ווער טאַקע קוקט אויף NIS 2 קאָנפאָרמאַטי אין בולגאַריע - און פארוואס אייער מאַנשאַפֿט קען זיך נישט ערלויבן אַ ראַט
NIS 2 קאמפלייענס אין בולגאריע ווערט נישט געראטן דורך איין איין-סטאפּ-שאָפּ רעגולאַטאָר. אנשטאט, אייער עקספּאָוזשער - און אייער אוידיט ריזיקע - קומט אָפט אַראָפּ צו צי איר קענט נאָמען דעם פּינקטלעכן מיניסטעריום, סעקטאָראַלן "פּונקט-פון-קאָנטאַקט," און די באַטייַטיקע CSIRT (קאָמפּיוטער זיכערהייט אינצידענט רעספּאָנס מאַנשאַפֿט) וואָס קוקט אויף אייער אָרגאַניזאַציע'ס סעקטאָר. צו פיל געשעפטן דיפאָלט צו דער שטאַט אי-רעגירונג אַגענטור (SEGA), אָבער די אמת איז שוואַך: בולגאריעס NIS 2 רעזשים איז אַ פעדעראַציע פון אויטאָריטעטן צוגעפּאַסט לויט סעקטאָר, מיט מאַפּינג וואָס ענדערט זיך אַזוי שנעל ווי אייער דיגיטאַלער פֿוסדרוק טוט. ענערגיע? מיניסטעריום פון ענערגיע. שפּיטאָלן? מיניסטעריום פון געזונט. באַנקס? מיניסטעריום פון פֿינאַנץ. טעק אינפֿראַסטרוקטור? SEGA. פֿאַרפעלט אַ מאַפּינג און איר קענט שיקן אייער אָנזאָג, אוידיט, אָדער באַווייַז טעקע אין אַ שוואַרצן לאָך - אומגעזען, נישט רעגיסטרירט, און נישט-קאַמפּליאַנט.
איר האָט נישט קיין קאָנפאָרמאַטי ביז איר קענט געבן אַ נאָמען פֿאַר אייער אויטאָריטעט, פּאָרטאַל, און דעדליין - ביזן קאַלענדאַר טאָג.
צוטרוי אין דיפאָלטס ווערט אַ ריזיקאָ-אַקסעלעראַציע אין דעם מאָמענט וואָס דער אָרגאַניזאַציאָנעלער פאַרנעם ענדערט זיך - צי דאָס איז אַ נײַער קונה, אַקוואַזיציע, צי אַ פּיוואַט אין אַ רעגולירטער טעטיקייט. די שווערע לעקציעס פֿון דער ערשטער רונדע פֿון אָדיטס אין 2024? די צוויי הויפּט טריגערס פֿון רעגולאַטאָרישער היץ זענען געווען סעקטאָר-מיסאַסיינמאַנץ און אומרעכטע אָדער נישט-אַקטיווע CSIRT קאָנטאַקטן ( isms.online ). קאָרעקציע איז נישט קיין קעסטל-טיק; עס איז אַ מיטל פֿון אַקטיוו אינאָקולירן אײַער באָרד און CISO קעגן גרענעץ-איבערשרייטנדיקע און לאָקאַלע קנסות, ווי אויך פֿאַרזיכערונג-קאָמפּליקאַציעס. די בעסטע טימז מאַפּירן זייערע סעקטאָרן קוואַרטאַל, בעטן באַשטעטיקונגען פֿאַר גרויע זאָנעס, און האַלטן אַלערט פֿידס פֿון ביידע סעקטאָר-באַאַמטע און די נאַציאָנאַלע CSIRT נאָענט צו דער האַנט.
א שווימליין טשאַרט וואָס מאַפּט בולגאַריע'ס רעגולירטע סעקטאָרן (למשל, ענערגיע, געזונט, פינאַנץ, טראַנספּאָרט, דיגיטאַלע אינפראַסטרוקטור , עפנטלעכע אַדמיניסטראַציע) קעגן מיניסטעריומס און CSIRTs דינט ווי אַ ברעט פּאַק "שווינדל שיט." די רעסורס זאָל זיין צוגעקלעפּט צו יעדן פּאָליטיק בינדער, אוידיט טעקע, און אָנבאָרדינג אינדוקציע פּאַק.
אַקשאַנז:
- באַשטעטיקן צוויי מאָל די אויטאָריטעט צוטיילונגען (אַרייַנגערעכנט באַקאַפּ קאָנטאַקטן).
- אַרכיווירן אַלע מיניסטעריום/CSIRT דערקענטענישן - די זענען גאָלד אויף אוידיט טאָג.
- פּראָאַקטיוו דאָקומענטירן ענדערונגען, אפילו אויב עס איז נאָר אַן אימעיל אַדרעס פֿון דער מיניסטעריום - יעדע באַשטעטיקונג אָדער קוויטונג איז אַ רעגולאַטאָרישע פאנצער.
ווי אזוי צו פירן אן אוידיט-גרייט בולגאריע NIS 2 אויטאריטעט וועגווייזער
אייער אויטאריטעט דירעקטארי איז א לעבעדיגער פארמעגן, נישט קיין סטאטישע PDF. בולגאריעס שטאַטישע אי-רעגירונג אגענטור (SEGA) פארעפנטלעכט אן אפיציעלן רעגיסטער, אבער מיניסטעריומס און סעקטאראלע אויטאריטעטן האלטן פאראלעלע ליסטעס, וואס וועריירן אין אָפטקייט, פֿאָרמאַט און דערהייַנטיקונג ריטם. יעדער סעקטאָר אַרבעט האַלב-אויטאָנאָם: פינאַנץ האט אָפט צוויי מעלדונג וועגן, געזונטהייט דרילז אין קלינישע וואָרקפלאָוז, און דיגיטאַלע אינפראַסטרוקטור גייט אַריבער עפנטלעך און פּריוואַט. אוידיט באַווייַזן וואָס איז מער ווי 3 חדשים אַלט, אָדער וואָס פאַרלאָזט זיך אויף אַן איינציקן "אפיציעלן" רעגיסטער אַליין, האט פארזונקען פארטיידיקונג טעקעס אין קייפל רעגולאַטאָרישע באריכטן.
