Законът за киберсигурност и NIS2 (част 1)

2:26↗Значи режисьорът много искаше да си облека нещо дълго и черно за епизода с киберсигурност и да приличам на тринити от матрицата. Обаче аз единственото дълго черно, което имам, е адвокатската тога. И си казахто отново връзката между правото и действителността. Значи, веднага ви демонстрирам реплики от матрицата, които със сигурност можете да чуете и от адвоката. Добре дошъл в истинския свят. Освободи ума си ума си. Всяко нещо има начало и край. Едно е да знаеш как да изминеш пътя, друго е да го изминеш. Невежеството е блаженство. Събуди се Нео >> е последното. Да, в философски смисъл става и толкова. >> Да. А, благодаря за поканата. А киберсигурност, да, всъщност това така дума, която се утвърждава в последно време все повече и повече с приемането на NIS 2. Заменяме и терминологичном мрежова информационна сигурност с понятието киберсигурност. А смятам, че това

3:40↗неминуемо води до а така промяна не само терминологично, но и в подхода на организациите, тъй като все повече се увеличават заплахите в дигитална среда, което неминумо изисква по-голяма а киберсигурност от гледна точка на защита на рисковете, които произтичат, да речем, за пробиви в сигурността на организацията. Но вече акцентът с NIS 2 е и за устойчивост на организациите. Тоест не само да се предотвратят пробиви, а такива киберзаплахи, които имаме и наблюдаваме непрекъснато, но и организацията дори да се случи такъв пробив, да бъде устойчива и да може да възобнови и да продължи своя бизнес. Така че това е акцентът, който бих поставила като а за начало. >> Да, всъщност една крачка назад. Вие може да си преговорите епизода ни от лятото, където обясняваме, че преди имаше една директива, която се казваше низ 1. Всъщност тя се отнасяше до мрежовата информационна сигурност на конкретни,

4:37↗по-скоро публични организации. Сега вече имаме низ две и обхватът сериозно се разширява. В България обхватът се разширява още повече, но може ли Цветан да кажем всъщност, че киберсигурността представлява мрежовата сигурност и информационната сигурност? Тоест това са а данните, които се съхраняват в дигитален формат и тяхното пренасяне. Това ли е най-лесното определение за киберсигурност в бизнес света или ти си го представяш по друг начин? >> По въпроса има малко противоположни мнения. А когато аз говоря за този тип сигурност, аз говоря за информационна сигурност. Защо? Защото а всъщност визирайки киберсигурност, казваме, че защитаваме всички данни, които са в дигитален вид, цифровид. А обаче и цялата тази информация, обаче част от информацията а може да съществува и не само в цифровита, ами на хартиен или под някаква друга форма. Дори дори част от информацията съществува в хората и ако

5:47↗тя изтече по някакъв начин злонамерен, това също е част от а нарушаване на информационната сигурност. Затова за мен и за част от колегите в бранша киберсигурността, такава каквато за каквато говори за която говорим ние тука, е част от информационната сигурност. Но да, а киберсигурността това е наистина защита на данните, които са в най-общия случай, защото си обещахме да си говорим на популярен език, >> на данните, които са в цифров вид >> и се съхраняват от даден субект, независимо кой е той. >> Да. Между другото, ние имахме един коментар на а предишния ни епизод, който коментирахме Нис 2, преди закона да се появи у нас, а който гласеше буквално: "Ама каква киберсигурност, то няма такова нещо." Така че нека да разберем днес какво има и какво няма в България. Аа и може би като следващ въпрос за мен е важно да уточним какво е вашето мнение от гледна точка на бизнеса и от гледна

6:49↗точка на правото. А защо се получи така, че българският законодател подходи доста амбициозно и сериозно надгради секторите на приложимост по директивата? А и въобще мен понякога ми се струва, че може би трябваше да бъде регламент тази директива, както е GDPR, тоест защо? За да обясним на зрителите, за да има пряко приложение и да не се мисли толкова по въпроса на национално ниво, защото се губи идеята да се хър хармонизира правната рамка. Но въпреки това какво каква беше идеята според вас тук у нас? Да да да сме по-напред от другите, да сме някакъв балкански хъб на сигурност. Защо така сериозно се разшири приложимостта на на Нис две у нас? >> Към мен или към >> Ами хайде да чуем бизнеса този път първо. Бизнесът както винаги мисли малко повече а да кажем в бъдеще. Какво какво беше преди? А малко някак си неглежирахме тази тема. Аа абе има някакви изисквания на тема

