254 - NIS2 е в Закона за киберсигурност, какво се променя?

2:49↗Повечето от тях не успяха. Единици бяха държавите, които успяха в този срок да го направят. Това беше агресивен срок именно поради големия риск, който се усещаше във връзка с войната в Украйна, а множество кибератаки от Азия, произхождащи и така нататък. България поради серия причини, най-вече поради вътрешната политическа нестабилност, също беше в огромна забава. Както виждаме, почти година и половина забава за България. >> Европейската комисия започна процедури, санкционни процедури. Надяваме се, че те сега ще бъдат прекратени, но оставяйки настрана забавата, това е съществена част от европейското законодателство за гарантиране на справедлив, предсказуем и сигурен дигитален цвят. >> И това дава възможност на България да бъде вече на ниво в този аспект. Тоест, нека да го гледаме по-скоро не като набор от нови задължения, а като шанс. Шанс за нашия бизнес, шанс за нашите

3:52↗институции наистина да се подобрят в това, което предоставят те като ниво на киберсигурност. >> Мхм. Добре. На законо ниво разбирам, че сме на ниво, така да се каже. А компаниите във вашите наблюдения готови ли са за този закон? >> Не, разбира се, повечето бизнеси не са готови. А тука е важно уточнение. Тази директива и съответно нашия закон не се прилагат само за частния сектор, а те се прилагат и за публичния сектор. Това е, така бих казал, доста нов подход в европейското законодателство, но изрично и нашият закон ще се отнася за организациите в публичния сектор, естествено държавните предприятия, но и всичко, което е администрации, >> всичко, което е държавни агенции, всичко, което е общини. много важно съдебната власт и ще се върне на нея по-късно, но това нещо ще се прилага за всички тях. Готовността на бизнеса. Това са нови правила. Ще видим колко те са детайлни и колко

4:51↗всеобхватни. В действителност много малко бизнеси са готови, най-вече финансовия сектор. Защо? Защото там имаше друг регламент, който а и налагаше специални изисквания за тях. Тоест, те може би са най-напред и дружества от държавичленки, където вече е била транспонирана директивата, които поради тая причина са в съответствие. Най-вече Италия, тя е една от първите държави, които транспонира директивата и още няколко държави членки в а така северните държави Швеция, Финландия, Германия до известна степен. >> Да. >> За България бих казал, че още всичко тепърва започва. >> Мхм. Говорейки за компаниите, а предполагам си всеки бизнес ще попита две неща. Какви са новите ми задължения и естествено какви санкциите, които ме заплашват? Какво може да кажете в тази посока? >> Да, по отношение на Да започвам с новите задължения, философията на тази директива и нашият закон, бих казал

5:48↗добре следва философията, е, че тя изисква реално съответствие. Не както досега множество от подобни законодателни мерки на съюза, където беше достатъчно документалното съответствие. приемаш едни вътрешни правила, някаква декларация на сайта, някакво информирано съгласие, нещо за потребителите. Не, тука трябва да се гарантира резултат, резултат на високо ниво на защита. Тоест философията е съвсем различна и тя ще изисква много повече действително съответствие, отколкото чисто документално. >> Мхм. По отношение на задълженията, а има две големи групи предприятия, които ще попаднат, а съществените и важните предприятия. Сега класификацията е технически въпрос, правни и технически. Тя зависи от секторите. Имаме сектори, които са така наречените в приложение но, които са най-чувствителните. Там има енергетика, транспорт, а комуникации. финансовия сектор, който досега тези

6:51↗части от него, които не са били обхванати и други. Отделно има и важни, които по втория второто приложение, които са допълнителни вериги на доставки, хранителни хранителния сектор, научните изследвания и множество други. Също така има значение големината на предприятието, бизнеса, в който то оперира, доколко то е значимо за съответната държава. Тук ще има много важна роля националния орган, който ще направи регистър и ще определи кои предприятия какви са. Така те ще знаят какво трябва ще трябва да правят и какво няма да трябва да правят. Това е ключов елемент, който трябва да се случи до входа на тази година. >> А и предприятията ще трябва да го следят това нещо. Това е по отношение на обхвата, по отношение на задълженията. Те ще трябва да предприемат серия мерки. Ще трябва да въведат документални мерки, технически мерки, готовност при инцидент, много ясна вътрешна