א קאמפלייענס-גראד דירעקטארי פארלאנגט:
- שטענדיקער צוויי-וועג: לאָגירט ביידע ערשטיקע און באַקאַפּ קאָנטאַקט אינפֿאָרמאַציע און באַשטעטיקט שטענדיק ענדערונגען לפּחות קוואַרטאַל אָדער נאָך אינצידענט אָנבאָרדינג.
- מולטי-קוועלער וואַלידאַציע: קראָס-טשעק SEGA'ס דירעקטאָרי, די הויפּט מיניסטעריום'ס רשימה, און אפילו סעקטאָר אַסאָציאַציעס.
- ענדערונג לאָגס און באַגרינדונג: אַרכיווירט יעדן דערהייַנטיקונג; אויב איר וועקסלט אימעילס אדער פּאָרטאַלן, באַמערקט פאַרוואָס, ווען, און ווער האָט באַשטעטיקט. קנסות און פאַרזיכערונג קריגערייען הענגען אָפט אָפּ פון דער פיייקייט צו באַווייַזן פּראָאַקטיוו (נישט נאָר רעאַל-צייט) העסקעם (isms.online).
| סעקטאָר | אויטאָריטעט / מיניסטעריום | פּאָרטאַל/קאָנטאַקט אימעיל | שליסל דאקומענט באווייז נויטיג |
|---|---|---|---|
| ענערגיע | מיניסטעריום פון ענערדזשי | sector@me.government.bg / me.government.bg | אויטאָריטעט רעגיסטער, אינצידענט לאָגס |
| פינאַנצן | מיניסטעריום פון פינאַנס | sector@minfin.bg / minfin.bg | אינצידענט קוויטונגען, ריזיקע לאג |
| געזונטהייַט | מיניסטעריום געזונט | e-health@mh.government.bg / mh.government.bg | שטאב טרענירונג, רעגיסטער אויסצוגן |
| דיגיטאַלע אינפראַ | מיניסטעריום פון עלעקטראָנישער רעגירונג (SEGA) | nis2@e-gov.bg / gov.bg | לאָג מאַפּינג, דיגיטאַלע באַווייַזן |
| אַריבערפירן | מיניסטעריום פון טראנספארט | סעק-טראַנס@mtitc.government.bg / mt.government.bg | קאָמוניקאַציע לאָג, לעגאַלע מאַפּינג, ענטפֿער לאָגס |
| ציבור אַדמיניסטראַטאָר | מיניסטעריום פון עלעקטראָנישער רעגירונג (SEGA) | nis2@e-gov.bg / gov.bg | דירעקטאָריום באַגרינדונג, מאַפּינג, קבלות |
איין פארפעלטע קאנטאקט דערהייַנטיקונג קען פארוואנדלען א קאמפלייענס טעקע אין א ריזיקע מאַגנעט.
וואָרקפלאָו מאָמענטבילד:
אויטאָריטעט מאַפּינג → רעגיסטער דערהייַנטיקונג (קוואַרטאַל אָדער פאַר-נאָטיפֿיקאַציע) → אינצידענט באריכטינג (דורך ביידע פּאָרטאַל + אימעיל) → אַרכיווירן אַלע קוויטונגען אין אַ דיגיטאַלער באַווייַז סיסטעם.
ISO 27001 / אַנעקס א בריק טאַבעלע
| דערוואַרטונג | אָפּעראַציאָנאַליזאַציע | ISO 27001 / אַנעקס רעפערענץ |
|---|---|---|
| אויטאָריטעט מאַפּע | דירעקטאָרי באריכטן, קוויטונגען | א.5.5, א.5.10 |
| ינסידענט ריפּאָרטינג | צווייפֿאַכיקע באַשטעטיקונג (פּאָרטאַל + אימעיל) | א.5.24, א.5.26 |
| טראַינינג לאָגס | דיגיטאַל, ווערסיעד אונטערשרייבונג | א.6.3, א.10.3 |
| ענדערונג פאַרוואַלטונג | קאָנטאַקט/ענדערונג טשעקליסט | א.5.5, א.5.10, א.6.3 |
איבערקוקט יערליך אלע סעקטאר מאַפּינגס, ספּעציעל פֿאַר גרענעץ-איבערשרייטנדיקע, מולטי-סעקטאר, אדער צוזאַמענגעפֿלוסענע ענטיטעטן. ווען איר זענט נישט זיכער, באַשטעטיקט מיט יעדער פּאָטענציעלער אויטאָריטעט, דאָקומענטירט יעדן וועקסל, און נעמט קיינמאָל נישט אָן אַז "איין פּאָרטאַל פּאַסט אַלעמען".
בעל NIS 2 אָן ספּרעדשיט כאַאָס
צענטראַליזירן ריזיקע, אינצידענטן, סאַפּלייערז און באַווייַזן אין איין ריינער פּלאַטפאָרמע.
ווערט איר קלאַסיפֿיצירט ווי "עסענציעל," "וויכטיג," אדער ביידע? פארוואס עס איז וויכטיג
פֿאַרשטיין צי אייער אָרגאַניזאַציע איז באַצייכנט ווי "עסענציעל," "וויכטיג," צי אַרבעט אויף ביידע שוועלן איז לעגאַלע און פינאַנציעלע זעלבסט-פאַרטיידיקונג. "עסענציעלע" ענטיטעטן שטייען פֿאַר ביז €10 מיליאָן אין שטראָף, מיט "וויכטיג" ביי €7 מיליאָן. אומרעכט קלאַסיפֿיקאַציע - אָפֿט צוליב אַלטמאָדישע שטאַב נומערן, טורנאָוווערס, אָדער פֿאַרשווימענע סערוויס ליניעס - קען רעזולטירן אין רעגולאַטאָרישן פּורגאַטאָריום אָדער פֿאַרשטאַרקטער אויפֿזיכט. געכאפט אַוועק פֿון די ריכטיקע רעגיסטער, זענען פֿירמעס געשטראָפֿט געוואָרן פֿאַר ביידע איבער- און אונטער-רעפּאָרטינג סטאַטוס.
