NIS2 и киберсигурност на OT в индустрията

Киберсигурността на OT в индустрията престана да бъде въпрос на ИТ отдела и се превърна в законово задължение. С директивата NIS2 хиляди заводи в ЕС трябва да защитават управляващите си мрежи —PLC, SCADA, производствени линии— със същата строгост като данните си. Това ръководство обяснява, без мъгла, за кого се отнася, какво изисква и откъде да започнете.

1 Какво е NIS2 и защо засяга индустрията

Директивата NIS2 (Директива ЕС 2022/2555, Network and Information Security 2) е европейският закон, който повишава минималното ниво на киберсигурност в секторите, считани за критични. Тя заменя и разширява старата NIS от 2016 г.: умножава обхванатите сектори, затяга задълженията и преди всичко въвежда напълно индустрията в регулирания периметър.

Промяната за един завод е, че вече не е достатъчно да се защитават офис компютрите. NIS2 задължава да се оценяват и защитават и мрежите и информационните системи, които движат производствения процес: SCADA, която наблюдава завода, PLC, които задвижват линията, HMI, честотните преобразуватели и индустриалната мрежа, която ги свързва. С други думи, светът на OT (Operational Technology, оперативна технология).

2 За кого се отнася: съществени и важни субекти

NIS2 разделя задължените организации в две категории, с различен режим на надзор и санкции:

Като общо правило NIS2 се прилага, ако организацията ви работи в един от обхванатите сектори и има 50 или повече служители или над 10 милиона евро оборот годишно. Много фабрики и инсталации за процеси попадат като важен субект, дори да не се възприемат като „критична инфраструктура“.

3 Състояние на транспонирането в ЕС

Европейският срок за транспониране на NIS2 в националното законодателство изтече на 17 октомври 2024 г. Много държави членки не го спазиха —Комисията изпрати мотивирани становища на повечето през 2025 г.— и я въвеждат чрез националните си закони на разсрочени графици:

• България прие своя закон по NIS2 (изменение на Закона за киберсигурност, ДВ бр. 17), в сила от 13 февруари 2026 г.
• Испания транспонира на етапи (Кралски декрет-закон 7/2025 и предстоящ закон за управление на киберсигурността), с пълно прилагане през 2026 г.
• Франция пропусна срока и приема националния си закон, с прилагане, разпределено през 2025-2026 г.

Практическото послание е ясно: фактът, че национален закон тепърва се финализира в някои държави, не е извинение за изчакване. Основните задължения (управление на риска и докладване) вече са определени в директивата, а техническата адаптация на един завод отнема месеци. Който започне сега, ще е навреме. За официални насоки се обърнете към националния си CSIRT и към европейската агенция ENISA.

4 Ключови задължения, които трябва да изпълните

NIS2 не е списък с продукти, а съвкупност от управленски задължения. Ето тези, които най-силно засягат един завод:

Неспазването се плаща: до 10 милиона евро или 2 % от световния оборот за съществените субекти и до 7 милиона или 1,4 % за важните. Още по-важно: отговорността е на ръководството, а не само на ИТ отдела.

5 IT срещу OT: защо индустриалната сигурност е различна

Най-скъпата грешка е да се прилагат към завода рецептите на офис информатиката. IT и OT имат противоположни приоритети, и това променя всичко:

Затова не може да се „копира и постави“ IT моделът върху фабриката. Тежък антивирус може да повали HMI; рестартиране на устройство за обновяване може да спре цяла линия. Сигурността на OT изисква собствен подход, който разбира производствения процес —същото познание, с което се проектира SCADA система или се сравнява SCADA срещу HMI.

6 Добри практики за сигурност на OT (и къде се вписва IEC 62443)

Спазването на NIS2 в завода се изразява в конкретни технически мерки. Референтният стандарт е IEC 62443, международният стандарт за киберсигурност на системите за индустриална автоматизация и управление (IACS): докато NIS2 задава какво (правни задължения), IEC 62443 дава техническото как с модела си на зони и проводници. Ето практиките с най-голямо въздействие:

Моделът Purdue организира мрежата в нива —от полето (сензори и изпълнителни механизми) до управлението (ERP)— и помага да се реши какво с какво комуникира. IEC 62443 го прецизира със зони (групи активи с еднакво ниво на сигурност) и проводници (контролираните комуникации между тях). Комбинирането на двете днес е основата на всяка защитима OT архитектура и се свързва естествено с практики като предиктивната поддръжка, която също живее в тази индустриална мрежа.

Често задавани въпроси