7:57↗организация, кой за какво отговаря в какъв момент и съответно ще трябва да могат да докажат, че всичко това е действително работещо. Вече в зависимост от типа предприятие ще има нужда от множество по-малко или повече различни вътрешни документи, правила и така нататък. Освен правила за киберсигурност, правила за достъп до отделните системи, някои ще трябва да въведат двуфакторна идентификация, а правила за инфраструктурна сигурност. Много важен нов елемент ще бъде изискванията и правилата към доставчиците. вече аз ще трябва дружеството ще трябва да отговаря не само за себе си, но и за своите доставчици. Ако купува оборудване примерно от водеща IT компания, ще трябва да се подсигури, че нейното, че това оборудване, което му се предлага или този софтуер, който му се предлага, е на ниво. Тук е много важно всяко предприятие, всяка държавна администрация своевременно да направи така наречения

8:58↗мапинг, а да идентифицира попадали в обхвата на закона и ако попада, с какъв интензитет трябва да го прилага и от какво ще има нужда с оглед оценката на риска, колко е рисково това, което се занимава и конкретния сектор, какво ще има необходимост. Това е комбинация между правен и технически анализ. А вече работим по такива проекти за няколко клиента и трябва да кажа е доста полезно за самите предприятия. Така те опознават много добре системата си в момента как е. Не само как е на хартия, как е на практика. >> Служителите какво ползват, >> как си качват файловете, как влизат в личните си имейли. >> Нещо, което трябва да са направили по принцип реално, но не винаги са >> Да. Животът се случва малко по-различно. какви са им доставчиците. Тоест вече виждаме, че тази регулация, да, тя води до разходи, тя води до някакви ангажименти, но тя помага на бизнесите.

9:56↗>> Да. Добре. Аа има ли някакво долна граница за обхват, защото една от критиките на киберекспертите, по-скоро на експертите по киберсигурност е, че малкият български бизнес редовно си казва:"Е аз съм прекалено, прекалено малък. Няма да >> няма как да съм интересен за някой хер". >> По отношение на предприятията, които са в така нареченото приложение Ено към закона, тези, които са най-чувствителните сектори, енергетика, здравеопазване, транспорт, там няма значение от размера на предприятието. Да, >> там те трябва да отговарят, трябва да предприемат мерки да отговарят. >> Мхм. >> Допълнително ще се види и националния регулаторен орган, а нали Съвет по киберсигурност, който ще започне да оперира, който вече всъщност оперира, но ще има нови функции. Той как ще възприеме това нещо? Но очакването е, че това ще се прилага и за най-малките, ако попадат в най-чувствителните сектори, >> да

10:51↗>> или ако тяхната дейност е особено чувствителна за българската икономика. Има такива предприятия и бизнеси, които макар и много малки, са единствени в страната >> и ще трябва да >> бъдат съответствие. >> Да. А препре предварителен разговор си говорихме, че за разлика от други подобни директиви и закони в случая не става дума само за документално доказване на нещо си, а реална техническа работа, която трябва да се извърши. Преглеждане на сървъри, на практики, на да >> стратегии за киберсигурност и управление на ри риска. Голям завой ли е за компаниите ту >> по принцип? Да. Това бих казал един от най-големите завои, защото тука съответствието с разпоредбите на този закон фундаментално променя досегашната философия. >> Няма да стане просто с правила. Повечето големи предприятия или повечето предприятия с чувствителен бизнес използват нови методи, като примерно

11:46↗тестове за проникване, тестове, физически тестове, така наречените бели хакери, които тестват техните системи. Това нещо се документира, за да видят а дали тези алгоритми, тези правила, които са създадени, наистина работят, дали не само на хартия. И всъщност това нещо допринася да опознаеш бизнеса, да видиш къде наистина имаш пропуски, да повишиш нивото на сигурност, но това ще бъде част от задълженията на мениджмънта. А тука ще отворя една скопка по този закон, нали сега, след като влезнаха в сила измененията на 17 февруари в държавен вестник бяха публикувани, се променя фокусът вече. Това няма да бъде задължение на IT службата в едно предприятие или в едно държавно учреждение. Това ще бъде задължение на управленския персонал на най-високо ниво. Лично управителите и директорите на предприятията ще имат конкретни задължения във връзка с това те ще трябва редовно да се обучават те