סעקטאָר סטאַטוס איז נישט נאָר אַ לייבל - עס ריקאַליברירט דיין ריסקס, דאָקומענטאַציע און שטראָף ויסשטעל.
עסענציעלע זאכן? טראַכט: ענערגיע סאַפּלייערז, שפּיטאָלן, גרויסע דיגיטאַלע אינפראַסטרוקטור, שליסל עפנטלעכע אַדמיניסטראַציע . וויכטיקע זאכן? מיטלגרויסע טעק פארקויפער, שטיצנדיקע סאַפּליי קייטן, פּלאַטפאָרמע פּראַוויידערז. אויב איר אַרבעט אין קייפל יוריסדיקציעס, געדענקט: בולגאַרישע אויטאריטעטן ערוואַרטן אָנזאָגן און העסקעם, נישט קוקנדיק אויף אייער אי.יו. באַזע.
וויכטיקע זאכן וועגן באווייזן:
- שריפטלעכע באשטעטיגונג פון סטאַטוס פון יעדער אויטאָריטעט (באָרד/מיניסטעריום אימעיל אָדער בריוו).
- ליסטע פון רעגולירטע סערוויסעס צוגעפאסט צו NIS 2 אנעקסן.
- באָרד אונטערשרײַבן אויף סעקטאָר טענות.
- לעגאַלע אָדער פינאַנציעלע סטייטמאַנץ (קאָפּציילונג, וועקסל, סערוויס פונקציע).
לאָזט נישט סאַפּלייערס "אַרויסגעבן די חשבונות" - די ריזיקע פון אויבן און אונטן פירט איצט צו רעגולאַטאָרישע קאָנטראָל . סאַפּלייערס מוזן רעקאָרדירן קלאַסיפֿיקאַציע און סעקטאָר מאַפּינג ווי טייל פון אָנבאָאַרדינג; קויפער זאָלן טאָפּלט קאָנטראָלירן די באַווייַזן אָדער ריזיקירן צו אַבזאָרבירן אַ שטילע ריס (isms.online).
וואָס אויב איר זענט נישט מסכים? נאַוויגירן קריגערייען און גרויע זאָנעס אין סעקטאָר אַסיינמאַנט
סעקטאָר צוטיילונג קריגערייען זענען נישט בלויז היפּאָטעטישע - זיי זענען רעגולערע שטרויכלשטיינער אין בולגאַריע'ס סייבער קאָמפּליאַנס לאַנדשאַפט. כייבריד סערוויס אָפּעראַטאָרן, נעקסט-דזשענעריישאַן פּלאַטפאָרמעס, און אי.יו. גרענעץ קראָס סעטאַפּס אָפט ענדיקן זיך איבער סעקטאָראַלע ליניעס. לייזונג גייט דורך SEGA, סעקטאָר מיניסטעריומס, און, אין קאָנטעסטירטע קאַסעס, די העכסטע אַדמיניסטראַטיווע קאָורט. דער שליסל איז דורכגעפֿליכטעט באַווייַז, נישט בראַוואַדע.
אן אונטערגעשריבענע בארעכטיגונג דורך דעם באָרד פארדינט אָפט צייטווייליגע אקצעפטאַציע - וואָס באַשיצט קעגן שטראָף ביז דער קריגעריי ווערט אויסגעלייזט.
געווינען די קריגערייען, אדער לכל הפחות, אפשטעלן שטראָפן ביז א רעגולאַטאָרישן באַשלוס, פארלאנגט:
- גענויע, צייט-געשטעמפּלטע קאָרעספּאָנדענץ לאָגס.
- באָרד-באַשטעטיקטע אַסיינמענט באַגרינדונג, דאָקומענטירט און אַטאַטשט צו קאַמפּליאַנס טעקעס.
- איבערחזרנדיקע באשטעטיגונגען פון די באטייליקטע CSIRT(s) און מיניסטעריומס - די פארמען א דאקומענטירטע פאפירענע שפּור פאר אוידיט און פארטיידיגונג.
בעסטע פּראַקטיק פֿאַר אַ מוסטער: דורך דעם באָרד אונטערגעשריבענע, צייט-געשטעמפּלטע באַגרינדונג פֿאַר דער צוטיילונג צוזאַמען מיט שריט-פֿאַר-שריט באַווײַזן וואָס ווײַזן די אָנשטרענגונגען צו נאָכקומען (פּראָטאָקאָלן פֿון זיצונגען, אימעיל פֿעדעם, לעגאַלע באריכטן). לאָזט נישט אַ שטייענדיקער קריגעריי ברענגען אומאַקט - אַקטיווע דאָקומענטאַציע ווערט געשעצט דורך רעגולאַטאָרן און געריכטן גלײַך.
רוטינע עצה: "צו פיל דאקומענטירן און צו פיל קאמוניקירן" איז פארטיידיקבאר; "צו פיל דאקומענטירן און צו פיל באטייליגן" איז א געפאר פאר קאמפלייענס.
זייט NIS 2-גרייט פון טאג איינס
לאָנטש מיט אַ באַוויזן וואָרקספּייס און טעמפּלאַטן – נאָר צופּאַסן, צוטיילן, און גיין.
וואָסערע באַווײַזן דאַרפֿסטו צו פֿאַרטיידיקן NIS 2 קאָנפֿאָרמאַנס אין אַן אוידיט?
וואָס אונטערשיידט אַ קאָמפּליאַנט אָדיט טרייל פֿון אַ לייאַביליטי מאַגנעט איז די טיפֿקייט, דיגיטאַלע צוטריטלעכקייט, און לעבעדיקע סטאַטוס פֿון אייער דאָקומענטאַציע. סטאַטישע טעקעס, אַלטע ווערסיעס, און נישט-גלייַכע לאָגס זענען רויטע פֿלעקן פֿאַר בולגאַרישע רעגולאַטאָרן און מער און מער פֿאַר פּאַן-אי.יו. אויטאָריטעטן. היינטיקע פֿאַרטיידיקונג איז געבויט אויף דיגיטאַלע, ווערסיע-געמאַכטע, און שנעל-צוטריט טעקעס.
