Commission Implementing Regulation (EU) 2024/2690: Vaša povinnosť ako MSP alebo poskytovania cloudu

Implementing Regulation 2024/2690 je špecifická implementačná smernica EÚ, ktorá konkretizuje požiadavky NIS2 pre presne definovaný okruh subjektov. Nejde o všeobecnú povinnosť – v rozsahu sú iba:

• Poskytovatelia DNS a registratúry TLD
• Poskytovatelia cloud computingu a dátových centier
• CDN poskytovatelia
• Managed Service Providers (MSP) a Managed Security Service Providers (MSSP)
• Poskytovatelia online trhov a vyhľadavacích služieb
• Sociálne siete a trust service poskytovatelia

Ak patrí vaša spoločnosť do niektorej z týchto kategórií a má viac ako 50 zamestnancov (alebo podľa turnover), ste povinní dodržiavať všetkých 150+ kontroly z tejto regulácie, nie len základných 10 opatrení článku 21 NIS2.

Managed Service Providers sú kritické звено v reťazci kyberbezpečnosti. Vaši klienti na vás závisia pri správe ich IT infraštruktúry, údajov a bezpečnosti. Práve preto Implementing Regulation 2024/2690 zavádza prísne požiadavky na MSP:

• Monitorovanie v reálnom čase – povinné logové záznamy a detekcia incidentov
• Configuračný manažment – kontrola zmien a verziovania
• Supply chain povinnosti – vaši klienti si budú vyžadovať osvedčenia a auditné správy
• Bezpečnostní audit každé 3 roky – nezávislý certifikačný proces

Ak ste MSP a túto reguláciu nemáte na radaroch, ste výrazne pozadu. Regulácia je v platnosti od 7. januára 2025.

Regulácia požaduje, aby ste implementovali kontroly v 13 oblastiach. Tu je prehľad:

• 1. Governance a risk management – politiky, role, RACI matica
• 2. Asset management – inventár všetkých IT aktív
• 3. Personnel security – background checky, školenia zamestnancov
• 4. Access control – MFA, riadenie prístupu, segregácia dát
• 5. Cryptography – šifrovanie dat at rest a in transit
• 6. Physical and environmental security – prístup do dátových centier
• 7. Operations security – zálohovanie, disaster recovery, change management
• 8. Communications security – bezpečná komunikácia, VPN
• 9. System acquisition, development and maintenance – bezpečný vývoj SW
• 10. Supplier relationships – audity subdodávateľov
• 11. Information security incident management – reporting, forensika
• 12. Continuity management – Business Continuity Plan, RTO/RPO
• 13. Compliance and audit – pravidelné audity, dokumentácia

Implementing Regulation 2024/2690 je striktnejšia ako obecné NIS2 požiadavky (článok 21). Hlavné rozdiely:

• Počet kontrol: Štandardný NIS2 = 10 opatrení. Regulácia 2024/2690 = 150+ konkrétnych kontrol
• Monitorovanie: Povinné kontinuálne monitorovanie a logovánie všetkých bezpečnostných udalostí
• Audit: Nezávislý certifikačný audit každé 3 roky (nie len samovyhodnotenie)
• Detailnosť: Nie sú to princípy – sú to konkrétne technické a organizačné požiadavky
• Supply chain: Musia ste splniť požiadavky nielen sami, ale aj vyžadovať ich od vašich subdodávateľov
• Dokumentácia: Všetko musí byť zdokumentované a preukázateľné

Reglyze je špecializovaná ISMS platforma s špecifickou podporou pre NIS2 a Implementing Regulation 2024/2690. Ako pomáha MSP:

• Automatické mapovanie kontrol: Systém mapuje všetkých 150+ kontrol na vašu infraštruktúru
• Gap analýza: Identifikuje, ktoré kontroly už máte a ktoré vám chýbajú
• Continuálne monitorovanie: Real-time logování a detekcia incidentov pre cloud a MSP prostredia
• Audit trail: Všetky zmeny sú zdokumentované – pripravené na nezávislý certifikačný audit
• Integracia s cloud providmi: Podporuje AWS, Azure, Google Cloud – extrahovanie logov bez dodatočného úsilia
• Customizácia pre klientov: Ako MSP môžete sledovať compliance svojich klientov priamo v platforme

Okrem Reglyze môžete zvážiť aj Secfix alebo ISMS.online, no Reglyze má najlepšiu podporu práve pre MSP use case.

Krok 1 – Gap Assessment (týždeň 1–2)
Zistite, ktoré z 150+ kontrol už máte. Použite Reglyze na automatizované mapovanie alebo si objednajte externý audit.

Krok 2 – Control Mapping (týždeň 3–4)
Ku každej chýbajúcej kontrole pridelite zodpovedného člena tímu, deadline a zdroje. Vytvoriť roadmap na nasledujúcich 6 mesiacov.

Krok 3 – Implementácia (mesiac 2–6)
Postupne implementujte kontroly. Začnite kritickými (access control, encryption, monitoring) a pokračujte organizačnými (politiky, školenia).

Krok 4 – Certifikácia (mesiac 6–8)
Objednajte si tretiu stranu na externý audit. Reglyze vám pomôže pripraviť všetku dokumentáciu a audit trail pre certifikáciu.

Implementing Regulation 2024/2690 zavádza supply chain povinnosti. Vaši klienti (zvlášť ak sú sami v rozsahu NIS2) budú od vás vyžadovať:

• Certifikát o compliance – nezávislý audit alebo samovyhlásenie podľa ISO 27001
• Audit správy – aspoň ročný externý audit s detailmi o kontrolách
• Incident reporting SLA – Ak dôjde k bezpečnostnému incidentu, musíte ich informovať do 24–72 hodín
• Right to audit – váš klient si budú chcieť vyžadovať právo na kontrolné audity u vás
• Povinné technické opatrenia – šifrovanie, MFA, segregácia dát

Bez compliance s Implementing Regulation 2024/2690 budú vaši klienti hľadať iných MSP. To je vaša obchodná príležitosť aj hrozba.