MFA в OT за шведськими правилами NIS2 – доступ постачальників та аварійний режим

Коротка відповідь: Якщо застосовуються відповідні положення MCFFS 2026:11, розділ 4 § 17 вимагає багатофакторної автентифікації (MFA) для системного адміністрування в сегментах IT і OT виробничого середовища та для доступу персоналу і постачальників із зовнішніх мереж. Для іншого доступу необхідно оцінити потребу в MFA та вжити відповідних заходів. Не кожен локальний вхід оператора автоматично підпадає під ту саму пряму вимогу.

На кого поширюються правила?

Спочатку визначте, чи підпадає організація під шведський Закон про кібербезпеку (2025:1506) та відповідні положення. Це може стосуватися енергетики, водопостачання й промисловості, але сама наявність промислового обладнання не визначає застосування NIS2.

Виняток щодо сфери дії: Згідно з розділом 1 § 1, для суб'єктів, які працюють виключно в певних перелічених секторах, зокрема окремих цифрових та міжкорпоративних ІКТ-послуг, у межах саме цього акта застосовується лише вимога навчання керівництва. Інші або суворіші норми можуть залишатися чинними.

Таблиця рішень щодо MFA в OT

Як документувати безпечний доступ

1. Перевірити юридичну особу, сектор та застосування закону й нормативного акта.
2. Інвентаризувати сегменти IT/OT, віддалений доступ і привілейовані облікові записи без оприлюднення чутливих схем.
3. Класифікувати доступ як обов'язковий, такий, що потребує оцінки, або поза межами цього акта; зафіксувати підставу й відповідального.
4. Перевірити фактичну роботу MFA на маршруті доступу; лише політика не доводить виконання.
5. Обмежити права та час доступу постачальника, скасувати доступ після робіт і перевірити журнали.
6. Занести недоліки, відповідальних, строки, повторні тести й рішення керівництва до захищеного реєстру.

Аварійний доступ не є загальним винятком

Під час відмови системи ідентифікації потрібна заздалегідь затверджена та перевірена резервна процедура. Аварійний обліковий запис або сервісний порт не звільняють автоматично від обов'язкової MFA. Розгляньте резервну автентифікацію, тимчасові права, подвійний контроль і журнали. Шведське FRA може надати індивідуальний виняток за особливих причин згідно з розділом 7 § 1; внутрішнє прийняття ризику не є юридичним звільненням.

Два приклади

Приклад 1 – віддалене обслуговування водоканалу: Технік адмініструє сервер керування через VPN. Перевіряють зовнішній доступ та адміністрування OT, MFA, права і журнали.

Приклад 2 – локальна панель HMI: Оператор без адміністративних прав і зовнішнього підключення потребує окремої оцінки MFA та захисту від несанкціонованих змін.

Поширені питання

Чи потрібне окреме вікно MFA на кожному PLC або HMI?

Не обов'язково. Слід оцінити маршрут і права; MFA може діяти на відповідному шлюзі.

Чи може постачальник мати постійний спільний сервісний обліковий запис?

Це створює ризики підзвітності. Перевіряйте особу, мінімальні права, строк і журнали за §§ 14–17 та 21.

Чи може компанія сама скасувати MFA через застаріле обладнання?

Внутрішнє рішення не усуває обов'язку. Потрібно дослідити сумісне рішення й формальний виняток за розділом 7 § 1.

Джерела та юридичні обмеження

Cybersecurity Act (2025:1506) · NCSC/FRA: MCFFS 2026:11 · MCFFS 2026:11, full wording.

Редакційна правова перевірка: 13 листопада 2026 р. Загальна інформація про шведське законодавство, не індивідуальна консультація й не аудит кібербезпеки.

Почніть з оцінки сфери застосування: Перш ніж визначати заходи контролю доступу OT, з'ясуйте, чи підпадає організація під шведський закон про кібербезпеку та яку роль вона виконує. Прочитайте На які компанії поширюються NIS2 та шведський закон про кібербезпеку?.

Практичні шаблони документів

Редагований комплект Word, PDF та Excel: MFA для OT відповідно до NIS2 у 2026 році – доступ постачальників, аварійний доступ і журнал контролю | Word/PDF/Excel. Перевірте точний перелік файлів на сторінці товару.