NIS 2, REC i DORA: we Francji kończy się czas zwłoki w cyberbezpieczeństwie

Przez prawie dwa lata transpozycja dyrektyw NIS 2 i REC do prawa francuskiego oraz wdrożenie rozporządzenia DORA były traktowane jak techniczna sprawa dla wtajemniczonych. Projekt ustawy był zapowiadany, potem odkładany, a unijny termin przesuwał się z miesiąca na miesiąc. Ten okres zwłoki dobiega jednak końca.

Przesłuchiwana przez komisję specjalną Zgromadzenia Narodowego Anne Le Hénanff, minister odpowiedzialna za cyfryzację, stwierdziła, że zagrożenie nie czekało na ustawodawcę. W ostatnich miesiącach atakom podlegały kluczowe instytucje, m.in. ANTS i DGFIP. Ryzyko nie dotyczy już wyłącznie operatorów infrastruktury krytycznej, lecz każdej organizacji opartej na technologiach cyfrowych, od małej gminy po międzynarodowy koncern.

Argument braku przepisów przestaje działać

Wiele podmiotów tłumaczyło bierność brakiem ostatecznych przepisów. Teraz ten argument się nie broni: wytyczne NIS 2, REC i DORA są znane od lat, teksty unijne zostały opublikowane, a główne obowiązki wskazane. Agencja ANSSI udostępniła też znaczną część materiałów potrzebnych do przygotowań. Brakowało raczej woli podjęcia trudnych decyzji.

Przygotowanie do NIS 2 czy REC to nie wypełnienie kilku formularzy. Trzeba przemyśleć zarządzanie, analizę ryzyka, wykrywanie incydentów, plany ciągłości działania, organizację reagowania kryzysowego i kontrolę podwykonawców.

Cyberbezpieczeństwo trafia do zarządów

Nowe przepisy czynią z cyberbezpieczeństwa kwestię ładu organizacyjnego. Dołącza ono do finansów, zgodności i zasobów ludzkich wśród bezpośrednich odpowiedzialności kierownictwa. Liczy się nie to, co jest na papierze, lecz to, co działa w realnych warunkach: organizacje muszą wykazać, że potrafią rozpoznawać ryzyka, zarządzać nimi, wykrywać i zgłaszać incydenty oraz szybko przywracać działalność. Odporność wymaga czasu, metody, narzędzi, dokumentacji i regularnych ćwiczeń.

Na pierwszej linii są samorządy i podmioty publiczne. Ich obawy, mocno obecne w debacie parlamentarnej, są uzasadnione: mają ograniczone środki i brakuje im specjalistów. Jednocześnie przechowują wrażliwe dane i świadczą usługi kluczowe, a bywają najsłabszym ogniwem szerszego ekosystemu. Dlatego UE znacząco poszerzyła krąg objętych podmiotów.

Wobec mnożących się wymogów, takich jak mapy ryzyka, audyty, homologacje, dowody dokumentacyjne czy zgłaszanie incydentów, ręczne zarządzanie szybko się wyczerpuje. Podobnie było przy RODO: arkusze kalkulacyjne ustąpiły platformom zarządzania zgodnością. Wiele administracji musi też spełnić dekret 2022-513 dotyczący homologacji bezpieczeństwa, co również wymaga dokumentacji i metodyki.