Киберсигурност на мрежите и информационните системи

ОСНОВНИ АСПЕКТИ

Киберсигурността се отнася до дейностите, необходими за защита на мрежите и информационните системи, потребителите на такива системи и други лица, засегнати от киберзаплахи.

Критични сектори

Директивата се прилага главно за средни и големи субекти, които извършват дейност в следните сектори с висока степен на критичност, както са определени в приложение I:

• енергетика:
  • електроенергия, включително производствени, разпределителни и преносни системи и зарядни точки;
  • районно отопление и охлаждане;
  • нефт, включително тръбопроводи за производство, съхранение и пренос;
  • газ, включително системи за доставка, разпределение и пренос и съхранение; и
  • водород;
• транспорт: въздушен, железопътен, воден и автомобилен транспорт;
• банкови инфраструктури и инфраструктури на финансови пазари, като кредитни институции, оператори на места за търговия и централни контрагенти;
• здравеопазване, включително доставчици на здравни услуги, производители на основни фармацевтични продукти и медицински изделия от критично значение и референтни лаборатории на ЕС;
• питейна вода;
• oтпадъчни води;
• цифрова инфраструктура, включително доставчици на услуги за центрове за данни, изчислителни услуги в облак, обществени електронни съобщителни мрежи и обществено достъпни електронни съобщителни услуги;
• управление на услуги в областта на ИКТ (услуги между предприятия);
• космос;
• публичната администрация на централно и регионално ниво, с изключение на съдебната система, парламентите и централните банки, въпреки че директивата не се прилага за субекти на публичната администрация, които извършват дейности в областта на националната сигурност, обществената сигурност, отбраната или правоприлагането.

Прилага се и за други критични сектори, както са определени в приложение II:

• пощенски и куриерски услуги;
• управление на отпадъците;
• производство, изготвяне и дистрибуция на химикали;
• производство, преработка и дистрибуция на храни;
• производство, по-специално на медицински изделия, компютърни, електронни и оптични продукти, някои видове електрически съоръжения и машини, моторни превозни средства и друго транспортно оборудване;
• доставчици на цифрови услуги: доставчици на онлайн места за търговия, търсачки и социални мрежи; и
• научноизследователски организации.

Национална стратегия за киберсигурност

Всяка държава членка трябва да приеме национална стратегия за постигане и поддържане на високо ниво на киберсигурност в критичните сектори, включително:

• рамка за управление, изясняваща ролите и отговорностите на съответните заинтересовани страни на национално равнище;
• политики, насочени към сигурността на веригите на доставки;
• политики за управление на уязвимостите;
• политики за насърчаване и развитие на образованието и обучението в областта на киберсигурността; и
• мерки за подобряване на осведомеността относно киберсигурността сред гражданите.

Държавите членки трябва да изготвят списък на основните и важни субекти, както и на субектите, предоставящи услуги за регистрация на имена на домейни, до 17 април 2025 г. Те трябва да преглеждат и, когато е уместно, да актуализират този списък редовно и най-малко на всеки две години след това. Европейската комисия прие насоки относно информацията, която трябва да бъде събрана при изготвянето на тези списъци, заедно с образец за това.

Комисията също така издаде насоки, изясняващи правилата относно връзката между Директива (ЕС) 2022/2555 и настоящите и бъдещите секторни правни актове на ЕС, насочени към мерките за управление на риска за киберсигурността или изискванията за докладване на инциденти. Допълнението към насоките съдържа неизчерпателен списък на специфичните за сектора правни актове, които Комисията счита, че попадат в обхвата на член 4 от Директива (ЕС) 2022/2555.

Екипи за реагиране при инциденти с компютърната сигурност

Екипите за реагиране при инциденти с компютърната сигурност (ЕРИКС) предоставят техническа помощ на субектите, включително чрез:

• наблюдение и анализ на киберзаплахите, уязвимостите и инцидентите на национално равнище;
• подаване на ранни предупреждения, сигнали за тревога, съобщения и информация до засегнатите субекти и други заинтересовани страни относно киберзаплахи, уязвимости и инциденти, ако е възможно в почти реално време;
• реагиране при инциденти и предоставяне на помощ, когато е приложимо;
• събиране и анализиране на криминалистични данни и осигуряване на динамичен анализ на рисковете и инцидентите и ситуационна осведоменост за киберсигурността; и
• предоставяне при поискване на проактивно сканиране на мрежовите и информационните системи с цел откриване на уязвимости с потенциално значително въздействие.

Мрежа на ЕРИКС

С директивата се създава мрежа от национални ЕРИКС с цел насърчаване на бързото и ефективно оперативно сътрудничество.

