Artykuł 21 dyrektywy NIS2: ogólnounijna lista kontrolna wymagań dotyczących dostępu uprzywilejowanego

NIS2 sprawia, że dostęp uprzywilejowany staje się kwestią ładu organizacyjnego w całej UE. Organizacje sklasyfikowane jako podmioty kluczowe lub podmioty ważne muszą kontrolować, kto może uzyskać dostęp do systemów krytycznych, jak się uwierzytelnia, jakie działania może wykonywać, w jaki sposób chronione są poświadczenia oraz jakie dowody pozostają po wykonaniu tych działań. Ta lista kontrolna przekłada istotne dla PAM elementy art. 21(2) na praktyczne działania, które zespoły bezpieczeństwa, IT, zarządzania ryzykiem i audytu mogą zrealizować, zanim w kwietniu 2027 r. rozpocznie się pełne egzekwowanie przepisów i nakładanie kar administracyjnych.

Kogo obejmuje NIS2 w całej UE

NIS2 obejmuje organizacje zaklasyfikowane jako podmioty kluczowe lub podmioty ważne zgodnie z ramami unijnymi i mającymi zastosowanie przepisami krajowymi. Zakres jest znacznie szerszy niż w pierwotnej dyrektywie NIS i obejmuje wiele organizacji średniej wielkości, a nie tylko podmioty tradycyjnie uznawane za infrastrukturę krytyczną.

Rozszerzony wykaz sektorów obejmuje organizacje działające między innymi w obszarach:

• Produkcja — zwłaszcza tam, gdzie produkcja, systemy przemysłowe lub łańcuchy dostaw zależą od uprzywilejowanego dostępu administracyjnego
• Usługi IT — w tym zespoły i dostawców administrujących infrastrukturą, platformami, sieciami lub środowiskami klientów
• Opieka zdrowotna — gdzie konta uprzywilejowane mogą uzyskać dostęp do systemów klinicznych, wrażliwych danych i połączonej infrastruktury
• Usługi finansowe — gdzie administratorzy i konta usług mogą wpływać na systemy obsługujące działalność regulowaną
• Administracja publiczna — gdzie dostęp uprzywilejowany umożliwia korzystanie z usług dla obywateli, systemów wewnętrznych i danych sektora publicznego

Klasyfikacja jako podmiot kluczowy lub ważny ma znaczenie dla nadzoru i egzekwowania przepisów, ale operacyjny problem PAM jest podobny w obu kategoriach. Administratorzy, wykonawcy, zespoły wsparcia i konta usług często dysponują dostępem pozwalającym zmieniać konfiguracje, odczytywać wrażliwe dane, wyłączać zabezpieczenia lub przerywać działanie usług. NIS2 wymaga zarządzania tym ryzykiem za pomocą odpowiednich środków technicznych, operacyjnych i organizacyjnych.

Dokładny zakres i procedury nadzorcze zależą od wdrożenia przepisów w każdym państwie członkowskim oraz od sytuacji danej organizacji. Ten artykuł stanowi wspólny europejski punkt odniesienia. Organizacje działające w Polsce mogą również skorzystać z przewodnika po wymaganiach NIS2 PAM w Polsce w celu uzyskania lokalnego kontekstu.

Zabezpieczenia z art. 21(2) istotne dla dostępu uprzywilejowanego

Artykuł 21 ma szerszy zakres niż PAM. Obejmuje środki zarządzania ryzykiem w cyberbezpieczeństwie dotyczące polityk, obsługi incydentów, bezpiecznego utrzymania, uwierzytelniania, kryptografii, personelu, dostępu i aktywów. Poniższe siedem punktów to kanoniczne, firmowe przyporządkowanie obszarów istotnych dla PAM.

