Македонија донесе нов Закон за безбедност на мрежни и информациски системи, целосно усогласен со најновата европска НИС2 директива. Со законот се воведуваат строги обврски за компаниите и институциите од 16 клучни сектори, кои отсега ќе мора да применуваат задолжителни безбедносни мерки и да пријавуваат сериозни сајбер напади во рок од само три часа од дознавањето, или ќе се соочат со парични казни.
Новата регулатива која, како што велат од Министерството за дигитална трансформација, беше донесена по повеќемесечни консултации, ќе се однесува на средни и големи компании кои обезбедуваат услуги во енергетиката, транспортот, банкарството, здравството, дигиталната инфраструктура, снабдувањето со вода, поштенските услуги, производството на храна и хемикалии и други сектори кои се сметаат за критична инфраструктура.
Една од најголемите новини е строгиот протокол за пријавување на инциденти. Компаниите и институциите ќе бидат должни веднаш, а најдоцна во рок од три часа од сознанието, да го известат надлежниот тим за одговор на компјутерски инциденти за секој значаен напад. Потоа, во рок од 24 часа мора да достават рано предупредување, а во рок од 72 часа и детален извештај за инцидентот. Финалниот извештај со сите детали за нападот и преземените мерки треба да се поднесе во рок од еден месец.
Законот е задолжителен и за целата државна управа, вклучувајќи ги Владата, министерствата, Општините, Собранието и судовите. Од Министерството за дигитална трансформација велат дека бројот на опфатени субјекти и деталните листи ќе бидат прецизирани со подзаконски акти кои се во фаза на изработка.
Сите опфатени субјекти ќе мора да воведат конкретни технички, оперативни и организациски мерки за заштита. Ова вклучува обврска за правење анализи на ризик, изготвување планови за одговор при инциденти, обезбедување континуитет во работењето преку резервни копии на податоци (back up), како и користење на енкрипција и повеќефакторска автентификација. Дополнително, ќе мора да водат сметка и за безбедноста на нивниот ланец на снабдување, односно односите со нивните директни добавувачи.
Надзорот над спроведувањето на законот ќе го врши Министерството за дигитална трансформација, кое ќе има овластување да врши најавени и ненајавени контроли, да бара пристап до документи и системи и да наложува безбедносни ревизии. Во таа насока, се формираат два центри за одговор на сајбер инциденти: еден владин во рамките на Министерството, и еден национален во Агенцијата за електронски комуникации (МКД-ЦИРТ).
Законот предвидува можност за изрекување предупредувања и обврзувачки упатства, но и поведување прекршочни постапки со парични казни за оние кои нема да ги почитуваат одредбите.
Од Министерството додаваат дека паралелно со зајакнувањето на дигиталната безбедност, се работи и на заштита на физичката инфраструктура. Министерството за одбрана веќе спроведува анализи и консултации за изработка на посебен закон и стратегија за физичка заштита на клучните објекти како електрани, водоводи и најважните здравствени установи.
А. АНТЕВСКА