שליסל אוידיט-גראַד באַווייַזן:
- לעבעדיגע אויטאָריטעט/סעקטאָר מאַפּעס (נישט עלטער ווי 3 חדשים) אַרייַנגערעכנט באַשטעטיקונג דאַטעס.
- באַשטעטיקונגען פון דעם דירעקטאָרן-ראַט אָדער מענעדזשמענט אויף דעם סטאַטוס און דערהייַנטיקונגען פון דעם סעקטאָר.
- שטאב טרענירונג לאגס (דיגיטאַלע חתימות, מיט דזשוינער-פּרוף).
- אינצידענט רעגיסטערס מיט אָנזאָג פֿענצטער קוויטונגען (מינימום 1-יאָר אויפֿהאַלטונג).
- צוויי-וועג באווייזן פאר אינצידענט מעלדונג (פּאָרטאַל און אימעיל, יעדער באַשטעטיקט אָדער מיט אַ קוויטל).
- סופּליי טשיין אָנבאָרדינג און ריזיקאָ לאָגס.
- ענדערונג רעקאָרדס און באַגרינדונג פארבונדן מיט יעדער אויטאָריטעט אָדער קאָנטאַקט ענדערונג.
אוידיט טרעיסאַביליטי-מיני-טאַבעלע:
| צינגל | ריזיקע דערהייַנטיקונג | קאָנטראָל/SoA לינק | באַווייַז בייַשפּיל |
|---|---|---|---|
| ינצידענט | ריזיקע ווערסיע/דאַטע | ISO27001 A.5.24/5.25 | לאָג, פּאָרטאַל/אימעיל קוויטל |
| ענדערונג אין אויטאָריטעט | רעגיסטרירן/מאַפּע דערהייַנטיקן | A.5.5 / A.5.10 | געענדערטע דירעקטאָרי + באַגרינדונג |
| סאַפּלייער אויף ברעט | צושטעלן קייט ריזיקירן | A.5.19 / A.5.21 | אָנבאָאַרדינג דאָקומענטן, סאַפּלייער אימעיל |
| ענדערונג אין שטאב ראָלע | טרענירונג רעגיסטער | A.6.3 / A.10.3 | דיגיטאַלע טריינינג אונטערשריפט לאָגס |
פּלאַטפאָרמעס ווי ISMS.online זענען אינזשענירט פֿאַר דעם: יעדער דאָקומענט, וואָרקפלאָו, אָנזאָג און קוויטל איז ווערסיעד, צייט-געשטעמפּלט און צוריקקריגן אין מינוטן, נישט טעג.
ווי טייער זענען NIS 2 שטראָפן אין בולגאַריע - און ווי קען אייער מאַנשאַפֿט מינימיזירן עקספּאָוזשער?
NIS 2 שטראָפן אין בולגאַריע זענען צווישן די העכסטע אין דער אי.יו. - ביז €10 מיליאָן פֿאַר "עסענציעלע" דורכפעלער, €7 מיליאָן פֿאַר "וויכטיגע" ענטיטעטן, און זיי וואַקסן מיט יעדער איבערחזר אָדער עסקאַלאַציע. די קוואַליטעט פון אייער קאָנפאָרמאַנס טעקע איז איצט אייער איינציקע עכטע וואַלוטע צו רעדוצירן אָדער זיך פֿאַרטיידיקן קעגן שטראָפן. שטראָפן קענען זיך פֿאַרגרעסערן פֿון שפּעטע מעלדונגען אָדער אַן אַלטמאָדישן רעגיסטער אין אַ פּאָר טעג; קיין דעפּאַרטמענט איז נישט "באַפֿרייט" פֿון דירעקטער רעגולאַטאָרישער קאָנטראָל ווי די דורכפֿירונג וואַקסט שנעלער.
שנעלע באַטייליקונג און דעטאַלירטע לאָגס זענען אייער איינציקע עכטע וואַלוטע אין רעדוצירן NIS 2 קנסות.
די וואָס האַלטן לעבעדיקע, דיגיטאַלע באַווייַזן (ספּעציעל ענדערונג לאָגס, אָנזאָג קוויטונגען, און באָרד-באַשטעטיקטע רעגיסטערס) באַקומען כּמעט שטענדיק סטיידזשד דורכפירונג אָדער ווייכע דעדליינז. די וואָס פאַרפעלן אפילו אַן איינציקע רעגיסטרי ענדערונג אָדער שטאב אונטערשריפט טענד צו פולע שטראָף געשווינד (isms.online). אַלטמאָדישע, אַנאַלאָג, צעוואָרפענע טעקעס ווערן איצט דערמאָנט ווי פאַרלאָזיקייט אין דורכפירונג אָרדערס.
בעסטע פארטיידיקונג:
- אויטאמאטיזירן אייער אויטאריטעט דירעקטארי און אינצידענט לאָג וואָרקפלאָוו.
- לאָג באַשטעטיקונגען פֿאַר יעדער אָנזאָג, רעגיסטרירן דערהייַנטיקונג און ענדערונג.
- אַריינלייגן באַווײַז טשעקס און קוויטונגען אין דער וועכנטלעכער קאָנפאָרמאַנס רוטין.
- פּראָאַקטיוולי פֿאַרבינדן זיך מיט יעדער אויטאָריטעט נאָך אָנבאָאַרדינג אָדער שטאַב/קאַפּאַציטעט ענדערונגען.
אַלע אייערע NIS 2, אַלץ אין איין אָרט
פֿון אַרטיקלען 20–23 ביז אוידיט פּלענער – דורכפֿירן און באַווײַזן קאָנפֿאָרמאַנס, פֿון ענד צו ענד.
