Dyrektywa NIS2 wprowadza dodatkowe wymagania dotyczące cyberbezpieczeństwa, które warto uwzględnić w infrastrukturze IT firmy.

Na czym polega ta usługa

Usługa obejmuje przegląd infrastruktury IT pod kątem wymagań dyrektywy NIS2 oraz wskazanie obszarów wymagających uzupełnienia.

Dla kogo ma sens

Usługa jest przydatna dla firm, których dotyczą wymagania dyrektywy NIS2 dotyczącej cyberbezpieczeństwa.

Ile to trwa

Przegląd zgodności mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Czym jest dyrektywa NIS2 i jakie stawia wyzwania przed infrastrukturą firmową

Dyrektywa NIS2 (unijna dyrektywa dotycząca środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej) zastępuje wcześniejsze regulacje i nakłada na przedsiębiorstwa obowiązek wdrożenia konkretnych środków technicznych, operacyjnych oraz organizacyjnych w celu zarządzania ryzykiem w cyberprzestrzeni. Regulacja kładzie nacisk na odporność infrastruktury teleinformatycznej, ciągłość operacyjną, bezpieczeństwo łańcucha dostaw oraz zdolność do sprawnego wykrywania, raportowania i neutralizowania incydentów bezpieczeństwa.

W praktyce technicznej wymogi te oznaczają, że przedsiębiorstwo nie może polegać wyłącznie na podstawowych, domyślnych ustawieniach sprzętu czy jednostkowych programach antywirusowych. Konieczne staje się uporządkowanie środowiska serwerowego, sieciowego oraz stacji roboczych pod kątem ścisłej kontroli dostępu, niezawodności archiwizacji danych, rejestracji zdarzeń systemowych oraz regularnego eliminowania luk w oprogramowaniu.

Podmioty kluczowe i ważne a kwestia łańcucha dostaw

Przepisy dzielą objęte organizacje na podmioty kluczowe oraz podmioty ważne. Do pierwszej grupy zaliczają się między innymi sektory energetyczny, transportowy, bankowy, ochrony zdrowia, zaopatrzenia w wodę oraz infrastruktury cyfrowej. Do podmiotów ważnych należą między innymi usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja chemikaliów, przetwórstwo spożywcze oraz dostawcy usług cyfrowych.

Istotnym aspektem dyrektywy NIS2 jest bezpieczeństwo łańcucha dostaw (ang. supply chain security, czyli weryfikacja poziomu zabezpieczeń podwykonawców i dostawców usług technologicznych). Oznacza to, że mniejsze przedsiębiorstwa z sektora MŚP (małe i średnie przedsiębiorstwa), które formalnie nie przekraczają progów zatrudnienia czy obrotu kwalifikujących je bezpośrednio jako podmiot kluczowy, są zobowiązane przez swoich większych partnerów handlowych do spełnienia określonych standardów bezpieczeństwa. Brak wdrożonych zabezpieczeń może skutkować wykluczeniem z postępowań przetargowych lub rozwiązaniem umów handlowych.

Kluczowe filary techniczne wymagane w infrastrukturze IT

Dostosowanie środowiska informatycznego do wymogów NIS2 obejmuje szereg powiązanych ze sobą działań technicznych na poziomie stacji roboczych, serwerów oraz urządzeń sieciowych:

