Terminas praėjo beveik prieš dvejus metus. NIS2, atnaujintą ES kibernetinio saugumo direktyvą, visose Sąjungos valstybėse į nacionalinę teisę reikėjo perkelti iki 2024 m. spalio 17 d. Dauguma valstybių narių tai padarė, o keturios, kurios to nepadarė, dėl to dabar atsidūrė teisme. Jeigu jūsų organizacija teikia esmines paslaugas arba yra reikšmingas veikėjas viename iš direktyvos apimamų sektorių, klausimas nebėra ar taisyklės jums taikomos; klausimas yra, ar galėtumėte priežiūros institucijai įrodyti, kad jūsų prieigos kontrolė jas atitinka. Ir pirmą kartą šis klausimas gula ant vadovybės pečių, o ne vien IT skyriaus.
Autentifikacija dabar įvardyta įstatyme, o ne tik rekomendacijose
Ankstesnės gerosios praktikos sistemos daugiafaktorę autentifikaciją tik rekomendavo. NIS2 eina toliau. Jos bazinės rizikos valdymo priemonės (21 straipsnis) reikalauja, kad organizacijos įdiegtų technines kontrolės priemones, tarp jų prieigos kontrolės politiką, kriptografiją ir (tiesiogiai įvardytą) daugiafaktorės arba nuolatinės autentifikacijos sprendimų naudojimą, kai tai tikslinga.
Praktiškai silpnas arba neprivalomas antras veiksnys nebėra pateisinama pozicija. Jeigu auditorius paklaus, kaip privilegijuotasis administratorius prisijungia prie jūsų VPN, „Windows“ serverių ar valdymo konsolės, atsakymas „slaptažodžiu ir kartais SMS kodu“ atveria kelią neatitikčiai.
Kas pasikeitė 2026 m.
Šiais metais pasikeitė du dalykai, ir nė vienas jų nesušvelnina autentifikacijos reikalavimo.
- Keturios valstybės narės atsidūrė teisme. 2026 m. liepos 8 d. Komisija dėl Airijos, Ispanijos, Prancūzijos ir Nyderlandų kreipėsi į ES Teisingumo Teismą, nes šios šalys nepranešė apie visišką direktyvos perkėlimą; prieš tai 2024 m. lapkritį joms buvo išsiųsti oficialūs pranešimai, o 2025 m. gegužę pateiktos pagrįstos nuomonės (Komisijos pranešimas spaudai). Ten, kur nacionalinė teisė vėluoja, prievolės buvo atidėtos, o ne panaikintos.
- Pasiūlytas direktyvos pakeitimas. 2026 m. sausio 20 d. Komisija pasiūlė iš dalies pakeisti NIS2, kad ją supaprastintų ir suderintų su Kibernetinio saugumo aktu (COM(2026) 13). Pasiūlymu supaprastinamos jurisdikcijos taisyklės, susiaurinamos kelių sektorių apibrėžtys, išsamiau reglamentuojamas pranešimas apie išpirkos reikalaujančių programų incidentus ir sukuriama „mažųjų vidutinės kapitalizacijos įmonių“ kategorija: organizacijos, turinčios mažiau nei 750 darbuotojų ir mažesnę nei 150 mln. eurų apyvartą, laikomos svarbiais subjektais ir prižiūrimos tik ex post, t. y. reaguojant į pažeidimų požymius, o ne iš anksto tikrinant. Tai vis dar tik pasiūlymas, jis dar nepriimtas. Pasiūlymu nesiekiama keisti 21 straipsnio saugumo priemonių, įskaitant daugiafaktorę autentifikaciją.
Taigi autentifikacijos požiūriu praktinė išvada nepasikeitė: jeigu direktyva jums taikoma, MFA svarbiausiuose prieigos keliuose yra teisinė prievolė jau šiandien, ir siūlomu pakeitimu to keisti nesiekiama.
Kam tai taikoma
NIS2 organizacijas skirsto į esminius ir svarbius subjektus plačiame sektorių rinkinyje: energetika, transportas, bankininkystė ir finansų rinkos infrastruktūra, sveikatos priežiūra, geriamasis ir nuotekų vanduo, skaitmeninė infrastruktūra, viešasis administravimas ir kt., o antrasis lygmuo įtraukia pašto paslaugas, atliekų tvarkymą, gamybą, maisto, cheminių medžiagų ir skaitmeninių paslaugų teikėjus. Daugelis organizacijų, likusių už pirminės NIS direktyvos ribų, dabar tvirtai patenka į jos įpėdinės aprėptį.
Paprastai organizacija, veikianti viename iš šių sektorių, patenka į direktyvos taikymo sritį, kai pasiekia vidutinės įmonės dydį: turi 50 ar daugiau darbuotojų arba jos metinė apyvarta viršija 10 mln. eurų. Kai kurių rūšių subjektams direktyva taikoma nepriklausomai nuo jų dydžio. Tikslias ribas nustato kiekvienos šalies nacionalinė teisė.
Du pokyčiai perkelia tai anapus formalios varnelės:
- Vadovybės atskaitomybė. Vadovybė privalo patvirtinti kibernetinio saugumo rizikos valdymo priemones ir prižiūrėti jų įgyvendinimą, o už nesėkmes gali būti patraukta asmeninėn atsakomybėn.
