Директива NIS, або Директива (ЄУ) 2016/1148 — нормативно-правовий акт Європейської Унії, який встановлював вимоги до інформаційної безпеки публічних ІТ-систем. Директива встановлювала вимоги до інформаційної безпеки для основних та цифрових послуг. Вона була частиною гармонізаційного законодавства для внутрішнього ринку. Правила стосувалися постачальників основних послуг та певних цифрових послуг. Ці постачальники можуть бути як у приватному, так і в державному секторах.
28 листопада 2022 року Європейська Унія прийняла Директиву NIS 2. Ця директива спрямована на покращення цифрової та економічної стійкості європейських держав-членів.
Зміст Послуги, що охоплюються Директивою NIS, поділялися на життєво важливі послуги та цифрові послуги. Життєво важливі послуги – це послуги, які є необхідними для підтримки критично важливої суспільної чи економічної діяльності. Вони поділяються на сім секторів:
Банківська справа Цифрова інфраструктура Енергія Інфраструктура фінансового ринку Охорона здоров'я Постачання та розподіл питної води Транспорт
Критично важливі операції – це загальний термін, який охоплює ті операції, об'єкти, вузли, інфраструктуру та послуги, що мають вирішальне значення для підтримки важливих суспільних функцій.
Вимоги безпеки Директива NIS та пов'язане з нею національне законодавство у цій галузі містять положення, які, серед іншого, регулюють вимоги до безпеки мережевих та інформаційних систем у діяльності, пов'язаній з основними послугами. Безпека систем та об'єктів, а також їхнього фізичного середовища включає такі аспекти:
Систематичне управління мережевими та інформаційними системами, що стосується картографування інформаційних систем та встановлення набору відповідних політик для управління інформаційною безпекою, включаючи аналіз ризиків, людські ресурси, операційну безпеку, архітектуру безпеки, безпечне управління життєвим циклом даних і систем та, де це можливо, шифрування та управління таким шифруванням. Фізична та екологічна безпека, що стосується наявності комплексу заходів для захисту безпеки мережевих та інформаційних систем постачальників цифрових послуг від пошкоджень з використанням ризик-орієнтованого підходу, який охоплює всі небезпеки, такі як системні збої, людський фактор, навмисні зловмисні дії або природні явища. Безпека постачання, що стосується впровадження та підтримки відповідних політик для забезпечення доступності та, де це можливо, відстеження критично важливих вхідних продуктів, що використовуються для надання послуги. Контроль доступу до мережевих та інформаційних систем, що стосується наявності набору заходів для забезпечення того, щоб фізичний та логічний доступ до мережевих та інформаційних систем, включаючи адміністративну безпеку мережевих та інформаційних систем, був дозволений та обмежений на основі бізнес-вимог та вимог безпеки.
Імплементація
Німеччина «Акт про імплементацію Директиви (ЄС) 2016/1148 Європейського парламенту та Ради від 6 липня 2016 року про заходи щодо забезпечення високого загального рівня безпеки мережевих та інформаційних систем у всій Унії» від 23 червня 2017 року.
Швеція У Швеції директиву було впроваджено у 2018 році шляхом прийняття Закону (2018:1174) про інформаційну безпеку для основних та цифрових послуг, який містить положення щодо інформаційної безпеки таких послуг.
У постанові зазначено, що Шведське агентство з надзвичайних ситуацій може, після надання органам нагляду та Національній раді охорони здоров'я та соціального забезпечення можливості висловити свої зауваження, видавати положення щодо систематичної та ризикоорієнтованої роботи з інформаційної безпеки відповідно до Закону про інформаційну безпеку критично важливих та цифрових послуг. Шведське енергетичне агентство, Шведське транспортне агентство, Шведське управління фінансового нагляду, Шведське агентство з харчових продуктів та Шведське агентство пошти та телекомунікацій можуть видавати положення щодо заходів безпеки відповідно до Закону у відповідних сферах нагляду.
Агентство цивільного захисту та готовності до надзвичайних ситуацій надаватиме консультації та підтримку органам нагляду та Національній раді охорони здоров'я та соціального забезпечення під час розробки ними нормативних актів відповідно до закону.
Див. також
NIS 2
Примітки