8:03↗киберсигурност, ама те не са толкова задължителни. А голяма част от хората разсъждават и това за съжаление понякога е пагубно. Абе, на мен няма да ми се случи. Пък ще го мисля, като ми се случи. Да де, ама като се случи някои от нещата могат да бъдат фатални. И аз мисля, че част от логиката за това да имаме закон, а не е директива, а и наистина >> а да въведем тая законова рамка е точно това, че известно време при нас се неглежираше в България се неглежираше темата киберсигурност и последиците от нея. Няма да ги коментираме подробно, но там те са и финансови, и имиджови, репутационни, да не говорим, нали, и за другите, които нещата, които произлизат и санкциите и така нататък. И затова за мен макар и бизнесът винаги да се пази от това да има толкова строга законодателна рамка, в този случай това не е лошо. А нали винаги ще има привърженици на темата по темата и а плюс и минус, нали?

9:15↗Но аз казвам така, а имаме закона, той втвърдява малко нещата и тогава, когато свикнем с тях аа и да правим това, което се изисква от закона, няма да ни се струва толкова трудно. Да не говорим, че голяма част от Ама тук мисля, че по-нататък сме предвидили да си говорим. Голяма част от субектите, които са в обхвата на NIS 2 са по-скоро вече почти подготвени, бидейки, да кажем, сертифицирани, а по Исо, което е 2700 стандарта за >> информационна сигурност. Така че тук какво се случи? А, надградихме с няколко неща. Едно от тях е и за мен е много полезно вкарвайки отговорността на ръководството на а субектите >> в същото време се вкара една задължителност за тяхното обучение. Това е за мен доста положително. Защо? Защото хората, които ръководеха бизнеса до момента, част от тях а някак си оставаха м настрани тая тема. >> Някои от тях дори не можеха да си

10:26↗>> си представят какво може да се случи на да кажем на една компания. тогава, когато а има ко а е компрометирана сигурността, киберсигурността. Това е едното нещо. Другото нещо е а м това, което направиха в закона аа фиксирането на обучението да бъде правено аа на всеки две години, докато низ 2 дава една свобода. Тя казват имаме обучение, но не фиксира кога. И другото, което е нали тук нашите малко пипнаха санкционния таван, а малко сме под европейския максимум, >> което нали някак си облекчава нещата, но в същото време а е доста доста стриктен законът по отношение на санкциите, >> но пък имаме и едни €5 000 за управителния. Да. И имаме и личната санкция на управителите на на ръководните органи, което също донякъде >> като че ли повишава а степента на а така опитвам се да намеря българския термин а на а внимателност, да го наречем, да, на бдителност, защото в сигурността, в

11:36↗която и да е сигурност, това е най-важното нещо всъщност. А това предварително сме подготвени за нещата. Е много по-важно. >> Много благодаря, че го каза, защото една следварително >> ама да една приятелка съвсем скоро каза, която следи също подкаста, казако, ако те слуша човек, ти всъщност във всеки епизод казваш подготовка, GDPR, обучение на основата на GDPR. И аз казвам да, защото поне това ако остане в хората без подготовка не става. А и това, което всъщност обсъждахме с вас и докато коментирахме този епизод, беше действително това а може ли, възможно ли е всъщност бизнесът, една част от бизнеса, разбира се, тук в никакъв случай не слагаме целия бизнес в една кошница, но бизнесът, който не е готов дори по GDPR все още, сега бързичко да навакса с Нис 2. Това предстои да го видим. Но, но твоята гледна точка като колега, ти какво мислиш за това сериозно

12:34↗надграждане? И [хърка] може би тука довкараме и допълнителния въпрос. А нямаш ли усещането, че реално така поставена правната рамка у нас на национално ниво покрива почти всички а организации? >> Да. Една всеобхватност. >> Една всеобхватност. Да. Нека да обясним, разбира се, че има и размер, и секторно разделение, за да знаят хората за какво става дума. Но >> да, аз първо ще започна с позитивите от надграждането, които а вече споменахме за санкционния режим. Да. А >> добре е да има строги санкции, което разбира се има мотивиращ ефект, но по отношение на минималните размери, които българският закон установи, това не произтича от директивата. Това е национално решение. А ти както си спомняш, предполагам, когато правихме промени в закона за защита на личните данни, също се дискутираше минимум санкции, но тогава отпадна. А сега тук имаме 000 за съществените, 500 за

