Wymogi NIS 2 a umowy serwisowe IT – SLA, incydenty i kontrola dostępu

Dyrektywa NIS 2 wprowadza fundamentalne zmiany w podejściu do cyberbezpieczeństwa organizacji świadczących i korzystających z zewnętrznych usług IT. Szczególne znaczenie zyskują umowy serwisowe, które w wielu przypadkach stanowią podstawowy instrument zarządzania bezpieczeństwem operacyjnym systemów. To właśnie w ramach umów SLA realizowane są kluczowe obowiązki związane z dostępem do systemów, reagowaniem na incydenty oraz zapewnieniem ciągłości działania. NIS 2 wymaga, aby te obszary były uregulowane w sposób maksymalnie precyzyjny.

Umowy serwisowe jako element systemu zarządzania ryzykiem

Zgodnie z NIS 2, podmioty ważne i kluczowe muszą wdrożyć środki zarządzania ryzykiem obejmujące m.in. obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw oraz kontrolę dostępu do systemów. W praktyce oznacza to, że umowy serwisowe przestają pełnić wyłącznie funkcję techniczną, a stają się integralną częścią systemu compliance w przedsiębiorstwie.

Brak odpowiednich postanowień kontraktowych może zostać uznany za naruszenie obowiązków, nawet jeśli od strony technicznej stosowane są właściwe zabezpieczenia. Umowa musi potwierdzać, że przedsiębiorstwo ma realną możliwość egzekwowania standardów bezpieczeństwa od dostawcy usług.

SLA w świetle NIS 2 – więcej niż czas reakcji

Jednym z najczęstszych problemów w istniejących umowach SLA jest ograniczenie parametrów wyłącznie do czasu reakcji. NIS 2 wymaga podejścia znacznie bardziej kompleksowego. Umowa serwisowa powinna regulować co najmniej:

• czas reakcji na incydent,
• czas przywrócenia funkcjonalności,
• czas pełnego usunięcia skutków incydentu,
• obowiązek raportowania i dokumentowania zdarzeń.

Z perspektywy regulacyjnej kluczowe znaczenie ma możliwość spełnienia obowiązków raportowych wobec właściwych organów. Umowa powinna więc przewidywać, że dostawca usług:

• niezwłocznie informuje o wykrytym incydencie,
• przekazuje dane techniczne niezbędne do zgłoszenia,
• współpracuje przy analizie przyczyn i skutków zdarzenia.

SLA powinno uwzględniać różne kategorie incydentów – od zdarzeń o niskim wpływie po incydenty poważne, które mogą skutkować obowiązkiem raportowania w ciągu 24 lub 72 godzin.

Reakcja na incydenty – obowiązki kontraktowe dostawcy

NIS 2 wymaga, aby organizacje posiadały procedury reagowania na incydenty cyberbezpieczeństwa. W praktyce jednak procedury te są często realizowane wspólnie z dostawcą usług IT. Umowa serwisowa powinna precyzyjnie określać zakres odpowiedzialności dostawcy w trakcie incydentu, dostępność zespołu serwisowego oraz obowiązek zachowania logów i innych danych.

Szczególnie istotne jest uregulowanie współpracy przy obsłudze incydentu z perspektywy prawnej, w tym wsparcia przy zgłoszeniach do CSIRT oraz organów nadzorczych. Brak takiego wsparcia może uniemożliwić terminowe wywiązanie się z obowiązków wynikających z NIS 2.

Dostęp do systemów – kontrola, a nie dowolność

Dostęp serwisowy do systemów produkcyjnych, sieciowych i przemysłowych jest jednym z najbardziej wrażliwych obszarów bezpieczeństwa. NIS 2 kładzie duży nacisk na kontrolę dostępu, zarządzanie uprawnieniami i minimalizację ryzyka wynikającego z działalności podmiotów trzecich.

Umowa serwisowa powinna regulować m.in.:

• zasady nadawania i cofania dostępów,
• formę uwierzytelniania,
• zakres dostępu (zasada najmniejszych uprawnień),
• obowiązek ewidencjonowania działań serwisowych.

Ważnym elementem jest również uregulowanie dostępu zdalnego, który w wielu przypadkach stanowi główne ryzyko cyberataku. Umowa powinna jasno wskazywać, kiedy i na jakich zasadach dostęp zdalny jest dopuszczalny, a także jakie zabezpieczenia muszą być stosowane.

Ciągłość działania i odtwarzanie systemu po awarii

NIS 2 wymaga, aby organizacje posiadały plany ciągłości działania i odtwarzania systemu po incydencie. Umowy utrzymaniowe powinny wspierać realizację tych obowiązków poprzez:

• określenie odpowiedzialności za backupy,
• częstotliwość testów odtwarzania,
• maksymalne czasy przywrócenia systemów,
• obowiązek współpracy w sytuacjach kryzysowych.

Brak takich postanowień może skutkować sytuacją, w której formalnie istnieje plan ciągłości działania przedsiębiorstwa, ale nie ma możliwości jego wykonania z uwagi na zależność od dostawcy usług.

Odpowiedzialność kontraktowa i kary umowne

W kontekście NIS 2 szczególnego znaczenia nabiera odpowiedzialność za naruszenia obowiązków bezpieczeństwa. Umowy serwisowe powinny przewidywać odpowiedzialność za brak reakcji lub opóźnienia, kary umowne za naruszenie postanowień umownych w szczególności w zakresie SLA. Kluczowe jest przy tym zachowanie odpowiednich proporcji, zarówno nadmierna, jak i iluzoryczna odpowiedzialność może prowadzić do problemów regulacyjnych i biznesowych.

Podsumowanie

NIS 2 wymaga, aby umowy serwisowe i utrzymaniowe były realnym narzędziem zarządzania cyberbezpieczeństwem. SLA, reakcja na incydenty i dostęp do systemów nie mogą być uregulowane ogólnikowo. Organizacje muszą mieć możliwość wykazania, że posiadają skuteczne mechanizmy kontroli nad dostawcami usług, a same umowy umożliwiają im wywiązanie się z obowiązków regulacyjnych. Dobrze przygotowany kontrakt, to dziś nie tylko kwestia bezpieczeństwa technicznego, lecz także ochrony prawnej i biznesowej organizacji.