Orientēšanās 2026. gada pārmaiņās: NIS2 un CRA ES rūpnieciskajā automatizācijā
Eiropas rūpniecības ainava no 2026. gada stāsies spēkā pārveidojoša regulatīvā ēra. Procesu rūpniecības, īpaši ķīmijas un enerģētikas nozares, tagad ir jāorientējas divos spēcīgos likumdošanas ietvaros: NIS2 direktīvā un Kibernoturības likumā (CRA). Kopā šie likumi pārvērš kiberdrošību no brīvprātīgas "labākās prakses" par obligātu prasību tirgus piekļuvei un darbības nepārtrauktībai.
NIS2 un CRA saskaņošana kritiskajai infrastruktūrai
Kritiskās infrastruktūras pārvaldītāji tagad saskaras ar dubultu spiedienu no šiem savstarpēji saistītajiem noteikumiem. Kamēr NIS2 koncentrējas uz "būtisko vienību" darbības noturību, CRA mērķē uz digitālo produktu integritāti, ko tie iegādājas. Tādējādi ķīmijas rūpnīca nevar sasniegt NIS2 atbilstību, neparādot, ka tās piegādātāji atbilst CRA prasībām. Šī sadarbība veido slēgtu atbildības loku no mikroshēmu ražotāja līdz rūpnīcas vadītājam.
CRA: obligāta drošība pēc izstrādes principa automatizācijas produktiem
CRA būtiski maina veidu, kā ražotāji izstrādā rūpnieciskās automatizācijas un vadības sistēmas (IACS). Ražotājiem tagad jāintegrē drošības pēc izstrādes un pēc noklusējuma principi katrā produkta dzīves cikla posmā. Turklāt uzņēmumiem jāsniedz programmatūras sastāva saraksts (SBOM) par katru digitālo komponenti. Produkti, kas neizturēs šos stingros standartus, zaudēs CE marķējumu, kas faktiski aizliegs tos ES tirgū no 2026. gada.
NIS2: operacionālās tehnoloģijas (OT) pārvaldības stiprināšana
Saskaņā ar NIS2 rūpniecības pārvaldītājiem jāievieš visaptveroša risku pārvaldība un incidentu ziņošanas protokoli. Šī prasība attiecas ne tikai uz tradicionālo informācijas tehnoloģiju, bet arī uz operacionālo tehnoloģiju (OT) vidi, tostarp PLC un DCS tīkliem. Pārvaldītājiem tagad jāspēj pierādīt, ka viņi var atklāt draudus un nodrošināt darbības nepārtrauktību kiberuzbrukumu laikā. Tāpēc vadībai jāuzņemas tieša atbildība par kiberdrošības stāvokli un piegādes ķēdes pārbaudi.
Dokumentācijas un auditu lomas attīstība
Atbilstība tagad prasa ievērojamu lēcienu administratīvā caurspīdībā un tehniskajā auditošanā. Pārvaldītājiem jāuztur stingri riska novērtējumu un piegādātāju izvērtējumu ieraksti, lai apmierinātu valsts iestāžu prasības. Turklāt iepirkumu komandas jāizvēlas piegādātāji, kas aktīvi risina ievainojamības un nodrošina ilgtermiņa drošības atbalstu. Rezultātā "atbilstības parāds" kļūst par reālu finansiālu risku uzņēmumiem, kas atpaliek digitālajā pārveidē.
Eksperta skatījums: "Drošība caur noslēpumainību" beigas
Manā analīzē šie noteikumi nozīmē galīgu "drošības caur noslēpumainību" beigas rūpniecības nozarē. Gadu desmitiem daudzas rūpnīcas paļāvās uz savu vadības sistēmu atdalīšanu kā galveno aizsardzību. Tomēr CRA un NIS2 atzīst, ka mūsdienu savienotajām rūpnīcām nepieciešama aktīva, dokumentēta aizsardzība. Es uzskatu, ka šī pārmaiņa galu galā novedīs pie "kiberdrošības" kultūras, kur digitālā drošība tiek vērtēta tikpat nopietni kā fiziskā sprādziendrošība (ATEX) vai funkcionālā drošība (SIL).