13:37↗важните субекти като едни минимални а нива, под които органът не може да падне, което в известна степен >> намалява административната гъвкавост и може да доведе до в някои случаи необосновано високи нива на а на глоби. А по отношение на обхвата на секторите за мен нелогично е по отношение на хранителния сектор, тъй като там има и доста негативни мнения вече изказани от компании, които биха попаднали в обхвата, тъй като е доста по-разширен от това, което директивата предвижда. Тъй като >> да кажем тук директивата говори за 10 сектора, ние сме 18, значи почти двойно. Да. Конкретно в сектор храни логиката на директивата да се обхване дистрибуция на едро, индустриално производство на храни, докато нашият законодател, както е в момента правилото в закона, ще обхване на практика всички в сектор храни, производство, разпространение и дистрибуция цялата верига, което е доста

14:38↗всеобхватно. Разбира се, както и ти каза, имаме критерии >> за персонал, за обороти. Тези критерии, които знаем от закона за малките и средни, >> нека да ги обясним на хората, за да знаят какви са критериите за размер. Защо Защо поглеждаме към малките и средните предприятия, а освен секторите? И всъщност може би още нещо да кажем, преди да обясниш това на бизнеса, че когато отворим закона, аа гледаме основно първата му част и приложенията. Две глави има основно там. Във втората глава а се говори за това кои ще бъдат надзорните органи и кое министерство, Министерство на електронното управление отговаря за за киберсигурността, но бизнесът реално се интересува от самоопределянето си влиза или не влиза в тази регулация и от приложенията на съществени, несъществени, важни. Така че дай, моля те, първо обяснение за размера, след това разделение на съществени и важни, критични и така

15:40↗нататък, за да стане ясно. >> Да. А идеята на европейския законодател, първо изхождайки от директивата, е да обхване компании, които са в попадат в категориите средни и големи предприятия, а и те имат критично значение, така да се каже, за цялата икономика. А, имаме разграничение по сектори, съществени субекти, които попадат в приложение едно, което ти спомена и приложение две, което е други критични сектори и попадайки бизнеса в някои от тях бил квалифициран като важен субект по смисъла на директивата и съответно на българския закон. А сега тук да не сме изчерпателни при изброяването, но например съществени субекти са компании в енергиен сектор, питейна вода, снабдяване, а от друга страна пък важни субекти там попадат пощенски, куриерски, храните, както споменахме, доста разширено спрямо европейското виждане на нещата, а и много други компании, 18 са

16:44↗секторите, които попадат. Тук може би интересно е да споменем и за публичната администрация, защото макар по Нис едно да не беше задължително нейното включване, а при транспониране в държавите членки, в България публичната администрация попадна още 2018 в първоначалния закон за киберсигурност, но това не доведе до по-високо ниво. Да, имахме инциденти, какъвто беше течен на данни а в НАП. Да. Така че това не доведе до повишаване на информационната сигурност. Сега по новото понятие терминологично киберсигурност, но се надяваме за в бъдеще, предвид вече новия режим, да повиши киберсигурността и в публичната администрация. А и нещо, което на което искам да обърна внимание също, което считам, че пак е утежнение за бизнеса а при транспониране на директивата в България, а по отношение на а регистрацията. Сега ще споменем и различните виждания, които а които битуват в бизнеса. Има ли

17:49↗задължение за регистрация, как се случва тя? Но това, което неминуемо ще трябва да се случи в бъдеще, е и уведомяване за промени, които в този регистър, който ще води Министерството на електронното управление, а когато се случат промени, субектите ще трябва да уведомяват. И тук има един кратък срок, който българският законодател а предвижда, двуседмичен, а което е доста кратък срок в сравнение с това, което дава като възможност директивата. Там е тримесечен срокът и в такива сектори, където има >> процеси посливания, придобивания, нали, трансформации, които се случват в бизнеса, може би последното нещо, за което ще се сетят, е в краткия двуседмичен срок да подадат уведомлението за промена в обстоятелства. А може да бъде санкционирано и казахме, имаме и минимуми санкции тук, които >> застрашават бизнеса. Да. А в такъв случай може ли да направим едно а така по-опроростенческо