Artykuł	Wymóg	Kanoniczne przyporządkowanie do PAM
Art. 21(2)(a)	Analiza ryzyka i polityki bezpieczeństwa systemów informacyjnych	Ścieżka audytu i nagrywanie sesji dla całego dostępu uprzywilejowanego. Eksportowalne raporty ryzyka.
Art. 21(2)(b)	Obsługa incydentów	Alerty w czasie rzeczywistym dotyczące podejrzanych sesji uprzywilejowanych. Pełne odtwarzanie sesji na potrzeby badania incydentów.
Art. 21(2)(e)	Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu systemów sieciowych i informacyjnych, w tym obsługa podatności i ich ujawnianie	SBOM oraz SAST/SCA przy każdym wydaniu, coroczny test penetracyjny. Egzekwowanie SLA dla poprawek w potoku CI.
Art. 21(2)(g)	Uwierzytelnianie wieloskładnikowe lub rozwiązania ciągłego uwierzytelniania	TOTP, FIDO2/WebAuthn, SAML 2.0 SSO z wymuszaniem MFA na poziomie sesji.
Art. 21(2)(h)	Zarządzanie dostępem uprzywilejowanym — bezpieczna komunikacja, łączność awaryjna	Wydawanie poświadczeń just-in-time, sesje ograniczone czasowo, brak stałych uprawnień. Kontrola dostępu oparta na rolach z dziennikiem audytu.
Art. 21(2)(i)	Polityki i procedury dotyczące stosowania kryptografii i szyfrowania	AES-256-GCM w spoczynku, TLS 1.3 w trakcie transmisji. Egzekwowanie polityki rotacji kluczy. Poświadczenia nie są przechowywane jawnym tekstem.
Art. 21(2)(j)	Bezpieczeństwo zasobów ludzkich, zasady kontroli dostępu i zarządzanie aktywami	RBAC z izolacją najemców. Automatyczny offboarding przez unieważnianie sesji i rotację poświadczeń.

To przyporządkowanie pokazuje, dlaczego program PAM nie może ograniczać się do dodania MFA do logowania administratorów. Uwierzytelnianie to tylko jedno zabezpieczenie. Skuteczny program wymaga też uprawnień nadawanych na ograniczony czas, bezpiecznego postępowania z poświadczeniami, rejestrowania aktywności, danych do badania incydentów, szybkiego odbierania dostępu oraz dowodów, że zabezpieczenia nadal działają.

Pokazuje również, że narzędzia są tylko częścią rozwiązania. Art. 21(2)(a) łączy zapisy techniczne z analizą ryzyka i polityką bezpieczeństwa. Art. 21(2)(b) wymaga procesu reagowania na incydenty, który wykorzystuje alerty i dane z odtworzeń. Art. 21(2)(j) łączy kontrolę dostępu ze zdarzeniami kadrowymi i własnością aktywów. Nagrywanie sesji, którego nikt nie sprawdza, albo procedura offboardingu, która nie powoduje odebrania dostępu, pozostawia lukę operacyjną.

Harmonogram egzekwowania przepisów, który należy uwzględnić w planie

Skorzystaj z harmonogramu opublikowanego na stronie VaultPAM poświęconej zgodności z przepisami jako wspólnego punktu odniesienia do planowania:

• Październik 2024 r. — NIS2 obowiązuje. Dyrektywa nie jest już przyszłym wymogiem. Organizacje powinny już określać zakres, właścicieli, aktywa krytyczne i ścieżki dostępu uprzywilejowanego.
• Teraz — okres wdrażania i gromadzenia dowodów. Nadaj priorytet dostępowi wysokiego ryzyka, potwierdź działanie zabezpieczeń i powtórz ten proces w pozostałej części środowiska.
• Kwiecień 2027 r. — pełne egzekwowanie przepisów i kary administracyjne. Do tego momentu zabezpieczenia powinny działać, a dowody być gotowe do przeglądu, zamiast być tworzone dopiero po otrzymaniu żądania.

Nie traktuj kwietnia 2027 r. jako daty rozpoczęcia działań. Rotacja poświadczeń, przeprojektowanie dostępu, zakres nagrywania, retencja oraz integracja automatycznego offboardingu wymagają testów. Dowody audytowe są także silniejsze, gdy potwierdzają spójne działanie w dłuższym okresie.