12:41↗самите и да подсигуряват също за служителите. Тоест тука вече се обръщаме към признато е, че киберсигурността е отговорност на най-висшия мениджмънт и то е едно от съществените му задължения. Тоест това също е фундаментална промяна, която изисква наистина работещи решения, а не просто правила и политики. Да. >> Да. Аз доколкото видях коментари в LinkedIn и други така а места, където хвърши или персоналисти говорят, хората обърнаха внимание на включването на органите на съдебната власт в обхвата на на закона. Важна стъпка ли е това и какво означава? Рае леко го загатахте в началото, но може да го разширим. Действително не само, нека да го кажем, не само съдебната власт, целият административен сектор, целия публичен сектор. >> Съдебната власт е много особено, защото така поради серия причини тя беше останала малко встрани от усилията за киберсигурност на публичния сектор, на

13:38↗изпълнителната власт >> поради нейната независимост. Тука може да кажем, че България, Висшият съдебен съвет, беше все пак предприел доста мерки за модернизация на IT инфраструктурата на съдебната власт. Знаем различните нови системи, нови или по-малко нови системи като ЕСС, едината информационна система на съдилищата, ЕПЕП, единият портал за електронно правосъдие. Тоест, вече беше направено усилие не само към потребителите, но и към нивото на сигурност, което като че ли сме напред спрямо някои други държави-членки на Европейския съюз. >> Тоест, тука ще има нови задължения, но да кажем, че може би съдебната власт е на по-добра стартова позиция от други сектори в държавното управление. >> Същевременно не трябва да подценяваме тези задължения. ще трябва да се направят инвестиции в мрежова сигурност, както и в правила, начин на работа, който наистина да бъде

14:34↗доказано, че работи, че функционира. И тези правила, вярвам като адвокат, като потребител на съдебната система >> ще доведат и допълнително доверие може би от един момент нататъка. >> Помним, че имаше неприятни ситуации в съдебната система, периоди, в които не работеше търговския регистър. помним, че имаше в съдебната система оспорване на избори за висъдебен съвет във връзка именно с IT проблем, фундаментален проблем. Тоест това е един от аспектите за увеличаване, за връщане на доверието в правосъдието. >> Да. По време сега на второто гласуване в зала на на закона доста така шум имаше около а веригите за доставки, най-вече за комуникационно оборудване за операторите. А в тази посока има ли нещо предвидено в закона? >> Да. Законът следва духа на европейската директива. Държавите членки и съответно на ниво Европейски съюз комисията ще могат да ограничат определени технологии

15:35↗>> или определени конкретни доставчици или доставчици от определени трети държави. >> Да. >> А във връзка със съображение за киберсигурност. Не е тайна, че това е насочено към бизнесите от конкретни държави, >> най-вече може би Китай, други азиатски държави, може би в някакъв момент Щатите. И тука както и на ниво Европейска комисия, така и на ниво въвеждане в България имаше силна съпротива от различни а бизнеси. Именно затова не е тайна, че някои бизнеси в компютърния компютърната сфера, телекомуникационния сектор са силно зависими от оборудване, което е произведено извън Европейския съюз, >> от производители от трети държави като Китай, като Щатите, от мрежова инфраструктура от тези държави и там се поставя рискът, че първо те ще трябва много сериозно да тестват и да предвидят как ще реагират при евентуална такава забрана, още сме много далече от нея, но

16:41↗също така ще трябва да подсигурят реално, че няма заплахи за киберсигурността. А как се случва това с оборудване, което е внедрено преди три или четири години? Как ще могат те да изменят договорите си с тези доставчици? И тука възникват много въпроси, но това е една допълнителна възможност за Република България, допълнителна възможност за съюза да ги да гарантират високо ниво на киберсигурност за всички нас. >> Да. Добре, да се върнем на бизнесите, които в момента ще бъдат обхванати от закона. А предлагам, че България закъснява с транспонирането на директивата, но но бизнесът се интересува и пита какво най-често питат бизнесите, очаквайки въвеждането, по-скоро приемането на този закон. >> А само да кажа, България е закъсняла, но почти всички държави-членки са закъснели. Точно преди да дойда за среща с вас, гледах карта на нивото на имплементация на тая директива.