18:46↗обяснение на целта на цялата законодателна рамка е всъщност действително да обхване онези организации аа чийто евентуален пробив в мрежовата и или критичната инфраструктара информационната сигурност би се отразило негативно на цялото общество. И оттук насетне, разбира се, ние говорим за една правна рамка, която трябва да обхване и целия Европейски съюз, нали. Това е правна рамка, която се повтаря, макар с тези разлики, за които си говорим днес във всички държави-членки. Тоест, а ние трябва четейки закона като част от бизнеса, първо да преценим дали попадаме в определението за малко и средно предприятие. Можем ли все пак да споменем а рамките? >> Да. Критериите, които са добре познати на бизнеса от закона за малките и средни предприятия. Големи предприятия са тези, които имат над 250 служители, годишен оборот над 50 милионаро. Средни предприятия, ако имат над 50 служители,

19:48↗попадат в тази графа. Алтернативно може да са под 50 служителите, но ако имат над 10 милионаро годишен оборот, също попадат в категорията средни предприятия. И целта на директивата, както споменах, е да обхване средните и големи предприятия, но в някои случаи дори малки компании могат да попаднат в обхвата. >> Да, точно това исках да уточним. >> Да. А в някои сектори, които са са споменати и определени в директивата и в закона, а например телекомите, доставчиците на удостоверителни услуги, регистри на имена на домейни от първо ниво и друго важно допълнение, други критични. Тоест, държавата може да определи тука с други критични отваря врата за доста широко тълкуване. >> Аа и това е важно да се разбере, защото да, вие гледате дали попадате, дали сте средно или голямо предприятие и минавате след това на приложенията. Виждате дали попадате там. Особено ще си говорим след

20:42↗малко със Цветан какво е иката услуги, как много лесно попадаме в това определение и след това обаче оставате в напрежение, защото държавата може да прецени, че въпреки това сте а критични за националната информационна сигурност. Аа но тук е хубаво да уточним и още нещо, което се оказа, между другото и спор между нас, юристите. А тъй като низ 2, нейната идея на тази директива е да се прехвърли малко отговорността върху бизнеса и той сам да може да определи дали попада а под ударите на този европейски закон и дали всъщност може да бъде определен за съществен, важен, критичен, за информационната сигурност. М но в България сякаш се случва отново нещо малко по-различно. Дай да разплетем и тази мистика на тълкуване. А както както ти загатна, идеята на директивата е да има самоопределяне от страна на бизнеса, тоест разполагайки с детайлно описаните сектори в приложение едно, в

21:51↗приложение две, разполагайки с критериите, които споменахме за оборотите, за персонала. Тоест, имайки тази информация, компанията може да се самоопредели, да прецени, че попада в обхвата и да започне да се подготвя. А, но от друга страна, а както е написан в момента текстът на закона, излиза, че държавата запазва, така да го наречем, административния подход, който беше възприт 2018 г., а именно да а да имаме подзаконова рамка, в която да се предвижда методика за определяне на задължените субекти. а те да бъдат определени от националните компетентни органи. А виждаме, че според сроковете това трябва да се случи, методиката да имаме в следващите шест месеца, а а пък след това органите да разполагат с още пет допълнителни месеца, за да определят съществените и важните субекти, да информират министъра на електронното управление, който ще води регистър за тези субекти. Тоест, по този начин,

22:51↗както е разписан законът, излиза, че това е едното тълкуване, което както споменах се среща, а излиза, че компаниите все още са могат да изчакват те да бъдат определени и да бъдат уведомени и вписани в съответния регистър. А, но да, разнопосочни са двете мнения. Разнопосочни са, да, щеше ми се едно обобщение всъщност, за да разберат зрителите. Тоест в момента имаме закон за киберсигурност. Но ни липсва първо един подзаконов акт, който да каже всъщност какви са изискванията към организациите, които попадат вътре, технически, организационни. Още един подзаконов акт ни липсва, който ни казва, че държавата ще ни определи дали попадаме аа в приложение едно или приложение две, липсва ни и регистърът. Казвам го това, тъй като бизнесът в момента е разделен също на две и е в напрежение да се подготвя ли или да чака държавата да му каже да се подготвя. Аа и според мен всъщност Цветан аз

23:54↗мисля, че бизнесът трябва да си се подготвя, независимо дали държавата ще му каже нещо или не, защото иначе аа изпадаме в драмата аа да се окаже, че попадаме под низ две и не знаем какво да правим. Не знаем какво каква информация трябва или не трябва да предоставим на държавата и още по-зле всъщност не сме готови да посрещнем инцидент, което всъщност е целта на цялата рамка, нали? Не толкова на кого ще кажем какви сме, а можем ли да защитим информационната си сигурност. А и в тази връзка можеш ли ти от гледна точка на не само на бизнеса, а на технологичния елемент на тази правна рамка да обясниш какво се променя нагледно между традиционното разбиране за а информационна сигурност аа между спокойствието на бизнеса, който има, да речем, както спомена и ти, сертификати СО 27001 или пък СОК 2. А и това, което в момента иска Законат за киберсигурност от вас.

