Michał Nowak
Dyrektywa NIS2 rozszerza obowiązki w zakresie cyberbezpieczeństwa na tysiące firm, które do tej pory nie podlegały żadnym regulacjom sektorowym. W Polsce wdraża ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa. Wyjaśniamy, kogo dotyczą nowe przepisy, jakie obowiązki nakładają i od czego zacząć, żeby nie działać w pośpiechu pod presją terminu.
Kogo obejmuje NIS2
Dyrektywa dzieli organizacje na podmioty kluczowe i ważne. O tym, czy Twoja firma podlega przepisom, decydują dwa kryteria: sektor działalności oraz wielkość. Co do zasady chodzi o średnie i duże przedsiębiorstwa (od 50 pracowników lub powyżej 10 mln euro rocznego obrotu) z 18 sektorów – m.in. energetyki, transportu, bankowości, ochrony zdrowia, wodociągów, infrastruktury cyfrowej, produkcji (np. urządzeń medycznych, elektroniki, maszyn, pojazdów), przemysłu spożywczego i chemicznego, usług pocztowych, gospodarki odpadami oraz usług cyfrowych. W niektórych przypadkach – np. dostawców usług DNS czy usług zaufania – wielkość nie ma znaczenia. Nawet jeśli Twoja firma nie jest objęta wprost, wymagania mogą dotrzeć do niej pośrednio: podmioty regulowane muszą dbać o bezpieczeństwo swojego łańcucha dostaw i coraz częściej wpisują je do umów z dostawcami.
Jakie obowiązki nakłada dyrektywa
NIS2 nie narzuca konkretnych technologii. Wymaga wdrożenia „odpowiednich i proporcjonalnych” środków zarządzania ryzykiem, które obejmują co najmniej dziesięć obszarów:
- polityki analizy ryzyka i bezpieczeństwa systemów informatycznych,
- obsługę incydentów – wykrywanie, reagowanie i wyciąganie wniosków,
- ciągłość działania: kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe,
- bezpieczeństwo łańcucha dostaw, w tym relacji z dostawcami usług IT,
- bezpieczeństwo w nabywaniu, rozwoju i utrzymaniu systemów oraz obsługę podatności,
- ocenę skuteczności wdrożonych środków,
- higienę cyberbezpieczeństwa i szkolenia pracowników,
- kryptografię i – tam, gdzie to zasadne – szyfrowanie,
- bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami,
- uwierzytelnianie wieloskładnikowe i bezpieczną komunikację.
Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc
Najbardziej wymierny obowiązek to raportowanie poważnych incydentów do właściwego zespołu CSIRT. Dyrektywa przewiduje trzy etapy: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie z oceną skutków w ciągu 72 godzin oraz raport końcowy najpóźniej miesiąc po zgłoszeniu. Żeby dotrzymać tych terminów, firma musi w ogóle być w stanie wykryć incydent i ocenić jego zasięg – bez monitoringu i procedury reagowania 24 godziny mijają, zanim ktokolwiek zauważy problem. Dlatego wiele firm łączy przygotowanie do NIS2 z wdrożeniem monitoringu bezpieczeństwa jako usługi.
Odpowiedzialność zarządu i kary
Nowością jest bezpośrednia odpowiedzialność kierownictwa. Zarząd ma zatwierdzać środki zarządzania ryzykiem, nadzorować ich wdrożenie i przechodzić szkolenia z cyberbezpieczeństwa – nie da się już „oddelegować” tematu wyłącznie do działu IT. Za naruszenia grożą kary administracyjne: do 10 mln euro lub 2% światowego obrotu dla podmiotów kluczowych i do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych, w zależności od tego, która kwota jest wyższa. Organ nadzoru może też nakazać publiczne poinformowanie o naruszeniu, a w skrajnych przypadkach – czasowo zawiesić osoby zarządzające w pełnieniu funkcji.
Terminy: nie czekaj na ostatni dzwonek
Termin transpozycji dyrektywy w Unii minął 17 października 2024 r., a polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przewiduje krótkie okresy przejściowe liczone od dnia wejścia w życie – w praktyce miesiące, nie lata. Firmy będą musiały same ustalić, czy podlegają przepisom, zarejestrować się w wykazie podmiotów, a następnie wdrożyć system zarządzania bezpieczeństwem informacji i procedury raportowania. Doświadczenie z RODO pokazuje, że organizacje, które zaczęły przygotowania po ogłoszeniu ostatecznych terminów, kończyły je w pośpiechu i drożej.
Od czego zacząć: pięć kroków
Niezależnie od tego, jak ostatecznie będą wyglądały polskie przepisy wykonawcze, kolejność działań jest ta sama:
- Ustal, czy podlegasz NIS2 – sprawdź sektor, wielkość firmy i wymagania kluczowych klientów.
- Zinwentaryzuj zasoby i procesy krytyczne: systemy, dane, dostawców, osoby odpowiedzialne.
- Przeprowadź analizę luk względem wymagań dyrektywy – najlepiej w formie audytu bezpieczeństwa.
- Zaplanuj wdrożenie według priorytetów: MFA, kopie zapasowe, procedura obsługi incydentów, szkolenia.
- Wdróż, udokumentuj i przeglądaj cyklicznie – NIS2 wymaga oceny skuteczności, a nie jednorazowego projektu.
Jeśli chcesz sprawdzić, na jakim etapie jest Twoja firma, umów bezpłatną rozmowę – wskażemy największe luki i realny plan działania.
