Problem cyberbezpieczeństwa dotyczy wszystkich, ale niektórych branż dotyczy bardziej. Po raz trzeci Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała raport ENISA NIS360, który dotyczy odporności najważniejszych sektorów na cyberzagrożenia. Wynika z niego, że z największym zagrożeniem musi się liczyć ochrona zdrowia, administracja publiczne, ale również firmy z obszaru ICT.
Podstawy wprowadzonej klasyfikacji
ENISA przygotowała analizę sektorów objętych dyrektywą NIS2 na podstawie dwóch czynników:
– krytyczności;
– dojrzałości.
Pierwszy z nich obejmuje między innymi poziom cyfryzacji oraz wpływ incydentów na otoczenie społeczno-gospodarcze. Drugi uwzględnia:
– poziom wsparcia i nadzoru przez odpowiednie organy;
– zarządzanie ryzykiem cyberbezpieczeństwa;
– stopień wymiany informacji o zagrożeniach w obrębie sektora;
– gotowość operacyjną do oceny bezpieczeństwa i planowania ciągłości działania.
Biorąc te kwestie pod uwagę największą dojrzałością w zakresie cyberbezpieczeństwa wykazują się:
– sektor bankowy;
– energetyczny;
– telekomunikacyjny.
Jednak ten ostatni znajduje się również w grupie największego ryzyka. Wygląda na to, że właśnie w nim odbywa się najbardziej zawzięta walka między atakującymi i obrońcami.
– Sektory z najwyższą oceną w zakresie cyberodporności wyróżniają się większym zaangażowaniem kadry kierowniczej w działania związane z zarządzaniem ryzykiem oraz wyższym poziomem kompetencji z tego zakresu. Wynika to z kultury organizacyjnej, będącej efektem licznych regulacji prawnych. Przykładowo: w sektorze finansowym jest to rozporządzenie DORA, które nakłada na instytucje ściśle określone wymogi z zakresu bezpieczeństwa IT. Dotyczą one wdrożenia kompleksowych ram zarządzania ryzykiem i incydentami, monitorowania zewnętrznych dostawców ICT pod tym względem, testowania odporności operacyjnej oraz wymiany informacji o zagrożeniach. Procesy związane z tymi regulacjami mogą być w dużym stopniu uporządkowane i zautomatyzowane dzięki nowoczesnym rozwiązaniom, zaprojektowanym specjalnie na potrzeby spełniania wymogów DORA – mówi Tomasz Dziedzic, Chief Technology Officer w Linux Polska.
Administracja publiczna potrzebuje wsparcia
Nie każdy sektor może się jednak czuć bezpiecznie – kilka z nich ENISA uwzględniła w tzw. strefie ryzyka. Taką niską dojrzałością w zakresie cyberbezpieczeństwa przy jednoczesnym wysokim poziomie krytyczności charakteryzują się:
– transport morski i kolejowy;
– ochrona zdrowia,
– sektor zarządzania usługami ICT.
– administracja publiczna.
To właśnie administracja publiczna prezentuje szczególnie niski poziom postępów w zakresie gotowości operacyjnej do zmian w zakresie bezpieczeństwa IT. A jest głównym celem ataków. Ponad 63 proc. działań haktywistów (cyberprzestępców motywowanych ideologicznie) na terenie UE jest wymierzonych w podmioty z tego obszaru. Jednak dwie na trzy instytucje publiczne nie przeprowadzają regularnych ocen bezpieczeństwa swoich systemów.
– Dane ENISA pokazują, że w administracji publicznej problemem nie jest wyłącznie samo wykrywanie podatności. Wiele instytucji potrafi identyfikować je stosunkowo szybko, ale proces usuwania problemów i wdrażania poprawek często trwa trzy miesiące lub dłużej z powodu ograniczonych zasobów. W praktyce oznacza to, że luka między rozpoznaniem ryzyka a jego realnym ograniczeniem pozostaje zbyt duża. Dodatkowym problemem jest brak jasnej hierarchii podatności. W nawale zgłoszeń, formalnych akceptacji i aktualizacji dotyczących drobnych problemów łatwo stracić z pola widzenia te podatności, które faktycznie mogą zagrozić ciągłości działania usług publicznych. Dlatego administracja potrzebuje przejścia od reaktywnego utrzymania IT do modelu opartego na obserwowalności: stałym zbieraniu i korelowaniu logów, metryk, zdarzeń oraz informacji o zależnościach między systemami. Dopiero wtedy organizacja widzi nie tylko pojedynczy alert techniczny, ale także jego wpływ na konkretną usługę publiczną, priorytet reakcji i źródłową przyczynę problemu – tłumaczy Marek Najmajer, Product Director w Linux Polska.