17:38↗Франция примерно все още не е приела съответния си закон и други държави членки също Полша и така нататък. Какво пита бизнеса? Има две групи. Има бизнеси, които са се отнесли много сериозно към въпроса, които действително искат да го да се отнесат по начин, а който да подобри тяхната сама самата им инфраструктура. Това са бизнеси обикновено в най-чувствителните сектори. >> Да. бизнеси от държави-членки, където вече е въведено това законодателство или бизнеси, които наистина вече са страдали от такъв тип заплахи. >> Да, >> там ние виждаме множество въпроси, които са на този етап поради липсата на българско законодателство. Фокусът им беше технически. Фокусът им беше да да работят със съответните външни консултанти или вътрешни екипи, да разберат къде са им слабостите, какво е нивото на риск, какво може да направим, какво наистина правят нашите служители, как да подобрим нивото на

18:37↗подход на служителите към киберсигурността, смяната на паролите, досадната смяна на паролите през две седмици примерно, да има малка голяма буква, не знам какво. Тези всички неща в >> момента са по-скоро на техническо ниво. Когато се видя, че България ще приеме закона, рязко се увеличи броят на правните въпроси. Какви ще са ни рисковете? Как може да се предпазим? Евентуални договорни клаузи за застраховки, какви са отговорност отговорност отговорностите за мениджмънта, за директорите. Това са основните въпроси. Втората група предприятия са тези, които не бяха готови досега и тепърва ще трябва да наваксат. Там обикновено въпросите са може да ни дадете готов продукт. Кажете ни какво трябва да направим. Елате, помогнете ни с технически консултант и така нататък, да възможно най-бързо да се приведем в съответствие. Да. >> А за съжаление бързите усилия в тази

19:31↗насока, да, пак са полезни, но няма да бъде на същото ниво като тези бизнеси, които от две години си мислят къде са нашите рискове, какво може да направим. >> Да. А по отношение на тази проактивност, така да го кажем, на бизнесите, забелязвате ли зависимост от размера на на компаниите и също така дали компанията е българска или е представителство на голяма корпорация с българско предводство? Тук има ли? >> А, естествено компаниите, които са много национални, със сигурност в някоя друга държава вече е трябвало да предприемат мерки. Тоест те са най-вероятно по-напред. Те вече са го правили, знаят и така нататък. Българските българските бизнеси по принцип имат по-малко ниво на чувствителност към киберзаплахите. Последните две години наблюдаваме рязко увеличение на броя на киберзаплахите към България. >> Хм. >> Например пфейк измамите са нещо, което ние виждаме значителен, много

20:26↗притеснителен риск. Български предприятия също станаха жертва на такъв тип измами. Тоест, мислим, че нашето впечатление е, че усещането на бизнеса вече е много по-различно, от каквото беше преди две години на тема киберсигурност. Инцидентът, който имаше с НАП, а също показа, че това е нещо, което стои и реално ни засяга. Истината е, че много такъв много инциденти от този тип остават тайна. Никое дружество не иска да кажез изпитах такъв инцидент. Да има законодателство за личните данни, задължителни нотификации, уведомления, ще има все повече, но истината е, че много предприятия се опитват да го запазят. Не е приятна тема. Потенциална ще е много лоша може да бъде, така че разбираем. >> Огни щетите могат да бъдат огромни. Санкциите по този закон, това е нещо, което а бих искал специално да обърна внимание. По този по българския закон санкциите могат да бъдат до 7 милиона

21:18↗еро, могат да бъдат до 14 милиона евро в някои случаи или до определен процент от световния оборот на предприятията. Тоест тука санкциите могат да бъдат много сериозни. В допълнение освен санкции за юридическото лице може да има в санкции за управителя и директорите на това юридическо лице. Тоест а нали в нашия контекст се притесняваме това да не се превърне в поредната бухалка. Обаче да допуснем, а, че законодателството ще се прилага добросъвестно, пак това е голям риск и съответно необходимостта от предприемане на мерки вече се усеща и от българските предприятия. >> Хм. Добре, аз предлагам да направим такъв лек завой. В предварителните разговори вие споделихте, че имате така богат опит с а измами в пососка или може би опити за измами, не знам, в посока а дип фейкове и така нататък. Така да споделите някоя интересна история, без разбира се да разкривам анонимността на

