. Tai reiškia, kad audituojamas bus ne tik techninis lygis, bet ir tai, ar organizacija žino, kaip elgtis krizės metu.

Aurimo Žlibino teigimu, įmonės, kurioms taikomi TIS2 reikalavimai, ar kurios yra tokių įmonių tiekimo grandinėje, pirmiausia turėtų sistemingai įsivertinti savo tinklo architektūrą ir kritines sistemas, identifikuoti pažeidžiamumus, atlikti rizikų vertinimą bei numatyti tų rizikų suvaldymo priemones (technines ir organizacines), terminus ir paskirti atsakingus asmenis – rizikų savininkus.

Antrieji metai skirti identifikuotų rizikų valdymo priemonių įgyvendinimui. KSRA pakankamai konkrečiai nurodo būtinąsias technines priemones, tarp kurių: nepertraukiamas interneto ryšys, apsauga nuo DDoS atakų, dubliuoti pagrindiniai tinklo mazgai (pavyzdžiui, ugniasienės), įsibrovimo aptikimo sistemos, kelių veiksnių autentifikacija, atsarginių kopijų sprendimai, pažeidžiamumų skenavimas bent du kartus per metus bei žurnalinių įrašų kaupimo, stebėsenos ir reagavimo sprendimai, pavyzdžiui, per saugumo operacijų centrą (SOC).