ES siūlo griežtinti kibernetinį saugumą: kokių sektorių įmonėms verta peržiūrėti tiekimo grandines

Europos Komisija (EK) metų pradžioje paskelbė svarbų dokumentą – Kibernetinio saugumo aktą 2.0. Oficialus jo pavadinimas gerokai ilgesnis ir skamba taip: Pasiūlymas dėl Europos Parlamento ir Tarybos reglamento dėl ES kibernetinio saugumo agentūros (ENISA), Europos kibernetinio saugumo sertifikavimo sistemos ir informacinių ir ryšių technologijų (IRT) tiekimo grandinės saugumo, kuriuo panaikinamas Reglamentas (ES) 2019/881.

Jei Kibernetinio saugumo aktas 2.0 bus priimtas, jis reikšmingai paveiks įmones, veikiančias NIS 2 direktyvoje nurodytuose sektoriuose: energetikos, transporto, bankininkystės, finansų rinkų infrastruktūros, sveikatos priežiūros, geriamojo vandens tiekimo, nuotekų tvarkymo, skaitmeninės infrastruktūros, IRT paslaugų valdymo (verslas verslui), viešojo administravimo, pašto ir kurjerių paslaugų, atliekų tvarkymo, maisto gamybos, perdirbimo ir platinimo, gamybos (įskaitant kompiuterinių, elektroninių ir optinių gaminių gamybos) ir kt.

Šių sektorių įmonėms jau dabar verta įvertinti, kaip siūlomas reguliavimas galėtų paveikti jų veiklą, IRT tiekimo grandines ir santykius su tiekėjais, bei pradėti ruoštis naujiems reikalavimams.

Netechninė rizika – svarbi

Kibernetinio saugumo akte 2.0 daug dėmesio skiriama vadinamajai netechninei rizikai. Tai yra rizika, susijusi su trečiosios (ne ES) valstybės potencialia įtaka tiekėjui, dėl kurios gali nutekėti duomenys, sutrikti paslaugų teikimas, būti pažeisti IRT produktai.

Jeigu EK nustatytų, kad trečioji valstybė kelia rimtą, struktūrinę netechninę riziką IRT tiekimo grandinėms, pagal naują tvarką ji galėtų pripažinti tokią valstybę keliančia kibernetinio saugumo riziką. Tuomet tokioje valstybėje įsisteigę tiekėjai arba tos valstybės / jos subjektų kontroliuojami tiekėjai būtų laikomi didelės rizikos tiekėjais ir nebegalėtų dalyvauti ES finansavimo programose, viešuosiuose pirkimuose bei standartizavimo ir sertifikavimo procesuose, nurodytuose Kibernetinio saugumo akte 2.0.

Kokie dar pokyčiai laukia?

Kibernetinio saugumo akte 2.0 taip pat numatyta, kad EK galės priimti įgyvendinamuosius aktus, kuriais, siekiant užtikrinti aukštą kibernetinio saugumo, kibernetinio atsparumo ir pasitikėjimo lygį ES, tam tikroms nurodytoms ypatingos svarbos sektorių įmonėms būtų draudžiama pagrindiniuose IRT ištekliuose naudoti, diegti ar integruoti didelės rizikos tiekėjų IRT komponentus.

Žinoma, įmonėms būtų suteikiami pereinamieji laikotarpiai – paskelbus didelės rizikos tiekėjų sąrašą, būtų nustatomas ir terminas palaipsniui atsisakyti į sąrašą įtrauktų tiekėjų IRT komponentų.

Be galimų ribojimų didelės rizikos tiekėjams, Kibernetinio saugumo akte 2.0 numatoma ir kitų priemonių, skirtų IRT tiekimo grandinių rizikai mažinti. Pavyzdžiui, EK taip pat galės priimti įgyvendinamuosius aktus, kuriais tam tikroms ypatingos svarbos sektorių įmonėms būtų nustatytos viena ar kelios papildomos IRT tiekimo grandinės rizikos mažinimo priemonės.

Keletas siūlomų priemonių: tiekimo grandinės skaidrumas – įmonės turėtų kompetentingoms institucijoms teikti informaciją apie pagrindinių IRT išteklių tiekėjus; duomenų perdavimo į trečiąsias valstybes ir nuotolinio duomenų tvarkymo iš trečiųjų valstybių ribojimai; veiklos kontrolės ir tam tikrų funkcijų perdavimo tiekėjams ribojimai ir kt.

Ką tai reiškia verslui ir nuo ko pradėti jau dabar?

Kibernetinio saugumo aktas 2.0 dar nėra priimtas, todėl ir jo nuostatos bei planuojami pokyčiai gali keistis. Tačiau pokyčių kryptis, tikėtina, išliks, tad norėdami jiems geriau pasiruošti ES veikiantys verslai jau šiandien gali imtis kai kurių veiksmų pasirengti būsimiems naujiems reikalavimams.

Visų pirma, peržiūrėti savo IRT tiekimo grandines: išsiaiškinti, kur kiekvienas tiekėjas yra įsisteigęs, kas jį valdo ir ar tarp jo subtiekėjų nėra rizikingose valstybėse įsikūrusių subjektų. Be aiškaus tiekėjų žemėlapio įmonė negalės nei greitai reaguoti į naujus reikalavimus, nei įrodyti priežiūros institucijoms, kad valdo riziką.

Atlikti rizikos vertinimą – ne tik techninį, bet ir netechninį, įvertinant, ar kuris nors iš IRT išteklių tiekėjų galėtų patekti į didelės rizikos tiekėjų sąrašą, ir kokį poveikį tai turėtų įmonės veiklos tęstinumui, sutartims ir investicijoms.

Dar viena rekomendacija – persvarstyti ateities strategiją ir nusimatyti tiekėjų diversifikavimo galimybes, sutartyse įtvirtinti lanksčias išėjimo sąlygas ir taip iš anksto pasiruošti galimam poreikiui per trumpą laiką pakeisti ar pašalinti IRT komponentus.

Įmonėms, kurios jau skiria dėmesio savo tiekimo grandinių peržiūrai ir rizikų vertinimui, yra atlikusios rekomenduojamus veiksmus, Kibernetinio saugumo aktas 2.0 neturėtų tapti netikėtu iššūkiu.

Komentaro autoriai: advokatų kontoros „Ellex Valiunas“ duomenų apsaugos ir technologijų teisės ekspertė, asocijuotoji partnerė Greta Bujutė ir teisininkų asistentas Sigitas Bočkus