וואָסערע וועכנטלעכע רוטינעס האַלטן טאַקע אייער NIS 2 אוידיט-גרייט אין בולגאַריע?
דער עכטער אונטערשייד אין NIS 2 ווידערשטאנדסקראפט איז נישט קיין איין-מאל פאליסי דערהייַנטיקונג. עס ווייזט רעגולאַטאָרן און אוידיטאָרן אַ לעבעדיקע רוטינע:
- וועכנטלעכע וועגווייזער און אינצידענט לאג דערהייַנטיקונגען, מיט צייטשטעמפלען - קיין "קאָנפאָרמאַנס פּער קוואַרטאַל".
- סינקראָניזירן שטאב טריינינג מיט עלעקטראָנישע חתימות, ספּעציעל פֿאַר נייַע אָנגעשטעלטע און ענדערונגען אין ראָלעס.
- טעסט אינצידענט מעלדונג קאַנאַלן-פּאָרטאַל און אימעיל-לאָגינג יעדן רעזולטאַט.
- איבערקוקן און לאָגירן סאַפּליי טשיין אָנבאָרדינג, ריזיקאָ סקאָרז, און אינצידענט איבערגעבונג פונקטן.
- אַרכיווירן קוויטונגען אין אַ צענטראַלער, דיגיטאַלער באַווײַז באַנק.
רוטין איז אייער קאמפלייענס סופער-מאכט - איר קענט נישט פאלשן גרייטקייט אויף אוידיט טאג.
דאַטן: טימז וואָס אויטאָמאַטיזירן די רוטינעס און אינטעגרירן דיגיטאַלע באַשטעטיקונג לאָגס שניידן אינצידענט עסאַקאַלאַציעס און אָדיט פאַרהאַלטונגען מיט ביז 40% (isms.online). ספּאָט אָדיטס ווערן אָפט גענוצט אויף נישט-פּאַסיק אויטאָריטעט לאָגס אָדער עלטערע-ווי-90-טאָג מאַפּינג רעקאָרדס.
עצע פֿאַר קאָמפּליאַנס פירער:
ניצט אַ דאַשבאָרד אָדער קאָנפאָרמאַנס סקאָרקאַרד וואָס טראַקט סעקטאָר מאַפּינג, אינצידענט לאָג דערהייַנטיקונגען, סאַפּליי טשיין סטאַטוס, און אַפּקאַמינג אוידיט דעדליינז, געצייכנט אין "טראַפיק ליכט" פארבן, פֿאַר ביידע באָרד און אָפּעראַציאָנעלע טימז.
אָנהייבן NIS 2 קאָנפאָרמאַטי מיט Confidence-ISMS.online, אייער בולגאַרישע אויטאָריטעט דירעקטאָרי פּאַרטנער
NIS 2 קאמפלייענס מאַסטערי איז נישט וועגן יאָגן יעדן לעגיסלאַטיוון דערהייַנטיקונג. עס איז בויען אויטאָמאַטישע, דידזשאַטאַל-ערשטע וואָרקפלאָוז וואָס ענשור אַז דיין אויטאָריטעט וועגווייַזער, אינצידענט לאָג, טריינינג רעגיסטער און סעקטאָר מאַפּינג זענען שטענדיק אַקטועל און גלייך צוריקצוקריגן.
ISMS.online גיט בולגאַרישע מאַנשאַפֿטן מיט:
- סעקטאָר אויטאָריטעט וועגווייַזער טעמפּלאַטעס: (אויפגעמאכט לויט בולגאריעס מיניסטעריום/CSIRT מאפע).
- אָטאַמאַטיק רימיינדערז: -פֿאַר וועגווייַזער דערהייַנטיקונגען, אינצידענט מעלדונג רוטינען, און קאָנפאָרמאַנס איבערבליקs.
- וואָרקפלאָו אינטעגראַציע: -פון אָנבאָרדינג ביז סאַפּליי טשיין, אַלץ מאַפּט צו NIS 2 און יסאָ קסנומקס רעפֿערענצן און געשטיצט דורך אַ שטענדיק-אויף עווידענס מאָטאָר.
- צייט שפּאָרן און אָדיט זיכערהייט: -קאסטומערס באריכטן רעגולער 40% שניטן צו אוידיט צוגרייטונג, שנעלער אינצידענט מעלדונגען, און פארקלענערטע רעגולאַטאָר היץ (isms.online).
גלייך מעשים:
- דאַונלאָוד אייער אייגענעם בולגאַרישן סעקטאָר אויטאָריטעט וועגווייַזער און טשעקליסט פֿון ISMS.online.
- באַשטעלט אַ 20-מינוטיקע וואָרקפלאָו דעמאָ פֿאַר אייער מאַנשאַפֿט, פּונקט צוגעפּאַסט צו אייערע סעקטאָר אויפֿגאַבעס און פֿאַרפֿליכטונגען.
- אינטעגרירן דאַשבאָרד דערמאָנונגען צו שלאָסן אָדיט-גרייטקייט - איין מאָל און אויף אַלע מאָל.
וואַרט נישט ביז אַ רעגולאַטאָר וועט אַרויסשטעלן אַ באַמערקונג אויף אייער טעקע. סיסטעמאַטיזירט אייער אויטאָריטעט דירעקטאָרי, אויטאָמאַטיזירט אייערע לאָגס, און לאָזט אייער גאַנצע אָרגאַניזאַציע זיך באַוועגן מיט פולשטענדיקער בטחון אין אויספאָרשונגען. אייער דירעקטאָריום, אייער רעגולאַטאָר, און אייערע קאַסטאַמערז קוקן אַלע צו - און די מערסט ווידערשטאַנדספעיִקע מאַנשאַפֿטן זענען שוין פאַרטיק מיט טשעפּן.
אָפֿט געשטעלטע פֿראגן
ווער זענען בולגאריע'ס אפיציעלע NIS 2 אויטאריטעטן אין 2024 - און ווי אזוי טוישט סעקטאר מאַפּינג אייערע קאָמפלייענס דיסיזשאַנז?