22:15↗на засегнатите ко компании. Нещо, което и по-скоро не толкова да сочим с пръст, колкото да аа помогнем на хората, които ни гледат да направят правилните изводи за това, че тия неща се слух. От една страна стават и от друга страна какво може да направят. Да, действително в момента работим по множество мандати за клиенти, които са станали жертва на Deep пфейк, както за чуждестранни лица, така и за български. >> Какво представлява Deep пфейк? Това е благодарение на новите технологии изкуствения интелект, реално след 30 секунди записване на наглас и на образ на човека може да се генерира много качествена имитация. Какво >> сега след този блог ето така ще има видео с мен, което ще продължава колко? 15-20 минути. Ще може перфектно да се имитира гласа ми, миката ми, начина на говорене. И всъщност тези измами са в контекста на предприятия, а заповеди, нареждания за плащане или за някакви

23:13↗други действия, които се правят, имитирайки вътрешната комуникация, имейли обаждания видеоконферентни разговори с ръководителите, които дават най-често инструкция на счетоводителите да преведат пари по сметки, които са на измамниците. >> Това така звучи. Все едно човек би си казал никога няма да да се случи с мен. А аз съм попадал на такива измами, където видеото примерно с инструкция от изпълнителен директор към главен финансов директор на едно дружество е с толкова високо качество, че трябваше тройна експертиза да установи, че това е наистина пфейк. Самият човек казва: "Аз като се гледам не мога да разбера, че не съм аз." А имам случай има много български дружества, които станаха жертва на такъв тип измами. Наскоро имаше аа интервю с служители от дирекция киберсигурност, главна дирекция борба с организираната престъпност, които разказаха за такива

24:09↗случаи. Ние имаме случаи с наши клиенти, които са нареждали преводи погрешка за милиони евро към сметки на под на лица, които не са им истинските контрагенти. >> Хм. >> Това е нещо, което се случва. Да, >> това е нещото, което вече е в много сериозен трансграничен характер. Преди това ги имаше същите измами по имейл. В момента те са много по сложни, много по-добре направени и обикновено парите излизат извън Европейския съюз и е много трудно да бъдат прибрани. >> Има в момента цели бизнеси, които се занимават с така наречения асетсинг. Като се случи такава измама, е много важно в първите часове да може да реагираме, да спасим възможно най-много средства, но това е реалност. Няколко големи български предприятия станаха жертва на това миналата година. Така смея да твърдя, те са първите, които вече имат високо ниво на киберсигурност поради тия неприятни обстоятелства.

25:03↗>> Да. Неволята учи, дето се вика. Неволята учи. >> Добре. А може би като фина финален въпрос, пак да се върна за секунда на на закона. Въпросният така списък със съществените и другите а субекти, които са обхванати от закона. А той, доколкото разбирам, няма да е публичен, нали? А законът, това, което е публично и то, той в закона определено са секторите, съответно за кои предприятия, малки, средни, големи и така нататък, кои сектори се прилага. Тоест в закона е първият елемент. Следващият елемент ще бъде а регистър, който ще се води пред самите предприятия, ще имат задължение да се регистрират в регистър. Те и досега някои от тях имаха и след това държавните органи, нали, Националният съвет ще води списък на тези предприятия, за да може по-добре да ги проверява. >> Този списък ще бъде съществен за тях да знаят, че трябва да си изпълняват ангажиментите,

26:04↗но а първата стъпка е предприятията сами да дефинират те в кой сектор са, в какъв се с какъв размер са, какъв обем бизнес имат, >> дали попадат или не. Това е първата стъпка и това е нещо, което трябва незабавно да се направи. Да, законът предвижда някои а срокове да се приеме наредба, да се приеме национална стратегия, да се приемат определени мерки и така нататък, но основният корпус на закона е вече приложим до такава степен, че дори законодателят е предвидил един междинен период до това лято, до мисля, че до 1ви юни, когато глобите ще бъдат намалени с 50%. Мхм. >> Но това е ясен знак. Законът се прилага. Повечето задължения са там и трябва вече да се съобразяваме с тях. >> Да. Те хората знаят, че реално полето закона е в сила технически от >> 17 февруари. >> Да. Това беше всичко от нас за днес. Не забравяйте да ни изследвате в онлайн платформите. Харесайте ни в YouTube,

27:04↗следвайте ни в Facebook и до нови срещи. เฮ