Lista kontrolna wdrażania NIS2 PAM

1. Zinwentaryzuj każdą ścieżkę dostępu uprzywilejowanego

Zacznij od systemów, a nie od stanowisk. Wymień serwery, bazy danych, urządzenia sieciowe, konsole chmurowe, aplikacje administracyjne i inne aktywa krytyczne. Dla każdego systemu docelowego zapisz:

• Kto może nim administrować, w tym pracownicy, kontraktorzy, podmioty trzecie i konta usług
• Z jakiego protokołu lub interfejsu korzystają
• Czy dostęp jest bezpośredni, czy pośredniczony
• Które poświadczenie jest używane i kto je zna
• Czy stosowane są MFA, zatwierdzanie, rejestrowanie i nagrywanie
• Kto jest właścicielem systemu docelowego i kto sprawdza uprawnienia do niego

Jednoznacznie oznacz nieznane odpowiedzi jako luki. Rzetelna inwentaryzacja stanowi podstawę analizy ryzyka zgodnie z art. 21(2)(a) oraz zarządzania aktywami i dostępem zgodnie z art. 21(2)(j).

2. Wymuś MFA dla sesji uprzywilejowanych

Wymagaj MFA w momencie nadawania dostępu uprzywilejowanego, a nie tylko przy logowaniu do poczty e-mail, VPN lub stacji roboczej. Obejmij nim interaktywny dostęp administratorów oraz konsole służące do wnioskowania o dostęp i jego zatwierdzania. Usuń obejścia, udokumentuj tryb dostępu awaryjnego i przetestuj procedury odzyskiwania.

Dowody powinny obejmować politykę, zarejestrowanych użytkowników, stan egzekwowania i przykładowe zdarzenia uwierzytelniania. Dokonuj przeglądu wyjątków według ustalonego harmonogramu; nieudokumentowany wyjątek staje się trwałym ryzykiem.

3. Usuń stałe uprawnienia

Zastąp trwały dostęp administracyjny dostępem just-in-time, przyznawanym na określony czas. Określ, do których systemów docelowych użytkownik może uzyskać dostęp, w jakim celu, na jak długo i czy wymaga to zatwierdzenia. Po zakończeniu zatwierdzonego okna dostęp powinien wygasać automatycznie.

Zacznij od środowisk produkcyjnych i innych systemów o dużym wpływie. Następnie uwzględnij dostęp kontraktorów i współdzielone konta operacyjne. Stan docelowy jest prosty: żaden użytkownik nie zachowuje dostępu uprzywilejowanego wyłącznie dlatego, że potrzebował go kiedyś.

4. Nagrywaj i przeglądaj sesje uprzywilejowane

Skieruj sesje uprzywilejowane przez kontrolowaną ścieżkę dostępu i nagrywaj aktywność potrzebną do zapewnienia rozliczalności oraz prowadzenia dochodzeń. Rejestruj, kto się połączył, z jakim systemem docelowym, kiedy sesja się rozpoczęła i zakończyła, oraz zapis sesji lub dziennik aktywności. Chroń te zapisy przed niezauważoną modyfikacją i ogranicz do nich dostęp.

Przed wystąpieniem incydentu przetestuj wyszukiwanie zapisów. Wybierz historyczną sesję według użytkownika, systemu docelowego i daty; potwierdź, że zespół potrafi ją odnaleźć, odtworzyć lub przeanalizować oraz powiązać z odpowiadającą jej decyzją o udzieleniu dostępu. Określ, kto przegląda alerty i podejrzane sesje, aby dowody wspierały reagowanie na incydenty zgodnie z art. 21(2)(b).

5. Zabezpiecz i rotuj poświadczenia uprzywilejowane

Przenieś poświadczenia uprzywilejowane z arkuszy kalkulacyjnych, komunikatorów, zgłoszeń, skryptów i indywidualnych magazynów haseł. Przechowuj je zaszyfrowane, nie pozwalaj użytkownikom na ich poznanie tam, gdzie możliwe jest pośredniczenie w sesji, i rotuj je zgodnie z polityką. Rotuj poświadczenia natychmiast po podejrzeniu ujawnienia, użyciu awaryjnym lub zdarzeniu offboardingu, w którym poświadczenie mogło zostać ujawnione.