Координирано оповестяване на уязвимости

Държавите членки трябва:

• да определят един от своите ЕРИКС, който да координира оповестяването на уязвимости, открити при ИКТ продукти или услуги; и
• да гарантират, че физическите лица в държавите членки могат да докладват за уязвимости анонимно, ако това бъде поискано.

Агенцията на Европейския съюз за киберсигурност (ENISA) ще разработи и поддържа база данни за уязвимостите.

Група за сътрудничество

С директивата се създава група за сътрудничество, която да подпомага и улеснява стратегическото сътрудничество и обмена на информация. Тя се състои от представители на държавите членки, Комисия и ENISA. Когато е целесъобразно, групата за сътрудничество може да покани Европейския парламент и представители на съответните заинтересовани страни да участват в нейната работа.

Европейска мрежа за връзка на организациите при киберкризи

Европейската мрежа за връзка на организациите при киберкризи (EU-CyCLONe) включва представители на органите за управление на киберкризи на държавите членки, както и на Комисията, в случаите, когато потенциален или текущ широкомащабен инцидент, свързан с киберсигурността, има или е вероятно да окаже значително въздействие върху секторите, обхванати от директивата. В други случаи Комисията ще участва в дейностите на мрежата като наблюдател.

Мрежата подкрепя координираното управление на широкомащабни инциденти и кризи в областта на киберсигурността на оперативно равнище и осигурява редовен обмен на информация между държавите членки и институциите, органите, службите и агенциите на ЕС.

Наред с другото, мрежата има следните задачи:

• координиране на управлението на широкомащабни инциденти и кризи в областта на киберсигурността и подпомагане на вземането на решения на политическо равнище;
• повишаване на готовността;
• развитие на споделена ситуационна осведоменост; и
• оценка на последиците и въздействието от широкомащабни инциденти и кризи в областта на киберсигурността и предлагане на възможни мерки за смекчаване на последиците.

Mерки за управление на рисковете за киберсигурността

Субектите трябва да предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на риска за киберсигурността. Каталогът от мерки включва, наред с другото, политики за анализ на риска и сигурността на информационната система, управление на инциденти, непрекъснатост на стопанската дейност, възстановяване при бедствия и управление на кризи, сигурност на веригата за доставки, обработка и разкриване на уязвимости, основни хигиенни практики, политики и процедури по отношение на използването на криптография (и криптиране, когато е целесъобразно), сигурност на човешките ресурси и използване на многофакторни решения за удостоверяване на автентичността или непрекъснато удостоверяване на автентичността. Тези мерки трябва да се основават на подход, обхващащ всички опасности.

Управителните органи трябва да одобрят тези мерки и да контролират тяхното прилагане и могат да бъдат подведени под отговорност за нарушения.

Докладване

Субектите трябва да уведомят своя ЕРИКС или съответния орган за всеки инцидент, който:

• е причинил или е в състояние да причини сериозни оперативни смущения или финансови загуби за субекта;
• е засегнал или може да засегне други хора, като е причинил значителни материални или нематериални щети.

Освен това ENISA ще изготви, заедно с Комисията и групата за сътрудничество, двугодишен доклад относно състоянието на киберсигурността в ЕС, който също ще бъде представен на Парламента.

Надзор и изпълнение

Директивата предвижда средства за правна защита и санкции, за да се гарантира изпълнението.

Партньорски проверки

Партньорските проверки са въведени с цел да се извлекат поуки от споделения опит, да се укрепва взаимното доверие, да се постигне високо общо равнище на киберсигурност и да се подобрят способностите и политиките на държавите членки в областта на киберсигурността, необходими за прилагането на настоящата директива. Тези проверки включват физически или виртуални посещения на място и дистанционен обмен на информация. Участието в тези партньорски проверки е доброволно.

Акт за изпълнение

С Регламент за изпълнение (ЕС) 2024/2690 се определят правила за прилагане на Директива (ЕС) 2022/2555 по отношение на техническите и методологичните изисквания на мерките за управление на риска за киберсигурността и допълнително се уточняват случаите, в които даден инцидент се счита за значителен по отношение на:

• доставчици на системни услуги за имена на домейни,
• регистри на имена на домейни от първо ниво,
• доставчиците на компютърни услуги „в облак“,
• доставчиците на услуги на центрове за данни;
• доставчиците на мрежи за доставяне на съдържание;
• доставчиците на управлявани услуги;
• доставчиците на управлявани услуги за сигурност;
• доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи; и
• доставчиците на удостоверителни услуги.

Отмяна

Директива (ЕС) 2022/2555 отменя Директива (ЕС) 2016/1148 (вж. резюмето), считано от 18 октомври 2024 г., а Регламент за изпълнение (ЕС) 2024/2690 отменя Регламент за изпълнение (ЕС) 2018/151, който определя правилата за прилагане на Директива (ЕС) 2016/1148.