NIS 2, REC и DORA: во Франции заканчивается отсрочка по кибернормам

Почти два года перенос директив NIS 2 и REC во французское право и внедрение регламента DORA считались чисто техническим вопросом. Законопроект сначала анонсировали, потом откладывали, а европейский срок сдвигался из месяца в месяц, превратив тему в дело для посвящённых. Теперь период отсрочки подходит к концу.

На слушаниях в специальной комиссии Национального собрания министр цифровых технологий Анн Ле Энанф заявила, что угроза не стала ждать законодателя. В последние месяцы атакам подверглись ключевые ведомства, включая ANTS и DGFIP. Риск касается уже не только операторов жизненно важной инфраструктуры, а любой организации, чья работа зависит от цифровых систем, от сельской коммуны до международной группы.

Довод об отсутствии закона больше не работает

Многие объясняли бездействие отсутствием окончательной законодательной базы. Сейчас этот аргумент неактуален: принципы NIS 2, REC и DORA известны годами, европейские тексты опубликованы, основные обязанности определены. Агентство ANSSI предоставило значительную часть методик для подготовки. Не хватало, как правило, готовности принимать трудные решения.

Подготовка к NIS 2 или REC не сводится к заполнению форм. Нужно пересматривать управление, методы анализа рисков, средства обнаружения, планы непрерывности, организацию кризисного реагирования и контроль подрядчиков.

Кибербезопасность переходит в зону ответственности руководства

Новые нормы делают кибербезопасность вопросом корпоративного управления: она встаёт рядом с финансами, комплаенсом и кадрами среди прямых обязанностей руководителей. Важно не то, что записано на бумаге, а то, что работает в реальных условиях. Организации должны доказать, что умеют выявлять и контролировать риски, обнаруживать и заявлять об инцидентах и быстро восстанавливать работу. Устойчивость требует времени, методологии, инструментов, документации и регулярных учений.

На переднем крае оказываются муниципалитеты и госорганы. Их опасения, звучавшие в парламентских дебатах, обоснованны: ресурсов мало, специалистов не хватает. Но они хранят чувствительные данные, оказывают базовые услуги и порой становятся слабым звеном более широкой экосистемы. Поэтому ЕС заметно расширил круг охваченных организаций.

Карты рисков, аудиты, аттестации, подтверждающие документы и уведомления об инцидентах создают огромный объём работы, с которым ручное управление не справляется. Так было и с GDPR: таблицы уступили место платформам управления соответствием. Многим ведомствам также нужно соблюдать декрет 2022-513 об аттестации безопасности.