Uwzględnij w inwentaryzacji konta usług i tożsamości nieosobowe. Przypisz właściciela, zapisz, gdzie używane jest każde poświadczenie, i sprawdź, czy rotacja nie zakłóca działania zależnych systemów.

6. Zapewnij pełne odebranie dostępu podczas offboardingu

Zapewnij, aby zdarzenia HR i zmiany w cyklu życia kontraktora uruchamiały usunięcie dostępu uprzywilejowanego. Gdy ktoś odchodzi, zmienia rolę lub kończy projekt:

1. Cofnij możliwość rozpoczęcia nowych sesji uprzywilejowanych.
2. W razie potrzeby zakończ aktywne sesje.
3. Usuń przypisane mu polityki, członkostwa w grupach i uprawnienia do zatwierdzania.
4. Przeprowadź rotację każdego poświadczenia, które ta osoba mogła znać lub którym mogła się posługiwać.
5. Zapisz czas, osobę wykonującą działanie, systemy docelowe objęte zmianą i wynik.

Przeprowadź próbę offboardingu — od powiadomienia do potwierdzonego odebrania dostępu. Dzięki temu art. 21(2)(j) przestaje być zapisaną procedurą, a staje się zabezpieczeniem, które można wykazać.

7. Twórz pakiet dowodów audytowych podczas działania zabezpieczeń

Dla każdego zabezpieczenia wyznacz właściciela, określ częstotliwość przeglądów i wskaż źródło dowodów. Praktyczny pakiet dowodów powinien obejmować:

• Inwentarz kont uprzywilejowanych i systemów docelowych
• Politykę MFA, stan rejestracji i zapisy uwierzytelniania
• Wnioski o dostęp, zatwierdzenia, limity czasowe i zapisy automatycznego wygaśnięcia
• Dzienniki sesji, nagrania, alerty i zapisy dochodzeń
• Politykę przechowywania i rotacji poświadczeń oraz zdarzenia rotacji
• Przeglądy dostępów i działania naprawcze
• Zapisy offboardingu potwierdzające odebranie dostępu i rotację poświadczeń
• Odpowiednie polityki bezpieczeństwa, właścicieli aktywów, zasady retencji i zatwierdzenia wyjątków

Okresowo wybieraj próbki i odtwarzaj je tak, jak gdyby zażądał ich organ nadzorczy lub audytor. Rejestruj brakujące dane, przypisuj działania naprawcze i testuj ponownie. Celem nie jest jednorazowy folder ze zrzutami ekranu, ale powtarzalny łańcuch od polityki przez zabezpieczenie, zdarzenie i przegląd po działanie korygujące.

Definicja gotowości w praktyce

Organizacja jest znacząco lepiej przygotowana, gdy bez przeszukiwania nieformalnych rejestrów potrafi odpowiedzieć na sześć pytań:

1. Kto ma obecnie dostęp uprzywilejowany do każdego krytycznego systemu docelowego?
2. Czy każdy użytkownik uprzywilejowany jest silnie uwierzytelniany?
3. Czy dostęp jest przyznawany wyłącznie w zatwierdzonym celu i na ograniczony czas?
4. Czy organizacja potrafi odtworzyć przebieg sesji uprzywilejowanej?
5. Czy poświadczenia są szyfrowane, kontrolowane i rotowane bez ujawniania ich użytkownikom?
6. Czy w przypadku odejścia osoby lub wystąpienia incydentu można szybko cofnąć dostęp i przedstawić dowody?

Jeśli którakolwiek odpowiedź jest niejasna, wyznacza ona kolejny priorytet wdrożeniowy. Skorzystaj z mapowania VaultPAM do art. 21 NIS2, aby dopasować zabezpieczenia do kanonicznych ram firmy, a praktyczne pytania dotyczące wdrożenia i produktu znajdziesz w FAQ VaultPAM.