בולגאריע'ס NIS 2 אויטאריטעט לאנדשאפט איז שטרענג סעקטאר-באזירט, אזוי אז אייער קאמפלייענס וועג ווענדט זיך אין פארשטיין ווער האלט די אויפזיכט שליסלען פאר אייער ארגאניזאציע - נישט נאר "דער רעגולאטאר." די שטאטישע אי-רעגירונג אגענטור (SEGA) קאארדינירט רוב פובליק סעקטאר, דידזשיטאלע סערוויסעס, און קערן אינפראסטרוקטור פראוויידערס, אבער ענערגיע, געזונטהייט, פינאנץ, און טראנספארט ענטפערט יעדער צו זייער דעדיקירטן מיניסטעריום. די קאמיסיע פאר פערזענליכע דאטן שוץ (KZLDP) רעגולירט וועגן פריוואטקייט בריטשעס. אייער פארמאלע רעגיסטראציע, באווייז פלוס, און אינצידענט באריכטן פראצעס אלע הענגען אויף גענויע סעקטאר מאפינג - טעותים ברענגען אן עכטע ריזיקע: איר קענט געהאלטן ווערן פאראנטווארטלעך, אפילו אויב אייערע סייבער-זיכערהייט קאנטראלן זענען שטארק, פשוט פארן איינרייכן מיט דער אומרעכט אויטאריטעט.
דער שנעלסטער וועג צו פארלירן צוטרוי איז נישט א בריטש - עס איז רופן דעם אומרעכטן רעגולאַטאָר אין אַ קריזיס.
בולגאַרישע NIS 2 אויטאָריטעט מאַפּע 2024
| **סעקטאָר** | **אויפֿזיכט־אויטאָריטעט / SPoC** | **אפיציעלע פּאָרטאַל** |
|---|---|---|
| Public Administration | סעגאַ | |
| דיגיטאַלע סערוויסעס/פּראַוויידערס | סעגאַ | |
| ענערגיע (אלע סובסעקטארן) | מיניסטעריום פון ענערדזשי | |
| געזונטהייטס זאָרג/לאַבאָראַטאָריעס | מיניסטעריום געזונט | |
| טראַנספּאָרט (לופט/באַן/ים/וועג) | מיניסטעריום פון טראנספארט | |
| פינאַנץ/באַנקינג/FMIs | מיניסטעריום פון פינאַנץ / BNB | / |
| פּריוואַטקייט & דאַטאַ פּראַטעקשאַן | קזלדפי |
שטענדיק טשעק די איצטיקע אנעקסן פון NIS 2, ווייל דיגיטאַלע סערוויס פּראַוויידערז און אַוטסאָרסערס קענען פאַלן אונטער מער ווי איין אויטאָריטעט - צווייפאַכע אָדער אפילו דרייַפאַכע רעגיסטראַציע איז געוויינטלעך אין קראָס-סעקטאָר אָפּעראַציעס.
ווען מוז מען מעלדן סייבער אינצידענטן אין בולגאריע - און וואָס פּאַסירט אויב מען קלייבט דעם אומרעכטן קאַנאַל?
בולגאריע דורכפירט NIS 2'ס שאט-קלאק: קריטישע סייבער געשעענישן מוזן ווערן געמאלדן אינערהאלב 24 שעה, נאכגעפאלגט דורך א פולשטענדיגע טעכנישע צוזאמענברוך ביי 72 שעה. די פענצטער הייבט זיך אן אין דעם מאמענט וואס יעדער פאראנטווארטלעכער מענעדזשער אדער זיכערהייטס שטאב דערקענט אן אינצידענט - נישט נאך אינערליכע עסקאלאציע. אויב פערזענליכע דאטן ווערן באטראפן, מוזט איר דאס פארגלייך-אריינשיקן צו KZLDP אינערהאלב דעם זעלבן פענצטער, אומאפהענגיק פון אייער הויפט סעקטאר. נישט טרעפן דעדליינס אדער נישט מעלדן די ריכטיגע אויטאריטעט טריגערט דורכפירונג איבערבליקן, און לאזט איבער בלייביגע פלעגן אויף אייערע אוידיט רעקארדס.
צייטיקע עסאַקאַלאַציע מיינט גאָרנישט אויב אייער אָנזאָג לאַנדט אויף די אומרעכט שרייַבטיש - קאַמפּליאַנס ריזיקירן איז קומולאַטיוו, נישט אפגעזונדערט.
באריכטן צייטפּלאַן און וועגן (2024)
| **אינצידענט טיפ** | **24 שעה וואָרענונג** | **72 שעה טעכנישער באריכט** | ווער באַקומט עס |
|---|---|---|---|
| גרויס אַוטידזש | סעגאַ / סעקטאָר מיניסטעריום | סיבה / רעמעדיאַציע פּלאַן | סעגאַ און מאַפּט סעקטאָר |
| מאַלוואַרע/ראַנסאָמווער | סעגאַ / סעקטאָר (ווי אויבן) | אינצידענט/אימפּאַקט/פאָרענזיק | סעגאַ און סעקטאָר פירער |
| דאַטן בריטש (PII) | KZLDP (+ סעקטאָר/SEGA) | פּריוואַטקייט און פאָרענסישע דעטאַלן | KZLDP; אויך סעקטאָר אויב סערוויס איז געשלאָגן |
נישט דורכפירן די צייט-פלאנען, אדער אויסלאזן פארלאנגטע דעטאלן, וועט ווארענען אייער ענטיטי פאר געצוואונגענע ווידער-אוידיטס, העכערע דורכקוק-פרעקווענצן, און קען רעזולטירן אין עפנטלעכע מעלדונגען.
ווי אזוי ארבעט ענטיטי רעגיסטראַציע און סעקטאָר מאַפּינג פֿאַר מולטי-סעקטאָר קאָמפּאַניעס אונטער בולגאַריע'ס NIS 2 רעזשים?
