DORA og NIS2: Hvað er í gangi? Og af hverju skiptir þetta máli?

Sérfræðingar í samstarfi við Hoobla styðja við netöryggi og úttektir fyrirtækja og stofnana með tilliti til DORA og NIS2

DORA og NIS2: Nýr veruleiki kallar á nýjar lausnir!

Nýjar reglugerðir á borð við DORA og NIS2 eru að breyta leiknum í netöryggismálum fyrirtækja. Þetta eru ekki bara reglugerðir sem snúa að bönkum og gagnaverum, heldur þurfa öll fyrirtæki og stofnanir sem veita stafræna þjónustu eða gegna mikilvægu hlutverki í samfélaginu að huga að þessum reglugerðum.

Það sem áður þótti nægilegt að gera, t.d. vera með öruggan hýsingaraðila, vera með vírusvarnir og eldveggi er ekki nóg lengur.

Nú þurfa fyrirtæki að sýna fram á virkt eftirlit, þurfa að geta brugðist við netárásum, og hafa skýrar viðbragðsáætlanir sem standast alþjóðlega staðla eins og ISO27001 og NIST.

Fyrirtæki þurfa að sýna fram á viðbúnað og rekjanleika. Þetta er orðin krafa, ekki val.
En ekki hlaupa bara af stað og gera bara eitthvað!

Af hverju þetta skiptir máli

Áhættan er raunveruleg. Við höfum öll séð fréttir af netárásum sem stöðva heilu fyrirtækin eða valda langvarandi orðsporsskaða.
Fyrirtæki sem bregðast of seint við geta átt á hættu að standa frammi fyrir:

• Sektum.
• Tímabundinni rekstrarstöðvun.
• Tap á trúverðugleika.
• Mögulegri skaðabótaskyldu.

Lausnin: Fáðu sérfræðinga í gegnum Hoobla

Í stað þess að reyna að gera þetta allt sjálf, getið þið fengið inn sérfræðinga strax í gegnum Hoobla annað hvort tímabundið eða í lágt starfshlutfall.

Þeir koma að:

• Úttektum og undirbúningi fyrir DORA og NIS2.
• Tæknilegu netöryggi (t.d. penetration testing, SOC uppsetning, skýjaöryggi).
• Lagalegri ráðgjöf: ábyrgð, skjölun, samningum.
• Viðbragðs- og áhættustýringu skv. ISO27001, NIST og öðrum stöðlum.

Hvort sem fyrirtækið þitt þarf sérfræðinga að láni, í tímabundið verkefni eða í lágt starfshlutfall þá er Hoobla með réttu lausnina.

Þetta er ekki bara fyrir „stóru aðilana“

Litlar og meðalstórar stofnanir og fyrirtæki þurfa líka að uppfylla kröfurnar. Og við vitum fyrir víst að það er dýrara að bregðast við of seint en að undirbúa sig í tíma. Þú tryggir ekki eftirá!

Með sveigjanlegri þjónustu Hoobla færð þú aðgang að þeim sérfræðingum sem hentar þér, án langtíma skuldbindingar. Hoobla er sniðin að þörfum dagsins í dag.

DORA og NIS2 - Hvaða fyrirtæki þurfa að vera með skráða ferla og verklag?

DORA (Digital Operational Resilience Act)

DORA gildir um fjármálageirann og nær til:

• Fjármálastofnana, t.d. banka, tryggingarfélaga, lífeyrissjóða.
• Fjárfestingafélaga og greiðslumiðlara.
• FinTech fyrirtækja, t.d. fyrirtæki sem vinna með greiðslulausnir, fjárhagsgögn, rafræna auðkenningu o.fl.
• Tækniaðila sem þjónusta fjármálageirann, t.d. hugbúnaðarfyrirtæki sem veita skýjaþjónustu, upplýsingatækni- eða öryggisþjónustu fyrir ofangreinda aðila.

Þessi fyrirtæki þurfa að:

• Hafa skjalfest verklag um netöryggisviðbúnað.
• Vera með formlegt áhættumat.
• Skila inn tilkynningum um öryggisatvik.
• Hafa raunhæfa viðbragðsáætlun.
• Framkvæma reglulegar úttektir og prófanir.

NIS2 (Network and Information Security Directive 2)

NIS2 nær mun víðar en DORA og hefur áhrif í íslensku atvinnulífi. NIS2 tekur til fyrirtækja sem veita „mikilvæga samfélagslega þjónustu“.

Fyrirtæki sem eru líkleg til að falla undir NIS2 eru m.a.:

• Orkufyrirtæki – rafmagn, gas, vatn.
• Fjarskiptafyrirtæki og gagnaveitur.
• Heilbrigðisstofnanir og lyfjageirinn.
• Flutnings- og samgöngufyrirtæki.
• Upplýsingatæknifyrirtæki sem þjónusta ofangreinda aðila.
• Ríkisstofnanir og sveitarfélög sem veita stafræna þjónustu.
• Fjármálafyrirtæki, en mörg þeirra falla bæði undir DORA og NIS2.
• Stærri framleiðslu- eða matvælafyrirtæki sem hafa áhrif á öryggi og heilbrigði fólks.

Ef fyrirtækið þitt uppfyllir eftirfarandi skilyrði gæti það fallið undir NIS2:

• Hefur yfir 50 starfsmenn eða yfir 10 milljónir evra í árstekjur.
• Veitir stafræna þjónustu sem er samfélagslega mikilvæg.
• Er hluti af birgðakeðju fyrir ofangreinda aðila.

Hvað þýðir þetta í raun?

Fyrirtæki og stofnanir þurfa að:

• Skilgreina öryggisáhættu.
• Skilgreina og skrá ferla (policy/process) fyrir öryggi, viðbrögð og áhættustýringu.
• Fræða starfsfólk.
• Hafa skýr samskipti við stjórnendur og stjórn.

Heimildir:

• Ísland: Reglugerð um öryggi net- og upplýsingakerfa rekstraraðila nauðsynlegrar þjónustu.
• Reglugerð Evrópuþingsins og ráðsins (ESB) 2022/2554 frá 14. desember 2022 um stafrænan rekstrarlegan viðnámsþrótt fyrir fjármálageirann og um breytingu á reglugerðum (EB) nr. 1060/2009
• Netöryggislöggjöf og innlit í NIS2
• „Who does NIS2 apply to?“ — nis2directive.eu The NIS2 Directive.
• Which Sectors Are Impacted by NIS2?- Threatscape Blog Threatscape.
• Digital Operational Resilience Act (DORA)- European Insurance and Occupational Pensions Authority (EIOPA) EIOPA.
• What is the Digital Operational Resilience Act (DORA)?“- IBM Think Blog IBM.
• DORA: In‑Scope Entities- BDO Malta: Yfirlit yfir hvaða aðilar falla undir DORA. Sjá: bdo.com.mt.
• Hvaða fyrirtæki þurfa að uppfylla skilyrði NIS2? Essential vs. important. Sjá: Advisera.

Fáðu sérfræðing í verkefnið