Агенцията за киберсигурност на Европейския съюз публикува нов доклад с анализ на инвестиционната динамика в рамките на ЕС
На 17 ноември 2021 г. Агенцията за киберсигурност на Европейския съюз ENISA публикува втория си доклад за разходите за киберсигурност.
Директивата за МИС/NIS е приложена от 82% от 947 организации, определени като оператори на основни услуги (OES) или доставчици на цифрови услуги (DSP), изследвани в 27-те държави-членки, пише в доклада.
67% изискват допълнителен бюджет за нейното прилагане.
Изпълнителният директор на Агенцията на ЕС за киберсигурност Юхан Лепасаар е цитиран да казва, че „ … измерването на ефективността на киберсигурността е предизвикателна задача. Разглеждането на инвестициите в информационната сигурност за основните оператори и къде са фокусирани техните ресурси ни дава разбиране за състоянието на киберсигурността в целия Съюз.“
ENISA изготви миналата година първото издание на доклада – NIS Investments Report 2020. Публикувах новината със заглавие Средният бюджет за проекти за изпълнение на директивата за МИС е приблизително 175 000 евро
Новият доклад – NIS Investments Report 2021 – обобщава данни от всичките 27 държави-членки на ЕС и разглежда разпределението на бюджета за киберсигурност на OES и DSP и как това разпределение вероятно се е променило в резултат на необходимостта от прилагане на разпоредбите на директивата. Той също така анализира икономическото въздействие на инцидентите в киберсигурността и оценява как тези организации наблюдават бюджета си и инвестират, за да отговорят на техните изисквания за киберсигурност.
Почти 50% от анкетираните организации признават значително или много значително въздействие на Директивата върху управлението на тяхната информационна сигурност. Близо 50% от установените OES и DSP смятат, че техните възможности сега са засилени в резултат на прилагането на разпоредбите на директивата. 26% смятат, че това е подобрило способността им да се възстановяват от инциденти. През 2020 г. само 8,8% от анкетираните OES и DSP са преживели голям инцидент със сигурността.
Дори ако 67% от тези доставчици на услуги трябва да отделят допълнителен бюджет, за да гарантират съответствие, 18% все още не са приложили нито една от разпоредбите изобщо.
Типичен OES/DSP харчи около 2 милиона евро за информационна сигурност. Съответният бюджет за прилагане на директивата за НИС е от 5% до 10% от общия бюджет за информационна сигурност.
Банковият и здравният сектор са секторите с най-високи преки разходи за големи инциденти със сигурността, обикновено вариращи от 213 000 до 300 000 EUR, когато обичайните преки разходи са около 100 000 EUR.
Близо 50% от установените OES и DSP в ЕС наемат услугите на изпълнители, за да поддържат своята работна сила за информационна сигурност.
Типичният OES и DSP наема средно 60 души ИТ персонал, 7 от които са посветени на информационната сигурност. Средно 2-ма служители са специално разпределени за реагиране на инциденти. Работната сила за информационна сигурност в OES и DSP се увеличи поради прилагането на Директивата, тъй като 18,7% от анкетираните организации са наели допълнителен вътрешен персонал, а 32% прибягват до външни изпълнители.
67 % от OES/DSP изискват специален бюджет за прилагането на Директивата със средна стойност от 40 000 EUR или 5,1 % от общите им бюджети за информационна сигурност. Около 50 % от организациите изискват средно четирима допълнителни служители на пълен работен ден (FTE) за внедряването, било чрез набиране на персонал, или чрез аутсорсинг.
Прогнозните преки разходи за голям инцидент в областта на сигурността са средно 100 000 евро, като банковият и здравният сектор изпитват най-високи такива разходи.
9 % от организациите са претърпели голям инцидент в областта на сигурността, който е засегнал външни заинтересовани страни.