Dyrektywa NIS2 podnosi wymagania dotyczące cyberbezpieczeństwa i zwiększa odpowiedzialność kierownictwa za nadzór nad zarządzaniem ryzykiem. Pokazujemy, jak bezpieczne środowisko Microsoft 365 wspiera realizację jej wymagań. Budujemy. Rozwijamy. Chronimy.
Dyrektywa NIS2 to unijne przepisy podnoszące wymagania w zakresie cyberbezpieczeństwa i rozszerzające krąg objętych nimi organizacji. Kładzie nacisk na zarządzanie ryzykiem, odpowiednie zabezpieczenia techniczne i organizacyjne oraz na zgłaszanie incydentów. Istotną zmianą jest przeniesienie odpowiedzialności za cyberbezpieczeństwo na poziom kierownictwa organizacji.
Dla wielu firm oznacza to konieczność uporządkowania podejścia do bezpieczeństwa - w tym środowiska Microsoft 365, w którym pracują użytkownicy i przechowywane są dane. Bezpieczne, właściwie skonfigurowane środowisko M365 jest istotnym elementem realizacji wymagań NIS2, choć samo w sobie nie przesądza o zgodności.
NIS2 wymaga podejścia opartego na zarządzaniu ryzykiem: identyfikacji zagrożeń, wdrożenia adekwatnych zabezpieczeń i stałego nadzoru. Takie podejście stosujemy również w programie Security Masters - cyberbezpieczeństwo traktujemy jako ryzyko biznesowe, a nie wyłącznie problem działu IT.
NIS2 wyraźnie angażuje kierownictwo organizacji w zarządzanie cyberbezpieczeństwem. Organy zarządzające mają zatwierdzać środki zarządzania ryzykiem i nadzorować ich wdrażanie. To oznacza, że zarząd potrzebuje nie tylko zabezpieczeń, ale też widoczności i dowodów, że środowisko jest odpowiednio chronione i nadzorowane - raportów, audytów oraz uporządkowanej dokumentacji. To one w praktyce pozwalają wykazać, że organizacja realnie zarządza ryzykiem, a nie tylko deklaruje bezpieczeństwo.
Uwierzytelnianie wieloskładnikowe, dostęp warunkowy oraz ochrona kont uprzywilejowanych w Microsoft Entra ID ograniczają ryzyko nieautoryzowanego dostępu do danych.
Polityki bezpieczeństwa urządzeń w Microsoft Intune oraz ochrona informacji i DLP w Microsoft Purview zabezpieczają dane niezależnie od miejsca pracy użytkownika.
Microsoft Defender oraz stały monitoring SM SOC wspierają szybkie wykrywanie i analizę zdarzeń bezpieczeństwa. Pozwala to wcześniej rozpocząć reakcję i zebrać informacje potrzebne do oceny, czy incydent podlega obowiązkowi zgłoszenia.
Miesięczne raporty oraz audyt według CIS Microsoft 365 Benchmark dokumentują stan bezpieczeństwa środowiska, wykryte nieprawidłowości i podejmowane działania.
Zgodność z NIS2 zależy również od procesów, dokumentacji i sposobu zarządzania bezpieczeństwem w organizacji. Wspieramy ją technologicznie i organizacyjnie w obszarze Microsoft 365, ale nie zastępujemy obowiązków przedsiębiorstwa ani porady prawnej. Naszą rolą jest zbudowanie i utrzymanie środowiska Microsoft 365, które wspiera realizację tych obowiązków od strony technologicznej.
Audyt środowiska i identyfikacja luk wobec dobrych praktyk bezpieczeństwa.
Wdrożenie mechanizmów ochrony Microsoft 365 w oparciu o model Zero Trust i rekomendacje CIS Benchmark.
Stały monitoring oraz raportowanie zapewniające widoczność stanu bezpieczeństwa i podejmowanych działań.
Podmioty spełniające kryteria uznania za kluczowe lub ważne, określone w przepisach wdrażających NIS2. Zakres zależy m.in. od rodzaju działalności, sektora oraz wielkości organizacji.
NIS2 obejmuje również bezpieczeństwo łańcucha dostaw. W praktyce oznacza to, że podmioty objęte regulacją mogą stawiać swoim dostawcom i partnerom dodatkowe wymagania dotyczące cyberbezpieczeństwa, nawet jeśli sami dostawcy nie podlegają bezpośrednio przepisom NIS2.
Wszystko, co warto wiedzieć o NIS2.
Nie automatycznie. Właściwie skonfigurowane środowisko Microsoft 365 wspiera realizację wielu wymagań technicznych i organizacyjnych, ale zgodność zależy również od procesów w organizacji.
Dyrektywa obejmuje szerszy krąg podmiotów niż wcześniejsze przepisy. O tym, czy dotyczy konkretnej organizacji, przesądza jej sektor i skala - warto to potwierdzić z doradcą.
Organy zarządzające podmiotów objętych NIS2 mają zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorować ich wdrażanie. NIS2 przewiduje również obowiązek szkoleń członków organów zarządzających.
Od audytu środowiska Microsoft 365 według CIS Benchmark i planu naprawczego, który uporządkuje bezpieczeństwo i wskaże priorytety działań.