Co to oznacza?
Konieczność odejścia od punktowego monitorowania serwerów czy aplikacji. Ważniejsza jest widoczność całego łańcucha świadczenia usługi:
– infrastruktury;
– aplikacji;
– baz danych;
– integracji sieci’
– tożsamości użytkowników;
– dostawców zewnętrznych.
W przypadku instytucji publicznych incydent techniczny bardzo szybko staje się incydentem usługowym, który utrudnia dostęp do:
– spraw urzędowych;
– świadczeń;
– rejestrów;
– komunikacji z obywatelami.
Dlatego to właśnie tutaj powinien być zapewniony najwyższy poziom cyberberzpieczeństwa.
NIS2 to nie wszystko
ENISA zwraca uwagę na jeszcze jedną kwestię. Dyrektywa NIS2, której celem jest podniesienie poziomu cyberbezpieczeństwa w Unii Europejskiej, obejmuje przede wszystkim organy szczebla centralnego, na przykład ministerstwa, urzędy i agencje państwowe. Ale problemy pojawiają się na poziomie regionalnym i lokalnym.
– Według analiz ENISA sektor administracji publicznej charakteryzuje się najniższym poziomem zaawansowania kadry zarządzającej oraz kompetencji w zakresie cyberbezpieczeństwa. Co trzecia organizacja nie posiada strategii rozwoju kompetencji z tego zakresu, a połowa nie zapewnia szkoleń dotyczących zagrożeń i analizy ryzyka. Poza ograniczeniami finansowymi i kadrowymi, problemem jest również kultura organizacyjna. Jednostki publiczne cechują się dużym poziomem biurokracji. Przywiązanie do istniejących procedur i technologii często skutkuje niechęcią do wdrożenia nowoczesnych rozwiązań, również z obszaru cyberbezpieczeństwa. Jest to szczególnie widoczne na poziomie gmin i powiatów – dodaje Sebastian Jaworski, wiceprezes Linux Polska.
Barierą są także opóźnienia we wdrożeniu dyrektywy NIS2, z którymi mierzy się wiele krajów członkowskich UE.
– Jeszcze w maju ubiegłego roku Komisja Europejska wystosowała opinie do 19 państw członkowskich, które nie wdrożyły w pełni dyrektywy NIS2. Wśród nich była również Polska. Sytuacja jednak stopniowo się zmienia. W kwietniu tego roku weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która implementuje unijne regulacje do polskiego porządku prawnego – zaznacza Sebastian Jaworski.
Ale NIS2 trzeba wdrożyć do końca
Zgodnie z nowymi przepisami podmioty objęte dyrektywą NIS2 powinny do 3 października dokonać wpisu do Wykazu KSC albo w przypadku samorejestracji – złożyć wniosek o wpis.
Termin wdrożenia obowiązków wynikających z nowych przepisów to 3 kwietnia 2027 roku. Do tego czasu organizacje będą musiały, m.in. wyznaczyć osoby odpowiedzialne za kontakt z KSC, zweryfikować niekaralność zespołu oraz przygotować i wdrożyć System Zarządzania Bezpieczeństwem Informacji (SZBI. To system polityk, procedur oraz zabezpieczeń organizacyjnych i technicznych minimalizujących ryzyko nieuprawnionego dostępu do danych.
Źródło: ENISA- ENISA NIS360, World Economic Forum, Global Cybersecurity Outlook 2026, Transpozycja dyrektywy NIS 2 w państwach UE
Czytaj także:
