Przedsiębiorcy w nowej, cyfrowej rzeczywistości

17 października zaczyna obowiązywać dyrektywa NIS2, która nakłada na spółki oraz administrację publiczną dodatkowe wymogi w zakresie cyberbezpieczeństwa.

Liczba cyberataków oraz ich skala systematycznie rosną. Biznes traci potężne kwoty, zagrożone są też instytucje państwowe i tzw. infrastruktura krytyczna.

Z raportu KPMG wynika, że aż 66 proc. firm w Polsce odnotowało incydenty związane z naruszeniem bezpieczeństwa. Sytuację mają poprawić unijne regulacje. Jedna z nich właśnie zaczyna obowiązywać. Chodzi dyrektywę NIS2, która znacząco poszerza zakres podmiotów objętych cyberregulacjami. Według szacunków PwC NIS2 obejmie w Polsce ponad 6 tysięcy podmiotów działających w 18 sektorach gospodarki.

Przepisy pod lupą

Dyrektywa ma na celu zacieśnienie współpracy oraz usprawnienie wymiany informacji między państwami UE, co z kolei ma przyspieszyć reakcję na zagrożenia w przestrzeni cyfrowej na poziomie międzynarodowym. Podmioty objęte nowymi przepisami muszą wdrożyć odpowiednie środki związane z bezpieczeństwem w sieci i zapewnić ciągłość działania w przypadku wystąpienia cyberincydentu.

– Dyrektywa wprowadza również obowiązek regularnej analizy i oceny ryzyka, a ponadto monitorowania i raportowania poważnych incydentów w ciągu 24 godzin od ich wykrycia – mówi Krzysztof Jurkanis, menedżer z Asseco Cloud. Z danych tej firmy wynika, że aż 21 proc. przedsiębiorstw nie jest gotowych na spełnienie wymagań NIS2, a 65 proc. jest dopiero w trakcie przygotowań.

– Chcąc zapewnić zgodność z nową dyrektywą, biznes powinien wdrożyć oprogramowanie umożliwiające skanowanie infrastruktury pod kątem podatności, a także rozwiązania zapewniające ciągłości działania, w tym backup danych i narzędzia do przywracania działalności operacyjnej po awarii – wymienia Jurkanis. Dodaje, że nie mniej ważne są cykliczne audyty bezpieczeństwa i szkolenia pracowników.

Dyrektywa wprowadza podział na podmioty kluczowe reprezentujące m.in. sektor energetyczny, finansowy czy administrację publiczną oraz podmioty ważne, np. firmy kurierskie, produkcyjne czy dostawców usług cyfrowych. Pod NIS2 podlegają również podmioty znajdujące się w łańcuchu dostaw organizacji ujętych w rozporządzeniu.

– To oznacza, że nowe wymogi dotyczące cyberbezpieczeństwa mogą dotyczyć nawet przedsiębiorstw, które nie reprezentują branży uwzględnionej przez ustawodawcę – podsumowuje przedstawiciel Asseco Cloud.

Kosztowne ataki

Spółki giełdowe z racji swojego rozmiaru często trafiają na celownik hakerów. Z danych KPMG wynika, że duże przedsiębiorstwa zatrudniające powyżej 250 pracowników stanowią aż jedną trzecią wszystkich podmiotów, które zgłaszają poważne incydenty.

Firmy w Polsce za najpoważniejsze zagrożenia uznają phishing, czyli wyłudzenia danych oraz ataki malware. Z kolei jako największą barierę w trosce o cyberbezpieczeństwo wskazują braki kadrowe oraz ograniczenia budżetowe.

W 2024 r. średni koszt naruszenia danych, będący efektem cyberataku, sięgnął rekordowych 4,9 mln dol. – wynika z danych IBM. Aż 70 proc. poszkodowanych przyznało, że naruszenie było dla ich firm powodem poważnych zakłóceń.