Dyrektywa NIS2, czyli cyberbezpieczeństwo systemów OT

Przez lata sieci sterowania pracowały w komfortowej izolacji. Sterownik PLC pilnujący przenośnika taśmowego, panel HMI przy maszynie czy stacja inżynierska z oprogramowaniem SCADA były odseparowane od zewnętrznego świata, a o ich bezpieczeństwie decydowało raczej ogrodzenie hali niż jakakolwiek polityka haseł. Ten model dawno odszedł do historii. Dążenie do efektywności, zdalna diagnostyka, integracja z systemami klasy MES i ERP oraz całe instrumentarium Przemysłu 4.0 sprawiły, że warstwa technologii operacyjnej (OT) styka się dziś z siecią korporacyjną, a pośrednio także z internetem. Razem z łącznością przyszły zagrożenia, na które ten sprzęt nigdy nie był przygotowany.

Czym jest dyrektywa NIS2

NIS2 to potoczna nazwa dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku, dotyczącej środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii. Zastąpiła ona pierwszą dyrektywę w tej dziedzinie z 2016 roku, znaną jako NIS. Powód zmiany był prozaiczny: pierwotne przepisy okazały się zbyt wąskie i nierówno stosowane w poszczególnych państwach. Obejmowały stosunkowo nieliczną grupę operatorów usług kluczowych, a kraje członkowskie interpretowały je na tyle różnie, że trudno było mówić o spójnym poziomie ochrony. NIS2 ujednolica zasady, podnosi poprzeczkę i, co najważniejsze z punktu widzenia przemysłu, znacząco poszerza krąg podmiotów, które muszą się do nich stosować.
W miejsce dawnego podziału na operatorów usług kluczowych i dostawców usług cyfrowych wprowadzono rozróżnienie na podmioty kluczowe oraz podmioty ważne. Przynależność do jednej z tych kategorii zależy od sektora oraz od wielkości przedsiębiorstwa, a od niej z kolei zależą intensywność nadzoru i wysokość ewentualnych kar. Katalog branż objętych regulacją rozrósł się o obszary, które wcześniej w ogóle nie były brane pod uwagę: produkcję, energetykę wraz z obiektami jądrowy...