Zarządzanie tożsamością i uwierzytelnianie wieloskładnikowe: Wdrożenie MFA (Multi-Factor Authentication, metody logowania wymagającej potwierdzenia tożsamości co najmniej dwoma niezależnymi czynnikami) dla wszystkich dostępów zdalnych, poczty elektronicznej oraz kont uprzywilejowanych. Centralizacja kont w oparciu o Active Directory (usługę katalogową do zarządzania tożsamościami i uprawnieniami w systemach Windows Server) lub mechanizmy LDAP (Lightweight Directory Access Protocol, protokół zarządzania bazą użytkowników w środowiskach Linux), przy jednoczesnym wyeliminowaniu kont anonimowych i współdzielonych.
Zasada najmniejszych uprawnień: Wdrożenie zasady najmniejszych uprawnień (ang. Principle of Least Privilege, czyli przyznawania użytkownikom oraz aplikacjom wyłącznie minimalnych uprawnień niezbędnych do pracy). Ograniczenie praw lokalnego administratora na stacjach roboczych pracowników zapobiega nieautoryzowanej instalacji niebezpiecznego oprogramowania.
Odporny system kopii zapasowych: Realizacja strategii archiwizacji zgodnie z zasadą 3-2-1 (przechowywanie co najmniej trzech kopii danych na dwóch różnych nośnikach, z czego jedna kopia znajduje się w odseparowanej lokalizacji lub w chmurze). Ważnym elementem jest ochrona kopii przed modyfikacją (ang. immutable backup, czyli kopia niezmienna uniemożliwiająca jej zaszyfrowanie lub skasowanie przez oprogramowanie ransomware) oraz wyznaczenie parametrów RPO (Recovery Point Objective, maksymalnego akceptowalnego czasu utraty danych) i RTO (Recovery Time Objective, czasu wymaganego na przywrócenie działania systemów).
Segmentacja sieci i zapory ogniowe: Podział sieci firmowej na odizolowane strefy z wykorzystaniem VLAN (wirtualnych sieci lokalnych, które separują ruch sieciowy na poziomie przełączników). Wydzielenie osobnych podsieci dla serwerów baz danych ERP (np. InsERT Subiekt GT/nexo, Comarch ERP Optima, WAPRO ERP, Sage Symfonia), komputerów biurowych, urządzeń sieciowych, sieci gościnnej Wi-Fi oraz urządzeń automatyki przemysłowej lub monitoringu. Zastosowanie zapór sieciowych UTM (Unified Threat Management, wielofunkcyjnych urządzeń filtrujących ruch i blokujących próby włamań).
Ochrona punktów końcowych i szyfrowanie: Zastosowanie systemów EDR (Endpoint Detection and Response, oprogramowania monitorującego podejrzane zachowania procesów na komputerach w czasie rzeczywistym) oraz wdrożenie pełnego szyfrowania nośników za pomocą BitLocker (w systemie Windows) lub LUKS (w systemach Linux), co zabezpiecza dane w przypadku utraty lub kradzieży sprzętu.
Zarządzanie podatnościami i aktualizacjami: Uporządkowanie procesu patch managementu (systematycznego instalowania poprawek bezpieczeństwa dla systemów operacyjnych oraz aplikacji biurowych i bazodanowych), co pozwala na eliminację znanych luk wykorzystywanych przez atakujących.
Bezpieczny dostęp zdalny: Zastąpienie bezpośrednich, niezabezpieczonych połączeń pulpitu zdalnego szyfrowanymi tunelami VPN (Virtual Private Network, wirtualną siecią prywatną) z wymuszeniem uwierzytelniania dwuetapowego.

Typowe błędy popełniane przy samodzielnych próbach dostosowania infrastruktury

Próby samodzielnego wdrożenia wymogów cyberbezpieczeństwa bez odpowiedniego audytu technicznego często prowadzą do powstawania pozornego poczucia bezpieczeństwa. Do najczęściej spotykanych problemów należą:

Tworzenie dokumentacji bez pokrycia w konfiguracji sprzętowej: Przygotowanie procedur organizacyjnych i polityk bezpieczeństwa na papierze, podczas gdy na serwerach i stacjach roboczych nadal funkcjonują domyślne hasła, brak jest blokady portów USB, a sieć lokalna nie posiada żadnej segmentacji logicznej.
Brak weryfikacji odtwarzalności kopii zapasowych: Wykonywanie archiwizacji na dyski zewnętrzne lub macierze NAS (Network Attached Storage, sieciowe pamięci masowe) bez przeprowadzania regularnych próbnych odtworzeń. W momencie awarii okazuje się często, że kopia była uszkodzona, niekompletna lub została zaszyfrowana razem z danymi produkcyjnymi z powodu braku izolacji sieciowej nośnika kopii.
Praca codzienna na uprawnieniach administratora: Pozostawienie użytkownikom pełnych praw administracyjnych na komputerach stacjonarnych i laptopach, co umożliwia złośliwemu oprogramowaniu przejęcie pełnej kontroli nad systemem operacyjnym już w momencie otwarcia zainfekowanego załącznika w poczcie elektronicznej.
Wystawienie portów usługowych bezpośrednio do sieci publicznej: Konfigurowanie zdalnego dostępu do baz danych SQL lub usług RDP (Remote Desktop Protocol, protokołu zdalnego pulpitu) poprzez proste przekierowanie portów na routerze bez użycia szyfrowanego tunelu VPN i uwierzytelniania wieloskładnikowego, co naraża firmę na zautomatyzowane ataki typu brute-force (ataki siłowe polegające na masowym odgadywaniu haseł).
Ignorowanie urządzeń brzegowych i sieciowych: Brak aktualizacji oprogramowania układowego (firmware) w routerach, przełącznikach sieciowych i punktach dostępowych Wi-Fi, co tworzy luki w obwodzie bezpieczeństwa całej sieci firmowej.

Kiedy audyt zgodności z NIS2 to za mało – rozróżnienie od innych usług IT

Warto precyzyjnie rozróżnić analizę zgodności infrastruktury z NIS2 od innych standardowych działań informatycznych realizowanych w przedsiębiorstwach:

Przegląd techniczny a audyt NIS2: Tradycyjny przegląd sprzętowy koncentruje się na fizycznej sprawności komponentów (stan dysków, temperatury podzespołów, wydajność zasilaczy) oraz stabilności systemu. Analiza NIS2 bada natomiast odporność procesów przetwarzania danych, polityki uprawnień, architekturę sieci, poziom zabezpieczenia przed atakami sieciowymi oraz procedury reagowania na incydenty.
Standardowa administracja a zarządzanie ryzykiem: Bieżące wsparcie IT skupia się na rozwiązywaniu doraźnych problemów użytkowników (np. konfiguracja drukarki, instalacja programu księgowego). Zarządzanie zgodnością z NIS2 wymaga podejścia systemowego: analizy ryzyka operacyjnego, stworzenia planów awaryjnych BCP (Business Continuity Plan, planu ciągłości działania) oraz DRP (Disaster Recovery Plan, planu odzyskiwania sprawności po katastrofie).
Zgodność z RODO a zgodność z NIS2: RODO (ogólne rozporządzenie o ochronie danych) koncentruje się przede wszystkim na ochronie danych osobowych osób fizycznych i legalności ich przetwarzania. Dyrektywa NIS2 skupia się na technicznym bezpieczeństwie całych systemów teleinformatycznych, ciągłości świadczenia usług kluczowych oraz odporności infrastruktury na cyberzagrożenia niezależnie od tego, czy przetwarzane są w nich dane osobowe, czy dane operacyjne i przemysłowe.

Praktyczny przebieg przeglądu infrastruktury IT pod kątem NIS2

Działania weryfikacyjne i wdrożeniowe realizowane są bezpośrednio w siedzibie firmy w uporządkowany, etapowy sposób, bez zakłócania bieżącej pracy biura:

Etap 1: Inwentaryzacja zasobów i analiza stanu obecnego: Szczegółowe zmapowanie wszystkich urządzeń pracujących w sieci (serwery Windows i Linux, stacje robocze, komputery stacjonarne, laptopy, urządzenia sieciowe, pamięci masowe NAS) oraz wykorzystywanego oprogramowania firmowego (w tym systemów ERP takich jak InsERT GT/nexo, Comarch ERP Optima, WAPRO ERP, Sage Symfonia, enova365, Płatnik ZUS).
Etap 2: Weryfikacja konfiguracji zabezpieczeń i kontroli dostępu: Sprawdzenie reguł zapór sieciowych, polityk haseł w Active Directory, poprawności wdrożenia MFA, uprawnień użytkowników na poziomie udziałów sieciowych i baz danych SQL, a także analiza stanu aktualizacji systemów i oprogramowania antywirusowego.
Etap 3: Audyt systemu tworzenia i odzyskiwania kopii zapasowych: Ocena harmonogramów backupu, weryfikacja odseparowania nośników kopii od głównego środowiska domenowego oraz wykonanie kontrolowanej próby odzyskania danych z kopii zapasowej w celu zmierzenia rzeczywistego czasu RTO.
Etap 4: Opracowanie raportu luk i planu działań korygujących: Przygotowanie czytelnego zestawienia wykrytych podatności wraz z priorytetyzacją zadań technicznych wymaganych do osiągnięcia zgodności z normami bezpieczeństwa.
Etap 5: Wdrożenie technicznych mechanizmów ochronnych: Konfiguracja zapór UTM, segmentacja sieci VLAN, zabezpieczenie serwerów bazodanowych, wdrożenie szyfrowania dysków oraz konfiguracja bezpiecznych tuneli VPN dla pracowników mobilnych.

Najczęściej zadawane pytania dotyczące dyrektywy NIS2 w firmie

Czy mała firma będąca podwykonawcą musi spełniać wymagania dyrektywy NIS2?