רעגיסטראַציע איז נישט קיין איין מאָל וואָס מע לאָזט זיך אַרײַן – עס איז אַ לעבעדיקע פֿאַרפֿליכטונג. יעדע אָרגאַניזאַציע וואָס איז אין איר פֿאַרנעם מוז זיך רעגיסטרירן מיט SEGA, און דערנאָך מיט יעדער סעקטאָראַלער אויפֿזיכט־אויטאָריטעט וואָס איז באַטייַטיק צו אירע אַקטיוויטעטן. אַ וואָלקן־האָסט וואָס באַדינט באַנקינג און געזונטהייט־פֿאַילן מיט ביידע זייערע מיניסטעריומס, פּלוס SEGA. DPOs, CISOs, פֿאַראַנטוואָרטלעכע עקסעקוטיוון, און קאָנטאַקטן אין דער דירעקטאָרן־ראַט מוזן זײַן באַצייכנט אין יעדער מאַפּינג. יעדע ענדערונג – אייגנטומערשאַפֿט, קאָנטאַקטן, סערוויס־פֿאַרנעם – פֿאָדערט אַן אוממיטלבארע דערהייַנטיקונג נישט נאָר צו איין, נאָר צו אַלע אָנווענדלעכע רעגיסטערס. רובֿ פֿריִע דורכפֿאַלן אין אויספֿאָרשונג שטאַמען פֿון פֿאַרפֿעלטע צווייפֿאַכיקע רעגיסטראַציעס אָדער אַלטמאָדישע מאַפּינגס נאָך אַן אָרגאַניזאַציע־ענדערונג.
רעגיסטראַציע און באַווײַז שלייף
| **אַקציע** | **ווער פיילד** | **דעסטאַניישאַן** | **הויפּט־באַווײַז** |
|---|---|---|---|
| ענטיטי שאַפונג | די-פי-או / סי-אי-עס-או / דירעקטארן-באארד | סעגאַ + סעקטאָר פירער | ארג. טשאַרט, SoA, שטאב |
| יערלעכע דערהייַנטיקונג | קאָמפּליאַנס אייגנטימער | סעגאַ + סעקטאָרן | ענדערונג לאָג, ריזיקע איבערבליק |
| אינצידענט באריכט | איי-טי / די-פי-או / סי-אי-עס | סעגאַ/KZLDP + סעקטאָר | אינצידענט, SoA דערהייַנטיקונג |
פֿאַר מולטי-סעקטאָר ענטיטיז, פֿאַרדאָפּלט אַן איינציקע אויפֿזיכט דעם ריזיקאָ פֿון אוידיט. באָרדס מוזן זיכער מאַכן אַז קאָנטאַקט ליסטעס און רעגיסטראַציע אַרטיפאַקץ זענען שטענדיק לעבעדיק פֿאַר יעדער קאַרטירטער אויטאָריטעט.
וואָסערע שטראָפֿן און קאָמפלייענס דורכפֿירונג מכשירים נוצן איצט בולגאַרישע NIS 2 אויטאָריטעטן?
די שטראָפן זענען באַדייטנדיק, קאָמבינירט אי.יו. מאַקסימום סומעס (€10 מיליאָן אָדער 2% פון פאַרקויף) מיט בולגאַריש-ספּעציפֿישע מיטלען: סעקטאָר פירער קענען אויפהערן אַקטיוויטעטן, עסאַקאַלירן צו ווידער-אוידיט, אָדער זיך באַטייליקן אין אַזוי גערופענע "נאַמינג און שאַמינג" פֿאַר שטענדיקע פאַרפעלער. אוידיטס דעקן רוטינע יערלעכע ציקלען און "פֿאַר גרונט" פּראָבעס נאָך פאַרפעלטע מעלדונגען, אומזיכערע רעגיסטראַציעס, אָדער באַווייַז גאַפּס. באַמערקענסווערט, די לעצטע פֿאַראַנטוואָרטלעכקייט ליגט ביי דער דירעקטאָרן-ראַט און יחיד דירעקטאָרן - פּערזענלעכע פֿאַראַנטוואָרטלעכקייט איז פאַקטיש פֿאַר מכוון דורכפעלער.
| **דורכברעך סצענאַר** | **פֿײַנע ראַנגע** | **דורכפירונג טריגער** | **אויפֿזיכט נאטיץ** |
|---|---|---|---|
| פארפעלטע באריכטן דעדליינז | €20k–€500k | באַלדיקע ווידער-אויפֿזיכט | צייט-געשטעמפּלטע באַווייזן איבערבליק |
| רעגיסטראַציע פאַרפעלט | ביז €1 מיליאָן | סוספּענשאַן, געצוואונגענע פארלאנג | אויפן אָרט אָדער ווייטער דורכקוק |
| עווידענס/פּאָליטיק גאַפּס | €10k–€250k | וואָרענונג אויף באָרד-לעוועל | איבערקוקט פריערדיגע אוידיט רעזולטאטן |
| באָרד נעגלאַדזשאַנס | יחידישע פֿאַראַנטוואָרטלעכקייט | פערזענלעכע סאנקציעס | ספּעציעלע אוידיט, עפנטלעכע רעקאָרד |
אוידיט גרייטקייט איז איצט א לעבעדיגער סטאטוס, נישט קיין יערליכע געשעעניש; פארשפעטיגונג אדער אויסלאזונג אין יעדן געמאפטן סעקטאר טריגערט א נענטערע אויפזיכט און פארגרעסערטן ריזיקע.
ווי אזוי ווירקט סעקטאָר מאַפּינג אין בולגאַריע אויף די קאָנפאָרמאַטי מיט DORA און דעם EU AI Act?
