NIS2 pre stredné firmy: čo musí spĺňať váš softvér, kým príde kontrola

NIS2 rozšírila okruh povinných subjektov na tisíce slovenských firiem vrátane výroby potravín, logistiky, odpadov či strojárstva, spravidla od 50 zamestnancov. Pokuty môžu dosiahnuť 10 miliónov eur alebo 2 % celosvetového obratu pri základných subjektoch a 7 miliónov eur alebo 1,4 % pri dôležitých. A kontrola sa pýta aj na váš softvér.

Čo od softvéru očakáva zákon

• Riadenie prístupov: každý používateľ má vlastné konto, oprávnenia podľa rolí a záznam o tom, kto čo zmenil.
• Viacfaktorové prihlasovanie aspoň pre administrátorov.
• Šifrovanie dát pri prenose aj v úložisku.
• Zálohovanie s vyskúšanou obnovou. Nie „zálohujeme“, ale „obnovu sme vyskúšali a vieme, ako dlho trvá“.
• Hlásenie závažných incidentov do 24 hodín, čo bez monitoringu nedokážete.

Kde firmy najčastejšie padajú

Na starých interných systémoch: zdieľané heslo „skladnik123“, žiadne záznamy o zmenách, nešifrovaná databáza na serveri pod schodami. Paradoxne sa úpravy kvôli NIS2 často čiastočne zaplatia samy, lebo tie isté zmeny, ktoré vyžaduje zákon, znižujú výpadky a chybovosť. Ak je systém na úpravy príliš starý, zvážte modernizáciu po častiach.

Kto za to zodpovedá a prečo je to konateľ

NIS2 presúva zodpovednosť na štatutárov. Za neplnenie ručí vedenie, nie „ajťák“. Konateľ musí schváliť opatrenia, preukázať školenia a vedieť, kde firma stojí. Neznalosť nie je obhajoba. Preto sa kybernetická bezpečnosť presúva z rozpočtu IT do agendy vedenia. Kontrola nehľadá dokonalosť, ale dôkaz, že to vedenie riadi a má plán.

Časová os, ktorú netreba podceniť

Úprava softvéru nie je otázka týždňa. Zavedenie rolí, záznamov, viacfaktorového prihlasovania a vyskúšanej obnovy trvá mesiace, ak sa robí poriadne. Firmy, ktoré čakajú na prvú kontrolu, riešia všetko naraz, pod tlakom a draho. Kto začne dnes, rozloží náklady aj riziko a má dokumentáciu pripravenú skôr, než si ju niekto vypýta.

Rozumný postup: porovnať súčasný softvér s požiadavkami, zoradiť nedostatky podľa rizika a pripraviť plán nápravy s termínmi. Kontrola sa pýta na dokumentáciu. Majte ju skôr, ako zazvoní.