Информацията за кибератаката срещу мобилни телефони на служители на Европейската комисия е доста повърхностна
Защо научихме на 6 февруари за нещо, станало на 30 януари, продължавам да се чудя от няколко дни. Прессъобщенията на ЕК никога не са се славели с изчерпателност, но този път ситуацията е покъртителна:
В съобщението на ЕК се казва: „На 30 януари централната инфраструктура на Европейската комисия, управляваща мобилните устройства, откри следи от кибератака, която може да е довела до достъп до имената на служителите и мобилните номера на някои от тях. Бързата реакция на Комисията гарантира, че инцидентът е овладян и системата е почистена в рамките на 9 часа. Не е установено компрометиране на мобилни устройства.“
Вероятно понеже са задраскали важното се е получил този шедьовър.
По-интересното е, че Европейската комисия е представила нов пакет за киберсигурност, включващ обновен Регламент за киберсигурността на ЕС (EU Cybersecurity Act) и промени в Директива NIS2. В България парламентът току що прие на второ четене промени в Закона за киберсигурност. И ето какво се задава: „Целенасочените изменения на Директивата за NIS2 имат за цел да увеличат правната яснота. Те ще улеснят спазването на изискванията за 28 700 компании, включително 6200 микро- и малки предприятия. Те ще въведат и нова категория малки предприятия със средна капитализация, за да се намалят разходите за спазване на изискванията за 22 500 компании. Измененията ще опростят юрисдикционните правила, ще рационализират събирането на данни за атаки с ransomware и ще улеснят надзора на трансграничните субекти със засилената координираща роля на ENISA.“
Пакетът въвежда „мерки за опростяване на спазването на правилата на ЕС за киберсигурност и изискванията за управление на риска за компании, опериращи в ЕС, допълвайки единната точка за докладване на инциденти, предложена в Digital Omnibus.
Изменения на Директива NIS2 целят да увеличат правната яснота чрез опростяване на юрисдикционните правила, рационализиране на събирането на данни за атаките на откуп и улесняване на надзора на трансграничните образувания с засилената координираща роля на ENISA.
Ревизираният закон за киберсигурността ще гарантира, че продуктите и услугите, достигащи до потребителите на ЕС, се тестват за сигурност по-ефективен начин. Това ще стане чрез обновена европейска рамка за сертифициране на киберсигурността (ECCF). ECCF ще внесе повече яснота и по-прости процедури, което ще позволи разработването на схеми за сертифициране в рамките на 12 месеца по подразбиране. Той също така ще въведе повече пъргаво и прозрачно управление, за да включва по-добре заинтересованите страни чрез обществена информация и консултации.“
До тук са бъдещите намерения, Ето и миналите – от митивите към българските промени. Като ги четеш, направо да се чудиш защо ще я променят директивата отново:
„С уеднаквяването на процедурата и процесите по взаимодействие на местно и европейско ниво ще се намали документацията, ще се ускори времето за взаимодействие, ще се въведе единен стандартен формуляр за докладване на инциденти, с който органите да изискват помощ при нужда, което, от своя страна, ще доведе до намаляване на административната тежест.
Приемането на ЗИД на ЗКС ще има за резултат хармонизирането и привеждането в съответствие на националното с европейското законодателство. Законът за киберсигурност е допълнен с разпоредби относно сътрудничеството с компетентните органи по чл. 46 от Регламент (ЕС) 2022/2554, с което са отразени изискванията на чл. 47, параграф 3 и 4 от същия регламент, както и относно участието в състава на надзорния форум по смисъла на чл. 32, параграф 4, буква „д“ от Регламент (ЕС) 2022/2554, предвид въведените чрез ЗКС мерки по прилагането на Регламент (ЕС) 2022/2554…“