Защо управителят вече не може да остави киберсигурността само на ИТ отдела
NIS-2 вече не е само техническа функция, възложена на ИТ отдела, а въпрос на корпоративно управление, контрол и лична отговорност на ръководството. Член 20 от Директива 2022/2555 (NIS-2) изисква държавите членки да гарантират, че управителните органи на съществените субекти одобряват мерките за управление на киберриска, наблюдават тяхното прилагане и могат да бъдат държани отговорни при нарушения. С други думи – киберсигурността вече е отговорност на ръководството, което трябва да одобрява мерките за управление на риска, да следи за тяхното изпълнение, да преминава и осигурява обучение и да документира взетите решения.
Какво реално се очаква от ръководителите?
Съществената промяна не е, че управителите трябва лично да отговарят за защитата, тестовете и настройването на системите. Промяната е свързана с това, че те вече трябва да могат да докажат, че са осигурили необходимата управленска рамка: ясни роли, бюджет, контрол и други. В България това е развито чрез Закона за киберсигурност.
Четири практически измерения на управленската отговорност
Първото задължение е одобряване на мерките за управление на киберриска. Това означава, че ръководството трябва да приеме политика за киберсигурност, анализ на риска, план за реакция, контрол върху достъпа и други мерки.
Втората отговорност е надзор върху изпълнението. Тук се включва проследяване дали мерките са приложени, дали работят и дали се актуализират. Ако се спазва добрата практика, то тя изисква: периодични доклади, вътрешни проверки, анализи на пропуските и планове за отстраняване им.
Третото задължение е обучение на ръководството. Директивата изисква членовете на управителните органи да преминават нужното обучение. В България това задължение е конкретизирано чрез изискване за тестване на всеки две години.
Четвъртото задължение е доказуемост. При спор с регулатор, след инцидент или при проверка не е достатъчно да се твърди, че „киберсигурността е била важна“. Ще трябва да се представят протоколи, решения, сертификати, регистри, доклади, планове за реакция и други.
Личната отговорност: глоба, забрана за управление и репутационен риск
Най-силният практически ефект на NIS-2 е пренасянето и споделянето на риска от корпоративно към лично управленско ниво, т. е. членовете на управителните органи да бъдат държани отговорни за нарушения на задълженията по управление на риска, включително да се стигне и до временна забрана за упражняване на управленски функции при определени условия.
Българския закон за киберсигурност предвижда и персонална глоба от 500 до 5 000 евро за нарушение. Съществува и възможност за временна забрана за заемане на управленска позиция до доказване на съответствие при съществени субекти. На корпоративно ниво санкциите могат да достигнат до 10 млн. евро или 2% от глобалния годишен оборот за съществени субекти и до 7 млн. евро или 1.4% от оборота за важни субекти.
Тази отговорност има и силно репутационно измерение, което може да отблъсне клиенти, доставчици, банки, застрахователи и потенциални инвеститори, ако се констатират нарушения или забавяния.
Инцидентите като тест за реалното управление
Киберинцидентът е моментът, в който формалната политика се сблъсква с реалността. Ранното предупреждение трябва да бъде подадено в рамките на 24 часа, последващият първоначален доклад – в рамките на 72 часа, а окончателният доклад – в рамките на един месец. Отговорността на ръководството тук се проявява в няколко посоки. Нужно е да има верига – кой уведомява кого, кога се включва юридическият екип, кой комуникира със Секторния екип за реагиране при инциденти в компютърната сигурност, кой одобрява външни съобщения и кой взема решения за оперативно ограничаване на щетите. Второ, трябва да има предварително подготвени шаблони, роли и комуникация. Трето, да е налице доказателствен дневник на действията.
Какво трябва да направи ръководството още сега?
Първата стъпка е оценка на приложимостта – дали дружеството попада в обхвата на NIS-2 и Закона за киберсигурност като съществен или важен субект. С последните изменения обхватът е разширен от 8 на 18 сектора и съществените задължения се прилагат от ден първи.
Втората стъпка е въвеждане на киберсигурността в дневния ред на управителния орган – определяне на отговорности, доклади, одобряване на мерки за риск, бюджетиране и възлагане на конкретни действия. Препоръчва се ръководството да документира, че е одобрило мерките за управление на киберриска.
Третата стъпка е обучение. Какви са задълженията, как се оценяват рисковете, какви са сроковете за докладване, какво не трябва да се прави при инцидент.
Четвъртата стъпка е цялостното документиране на: управленските решения, обученията, анализите на риска, тестовете на процедурите за реакция при инциденти, шаблоните за уведомяване, оценките на доставчиците и предприетите коригиращи действия.
Доброто управление е най-добрата защита
NIS-2 изисква разумно, пропорционално, документирано и активно управление на риска. Ръководителите могат да изградят силна защитна позиция, ако покажат, че са разбрали приложимия риск, одобрили са адекватни мерки, осигурили са ресурси, проследили са изпълнението и са реагирали своевременно при установени пропуски. В този смисъл отговорността на ръководителите по NIS-2 не трябва да се възприема само като санкционна заплаха. Тя е възможност за въвеждане на по-зряло корпоративно управление при инциденти и по-високо доверие.
Адвокат Олег Темников и адвокат Никола Найденов – Wolf Theiss
При подготовката на статията са използвани инструменти с изкуствен интелект основно за подпомагане на проучването и първоначалната работа по текста. Окончателният вариант е съществено изменен, прегледан, проверен, редактиран и допълнен от двамата автори.
