Každodenní útoky na společnosti demonstrují potřebu efektivní strategie kybernetické bezpečnosti. Směrnicí NIS2 EU vyžaduje, aby společnosti v kritických průmyslových odvětvích přijaly účinná bezpečnostní opatření, proto bude nově kybernetická bezpečnost pro mnoho společností povinná.
Na podzim 2024 má vstoupit v platnost směrnice Evropské unie NIS2 (směrnice o bezpečnosti sítí a informací 2). Definuje společnosti, které patří do kritické infrastruktury a pro které platí obzvláště vysoké standardy kybernetické bezpečnosti.
Jedná se o poměrně složité vymezení dotčených společností, které zahrnuje mimo jiné rozlišení mezi zásadními a důležitými společnostmi a také společnostmi s kritickými systémy. Směrnice definuje přesnou příslušnost k oboru ve dvou přílohách. Obzvláště důležité jsou společnosti v odvětví energetiky, veřejných služeb, dopravy, bankovnictví a financí, zdravotnictví a digitálních služeb.
Obecně platí, že společnosti a orgány veřejné správy mají povinnost přijmout vhodná technická a organizační opatření pro kybernetickou bezpečnost v souladu se současným stavem techniky. Společnosti proto musí svá bezpečnostní opatření pravidelně revidovat a přizpůsobovat je požadavkům.
Cadillac mění svůj plán stát se do roku 2030 plně elektrickou značkou
Ústředním bodem směrnice NIS2 je oznamovací povinnost: zákon vyžaduje, aby společnosti hlásily závažné incidenty vnitrostátním orgánům do 72 hodin. To jim umožňuje rychle reagovat na hrozby a udržet jejich dopad na co nejnižší úrovni.
Evropská komise definuje významný incident jako cokoli, co vážně ovlivňuje provoz nebo používání IT systému a vede k významným materiálním nebo nehmotným škodám. Implementace směrnice NIS2 vyžaduje pečlivé plánování dotčených společností. Odpovědnost za to ponese vedení firem.
Mezi základní opatření patří zavedení incident managementu, který se zabývá prevencí, detekcí a řízením bezpečnostních incidentů. Všechny systémy by měly být chráněny správou identity a přístupu, která zahrnuje použití vícefaktorové autentizace a bezpečného jednotného přihlašování. Komunikace probíhá pomocí transportního šifrování.
Základním prvkem pro společnosti s kritickou infrastrukturou je řízení kontinuity provozu , které zajišťuje nejen zálohování a obnovu po havárii , ale také opatření pro krizové řízení. Pokud dojde k vážnému bezpečnostnímu incidentu , musí být zaveden nouzový plán, který zabrání ztrátě dat. Patří sem také příprava nouzové komunikace, například zabezpečené systémy, které jsou oddělené od zbytku infrastruktury a fungují i v případě vážného kybernetického útoku.