Formalnie bezpośrednie przepisy dyrektywy dotyczą podmiotów zakwalifikowanych jako kluczowe lub ważne ze względu na wielkość zatrudnienia i obroty w określonych sektorach. Jednakże w praktyce duże przedsiębiorstwa objęte NIS2 są prawnie zobowiązane do weryfikacji całego swojego łańcucha dostaw. W rezultacie wymagają one od swoich podwykonawców (dostawców części, usług serwisowych, oprogramowania, usług transportowych czy księgowych) wdrożenia odpowiednich środków cyberbezpieczeństwa. Brak takich zabezpieczeń może uniemożliwić dalszą współpracę handlową.

Czy korzystanie z chmury Microsoft 365 lub Google Workspace automatycznie zapewnia zgodność z NIS2?

Nie. Choć dostawcy chmurowi dbają o fizyczne i techniczne bezpieczeństwo własnych centrów danych, to odpowiedzialność za konfigurację dostępu, zarządzanie tożsamościami, włączenie uwierzytelniania wieloskładnikowego MFA, politykę haseł oraz ochronę stacji roboczych, z których pracownicy logują się do usług chmurowych, spoczywa całkowicie na przedsiębiorstwie (tzw. model współdzielonej odpowiedzialności).

W jaki sposób zabezpiecza się serwery bazodanowe systemów ERP?

Zabezpieczenie systemów takich jak Subiekt GT, Comarch Optima czy WAPRO Mag polega na ich izolacji w dedykowanym segmencie sieci VLAN, ograniczeniu dostępu do portów bazy danych Microsoft SQL lub PostgreSQL wyłącznie dla autoryzowanych stacji roboczych, wdrożeniu zautomatyzowanego i szyfrowanego backupu baz danych na niezależny nośnik oraz wyeliminowaniu domyślnych haseł kont systemowych (np. konta sa w MS SQL).

Czy do przeprowadzenia audytu i konfiguracji zabezpieczeń konieczne jest przekazanie haseł?

Domyślnie prace realizowane są bez konieczności pozyskiwania prywatnych haseł użytkowników czy haseł administracyjnych do wglądu. Czynności konfiguracyjne na stacjach roboczych i serwerach mogą być wykonywane bezpośrednio w obecności osoby odpowiedzialnej po stronie firmy lub przy użyciu tymczasowych, dedykowanych kont serwisowych o ściśle określonych uprawnieniach, które są deaktywowane po zakończeniu prac.

Jakie są wymagania dotyczące raportowania incydentów bezpieczeństwa?

Dyrektywa NIS2 wprowadza rygorystyczne ramy czasowe na zgłaszanie poważnych incydentów cyberbezpieczeństwa do właściwych organów krajowych (np. zespołów CSIRT – Computer Security Incident Response Team, czyli zespołów reagowania na incydenty bezpieczeństwa komputerowego). Pierwsze wczesne ostrzeżenie musi zostać przekazane w ciągu 24 godzin od powzięcia wiedzy o incydencie, pełne zgłoszenie w ciągu 72 godzin, a raport końcowy w ciągu miesiąca. Wymaga to posiadania w firmie wcześniej przygotowanych procedur i narzędzi do detekcji zagrożeń.

Bezpieczna infrastruktura IT na terenie Warszawy i okolicznych powiatów

Prace związane z audytem, zabezpieczeniem systemów oraz przygotowaniem infrastruktury informatycznej do wymogów dyrektywy NIS2 realizowane są w formule bezpośredniego dojazdu do siedziby klienta. Działania obejmują obszar całej Warszawy oraz okolicznych miejscowości w promieniu do 40 km, w tym na terenie 7 powiatów: pruszkowskiego, piaseczyńskiego, warszawskiego zachodniego, grodziskiego, legionowskiego, otwockiego oraz wołomińskiego.

Przed przystąpieniem do analizy konfiguracji serwerów, baz danych oraz topologii sieci możliwe jest podpisanie umowy o zachowaniu poufności (NDA, Non-Disclosure Agreement), co gwarantuje pełną ochronę informacji technologicznych i handlowych przedsiębiorstwa. Bezpośrednia weryfikacja parametrów urządzeń na miejscu pozwala na precyzyjne dopasowanie zabezpieczeń do specyfiki działalności firmy, eliminując luki w ochronie danych i zapewniając stabilność ciągłości operacyjnej.

22 378 48 09

Zarządzanie zgodnością z dyrektywą NIS2 w infrastrukturze IT firmy