25:06↗>> Сега ще се опитам да го да го обясня с едно сравнение, а наистина популярно. Представете си един средновековен замък с роф около него. А всъщност това е било едно от средствата за затрудняване или защита на проникване на нападатели отвън. А тук нещата са по следния начин. Замъкът е субектът, а рова е традиционната киберсигурност. Тя приемаше, че щом сме защитени отвън от външни а въздействия, х >> всичко е наред. Вътре сме спокойни. >> Наред. Нис 2 обръща нещата и казва: "Да де, хубаво, аз имам рова и съм защитен отвън, обаче се притеснявам, че вътре може да имам предатели или че вътре може нещо да не ми е наред и затова не мога да съм спокоен." Тоест разликата е, грубо казано тази. А в единия случай рова ни пази, нямаме проблем. Щом вътре всичко ни е наред или смятаме, че всичко ни е наред, ние сме спокойни. В другия случай казваме, добре, ние сме защитени отвън, обаче а

26:22↗трябва да се пазим и отвътре. И всъщност това е а тука един а може би единствено ще използвам една чуждица, но тя е много много аа напоследък използвана зиро отръст а терминологията. А тогава, когато не вярваме на нищо и проверяваме всичко, тоест не вярваме на това, че отвън сме защитени на тези отвън, които се опитват да влязат при нас, но в същото време не вярваме на това, което се случва вътре. Хм. >> За да може да сме спокойни, че и отвътре става. Това е разликата между традиционната и низ 2, а промотираната сигурност. Ако трябва да бъдем конкретни, те са няколко неща. Едното е целта. Целта на традиционната е предотвратяване на пробиви, а целта на нис е осигуряване на непрекъснатост на дейността на субекта дори и при успешна атака. Това е едното. Второто е в в метриката а традиционната сигурност, киберсигурност казваше нулеви инциденти. Тоест няма да допуснем нищо. Само че в

27:24↗сигурността и в във всяка една точка на сигурността няма такова нещо като 100%. Всеки ще кажема ние що харчим пари тогава за сигурност. Ами за да сведем риска до такъв, който е приемлив за субекта, нали? За за няко за едно физическо лице може да е >> такав такъв. разкрача обаче за някоя компания, която е в критичния сектор, почти до свеждаме нещата до нулев риск, нали. >> Така че в нали традиционната казваме нула инциденти, в другото казваме, че трябва да постигнем минимално време за а възстановяване на дейността. Това е другото. Третото е това, за което говорихме, архитектурата. В единия случай традиционната говорим за периметърна защита, а в другия случай говорим за архитектура зирот, тоест нулева на нулево нулево доверие. И другото е управлението. Това, което ни две въвежда, то е всъщност там и сок така има някакъв вид съответствие със СОК 2 и с

28:27↗американските стандарти, дадени от НИСТ. Хм. А тоест въвеждаме управленческата част, а възлагаме на на управителните органи да бъдат отговорни и съответно да а настояват и направляват процеса на на сигурността. И последното е вкарването на веригата на доставки в целия процес. В и в традиционната киберсигурност ролята на веригата на доставки и оценяването на оценката на риска на веригата на доставки е минимална, нали, като изискване към методологията в принис 2 вече а това е една много важна част от цялата киберсигурност, целия структура. Моето моето отношение като човек, който се занимава с а лични данни, киберсигурност и така нататък, е към този закон е, че може би най-накрая бизнесът ще усети, че тези закони не са просто онези досадни правила, които ние като юристи ги караме да пишат и всички тези политики, а че те имат практично а и и практичен и технологичен израз

29:34↗и най-накрая края нещо, за което аз също много често тук си говорим и с и с други гости, а и аз много често коментирам най най-накрая айтитата и адвокатите ще си говорят и ще се разбират, а няма да се чувстват като от двете страни на барикадата, защото иначе а разписаното в закона добро лошо няма значение. То остава безсмислено, ако не се приложи на практика. เฮ