- Realios sankcijos. Už rizikos valdymo ar pranešimo apie incidentus prievolių pažeidimus nacionalinėje teisėje esminiams subjektams numatyta didžiausia bauda turi būti ne mažesnė nei 10 mln. eurų arba 2 % metinės pasaulinės apyvartos, priklausomai nuo to, kuri suma didesnė. Svarbiems subjektams šie dydžiai yra 7 mln. eurų arba 1,4 %. Valstybės narės gali nustatyti ir aukštesnę viršutinę ribą.
Kaip iš tikrųjų atrodo NIS2 lygio autentifikacija
Turėti kažkokią MFA nėra tas pat, kas atitikti direktyvos tikslą. Trys dalykai skiria kontrolės priemonę, tenkinančią auditorių, nuo tos, kuri tik gražiai atrodo skaidrėje:
- Atsparumas sukčiavimui ir perdavimo atakoms. SMS kodus galima perimti arba apeiti SIM kortelės pakeitimu, o ir juos, ir vieno paspaudimo pranešimus AiTM („priešininko viduryje“) puslapis gali perduoti realiu laiku. Raktas, susietas su aparatine įranga naudotojo įrenginio viduje, toks, kurio neįmanoma nei nukopijuoti, nei panaudoti pakartotinai, pašalina perėmimo ir SIM kortelės pakeitimo riziką. Su perdavimo atakomis sudėtingiau: visiškai jas sustabdo tik prie svetainės susieti metodai, pavyzdžiui, FIDO saugos raktai, o patvirtinimas, rodantis, iš kur atėjo užklausa, leidžia atidžiam naudotojui jas pastebėti. Pranešimų nuovargis yra atskira problema, ir joks raktas ar biometrinis duomuo jo nesustabdo, kai užklausa jau pasiekia telefoną: jį įveikia tik tai, ką užklausa parodo: tikslus, aiškiai perskaitomas aprašymas, kas būtent tvirtinama, kad niekada nieko nebūtų patvirtinama aklai.
- Privilegijuotos ir nuotolinės prieigos aprėptis. Reikalavimas nėra „MFA žiniatinklio paštui“. Tai kiekvienas kelias, kuriuo iš tikrųjų pasinaudotų užpuolikas: VPN, nuotolinis darbalaukis, serverių prisijungimai, administratorių konsolės.
- Įrodymai. NIS2 tiek pat susijusi su kontrolės įrodymu, kiek ir su jos turėjimu. Kiekviena autentifikacija turėtų palikti audituojamą, klastojimą išduodantį įrašą, kas ką patvirtino ir kada.
Kur čia Notakey
Notakey sukurta būtent tokio profilio organizacijoms: reguliuojamoms, saugumui jautrioms ir atskaitingoms auditoriams.
- Naudotojo raktas sugeneruojamas telefono saugios aparatinės įrangos viduje ir niekada jos nepalieka. Nėra bendrosios paslapties, kurią būtų galima pavogti, ir nėra kodo, kurį būtų galima perimti.
- Kiekvienas prisijungimas ir kiekviena operacija yra kriptografiškai pasirašytas, laiko žyma pažymėtas įvykis: būtent tas audito pėdsakas, kurio prašo NIS2 vertinimas, sukuriamas automatiškai, o ne atkuriamas po fakto.
- Ji apima svarbiausius prieigos kelius per protokolus, kuriais jūsų sistemos jau kalba. Žr. praktinius vadovus: 2FA VPN per RADIUS, „Windows“ nuotolinis darbalaukis ir „Linux“ SSH.
- Ji veikia jūsų pačių infrastruktūroje arba debesyje, todėl autentifikacijos duomenys gali likti jūsų kontrolėje, o PSD2, eIDAS ir BDAR atitiktis įdiegta iš pagrindų, o ne prikabinta paskui.
Mes sąmoningai nesakysime, kad Notakey „padaro jus atitinkančius NIS2“; nė vienas produktas to nepadaro savarankiškai. Ką ji padaro, tai užpildo autentifikacijos formos spragos dalį ir įduoda jums įrodymus tam pademonstruoti.
Pradėkite nuo bandomojo diegimo, o ne nuo politikos dokumento
Greičiausias būdas išsiaiškinti, ar jūsų autentifikacija atitinka NIS2, yra išbandyti ją savo pačių aplinkoje: realus VPN, realus administratoriaus prisijungimas, saujelė realių naudotojų. Tai per savaitę pasakys apie jūsų spragą (ir apie jūsų įrodymus) daugiau, nei funkcijų lentelė per ketvirtį.
Išbandykite gyvą demonstraciją ir pasirašykite operaciją iš savo telefono maždaug per dvi minutes arba užsisakykite demonstraciją, ir mes suplanuosime jūsų VPN, SSO ar „Windows“ prieigos perkėlimą į veikiantį bandomąjį diegimą.
Šis straipsnis yra bendro pobūdžio informacija, o ne teisinė konsultacija. NIS2 į nacionalinę teisę atskirai perkelia kiekviena ES valstybė narė; konkrečias jūsų organizacijai taikomas prievoles, ribas ir terminus pasitikslinkite su kvalifikuotais teisininkais.