NIS 2 קאמפלייענס שאפט דעם יסוד פאר DORA (דיגיטאלע אפעראציאנעלע ווידערשטאנד אקט) און דעם אי.יו. AI אקט: אינצידענט לאגס, ריזיקע רעגיסטערס , מענעדזשמענט רעוויוס, און SoA טעקעס פארלאנגט אונטער איין רעזשים ווערן ווידערגענוצט (און איבערגעקוקט) אונטער דעם נעקסטן. DORA (פאר פינאנציעלע/מארקעט ענטיטיס) ווערט דורכגעפירט דורך דעם מיניסטעריום פון פינאנץ און BNB; דער AI אקט וועט גיין הויפטזעכליך דורך SEGA און סעקטאראלע פירער פאר רעגולירטע AI/ML אפעראטארן. די זעלבע רעגיסטראציע און אוידיט וועגן וועלן זיך פארמערן, נישט פארטרעטן, NIS 2 קאנטראלן - יעדע ריס אדער פארעלטערטע פארמעגן אין איין סיסטעם קאמפראמיטירט פאן-אי.יו. קאמפלייענס ווען פריימווערקס קאנווערדזשירן.
| **קומענדיקע רעגולאציע** | **אויפֿזיכט־אויטאָריטעט** | **געטיילטע NIS 2 אַרטיפאַקטן** |
|---|---|---|
| דאָראַ | מיניסטעריום פון פינאַנץ / BNB | אינצידענט לאָגס, ריזיקאָ רעג, SoA |
| אי.יו. איי אקט (פארגעשלאגן) | סעגאַ / סעקטאָר מיניסטעריום | קינסטלעכע אינטעליגענץ לאָגס, עקסעקוטיוו אויפזיכט, באַווייזן |
א מאדולארער צוגאנג - צענטראליזירטע באווייז קיטס, סעקטאר-סינקראניזירטע קאנטאקט ליסטעס, עקספארט-גרייטע אוידיט ארטיפאקטן - איז דער איינציגער וועג צו איבערלעבן ווען די באארדס שטייען פאר קאנווערדזשירנדע פארלאנגען פון קייפל אי.יו. רעגולאטארן.
ווי אזוי העלפט ISMS.online אייך אויטאמאטיזירן בולגאריע NIS 2 מאַפּינג, רעגיסטראַציע און אוידיט וואָרקפלאָו?
ISMS.online סינקראניזירט אייער גאנצע בולגאריע NIS 2 לאנדשאפט, פארבינדט ענטיטי רעגיסטראציע, באווייזן, אינצידענט צייט-ליניעס, און אנגייענדע אויטאריטעט מאַפּינג אין איין וואָלקן סיסטעם. סעקטאָר אַליינמאַנט איז נישט קיין מאַנועלע ספּרעדשיט; יעדע רעגיסטראַציע, קאָנטאַקט, און SoA אַרטעפאַקט איז לעבעדיק, ווערסיע-קאָנטראָלירט, און פארבונדן צום ריכטיקן סופּערווייזערי פּאַטוויי. אויטאָמאַטישע דערמאָנונגען, אָדיט טריילס , אינצידענט אָנזאָג טשעקליסטן, און סעקטאָר-ספּעציפֿישע פּאָליטיק פּאַקס מיינען אַז איר קענט צוטיילן טאַסקס, מאָניטאָרירן קאַמפּלישאַן, און פארטיידיקן אייער גרייטקייט צו ביידע אויטאָריטעטן און באָרדז. באווייז עקספּאָרטן זענען אָדיט-געמאַרקט, SoA און ריזיקאָ רעגיסטער זענען דאַשבאָרד פֿאַר רעאַל-צייט השגחה - אייער קאַמפּליאַנס סטאַטוס איז קיינמאָל אין צווייפל ווען אויטאָריטעטן רופן פֿאַר וואַלידאַציע.
אוידיט גרייטקייט איז נישט וועגן כאפן זיך, עס איז וועגן לעבן מיט בטחון - אייערע קאנטראלן, קאנטאקט רעגיסטערס, און באווייזן, שטענדיג סעקטאר-אויסגעשטעלט און עקספארט-גרייט.
ISO 27001 / NIS 2 אָפּעראַציאָנעלע בריק טאַבעלע
| **ערוואַרטונג** | **אָפּעראַציאָנאַליזאַציע** | **ISO 27001 / NIS 2 רעפ.** |
|---|---|---|
| סעקטאָר מאַפּינג | SEGA + סעקטאָר רעג.; אַרויף-צו-דאַטע מאַפּינג | קל.4 ISO 27001 / אַרט.26–27 NIS 2 |
| באַווײַז באַווײַז | SoA, ריזיקע רעג., אינצידענט און טרענירונג לאגס | קל.6–8 ISO 27001 / אַרט.21–23 NIS 2 |
| אינצידענט מעלדונג | צייטשטעמפלען, נאטיפיקאציע לאגס, צווייענדיקע SPoC | A.5.24–25 ISO 27001 / אַרט.23 NIS 2 |
| ברעט איבערבליק | פּלאַנירטע אָדאַץ, SoA איבערבליק, רי-מאַפּינג | קל.9.3 ISO 27001 / ארט.20, 35 NIS 2 |
טרעיסאַביליטי מיני-טיש
| **טריגער** | **ריזיקע דערהייַנטיקונג** | **SoA/קאָנטראָל** | **באַווײַזן** |
|---|---|---|---|
| גרויס אַוטידזש | רעגיסטרירן/SoA דערהייַנטיקונג | A.5.26, 9.2, ארט.21 | אינצידענט און אָפּזוך לאָגס |
| סעקטאָר מיגראַציע | רעגיסטראַציע ענדערונג | קל.5.1, ארט.26 NIS 2 | טוישן באווייז + SoA |
| שטאב וועקסל | פאַרוואַלטונג איבערבליק/אַפּדייט | A.6.5, 7.2, ארט.20 | צוטריט לאָג, טריינינג רעקאָרד |
נעמט דעם נעקסטן שריט: פארשנעלערט אייער בולגאריע NIS 2 גרייטקייט און אויטאמאטיזירט סעקטאר מאפע מיט ISMS.online - וואו יעדע אויטאריטעט, באווייז ארטעפאקט, און דעדליין בלייבט אויסגעשטעלט, אזוי אז אייער פירערשאפט איז קיינמאל נישט אין פראגע.
