Dyrektywa NIS2 – co oznacza dla organizacji i jak przygotować się do nowych obowiązków

Dyrektywa NIS2 (dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555) stanowi kluczowy element unijnego systemu cyberbezpieczeństwa. Zastępuje ona wcześniejszą dyrektywę NIS z 2016 r., znacząco rozszerzając zakres regulacji oraz wprowadzając jednolite wymogi bezpieczeństwa dla podmiotów działających w sektorach istotnych dla funkcjonowania gospodarki i społeczeństwa.

Celem dyrektywy jest osiągnięcie wysokiego, wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej poprzez wzmocnienie wymogów zarządzania ryzykiem, obowiązków raportowania incydentów oraz nadzoru nad podmiotami objętymi regulacją.

Kiedy dyrektywa NIS2 wchodzi w życie

Dyrektywa NIS2 weszła w życie 16 stycznia 2023 r. Państwa członkowskie były zobowiązane do jej implementacji do prawa krajowego do dnia 17 października 2024 r. Po tym terminie przepisy krajowe wdrażające dyrektywę powinny zacząć obowiązywać w poszczególnych państwach.

W Polsce proces wdrażania dyrektywy realizowany jest poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa. Termin implementacji minął w październiku 2024 r., jednak prace legislacyjne trwają, a nowe regulacje mają zostać wprowadzone w drodze nowelizacji przepisów krajowych. Oznacza to, że organizacje powinny przygotowywać się do nowych obowiązków niezależnie od formalnego zakończenia procesu legislacyjnego.

Kogo dotyczy dyrektywa NIS2

Dyrektywa NIS2 obejmuje zarówno podmioty publiczne, jak i prywatne, które działają w sektorach uznanych za kluczowe lub ważne dla funkcjonowania państwa i gospodarki.

Podmioty kluczowe (essential entities)

Do tej kategorii zaliczane są organizacje świadczące usługi o fundamentalnym znaczeniu dla społeczeństwa i gospodarki, w szczególności w sektorach:

• energetyka,
• transport,
• bankowość i infrastruktura rynków finansowych,
• ochrona zdrowia,
• administracja publiczna,
• infrastruktura cyfrowa,
• gospodarka wodna,
• sektor kosmiczny.

Podmioty ważne (important entities)

Drugą grupę stanowią podmioty o istotnym znaczeniu gospodarczym, lecz o mniejszym wpływie systemowym. Obejmują one m.in.:

• sektor produkcji i przemysłu,
• usługi pocztowe i kurierskie,
• gospodarkę odpadami,
• sektor spożywczy,
• przemysł chemiczny,
• dostawców usług cyfrowych,
• jednostki badawczo-rozwojowe.

Co do zasady dyrektywa dotyczy średnich i dużych przedsiębiorstw (zatrudniających co najmniej 50 pracowników lub osiągających obrót powyżej 10 mln euro), z wyjątkiem niektórych podmiotów o znaczeniu krytycznym, które mogą zostać objęte regulacją niezależnie od wielkości.

Jakie obowiązki wprowadza NIS2

Dyrektywa NIS2 nakłada na objęte podmioty szeroki katalog obowiązków organizacyjnych i technicznych. Najważniejsze z nich obejmują:

1. Zarządzanie ryzykiem cyberbezpieczeństwa

Podmioty są zobowiązane do wdrożenia adekwatnych środków technicznych i organizacyjnych służących zarządzaniu ryzykiem w obszarze bezpieczeństwa systemów informatycznych. Obejmuje to m.in.:

• regularną analizę ryzyka,
• opracowanie i wdrożenie polityk bezpieczeństwa,
• monitorowanie zagrożeń i podatności,
• stosowanie środków kryptograficznych oraz kontroli dostępu.

2. Obsługa i raportowanie incydentów

Dyrektywa wprowadza szczegółowe obowiązki w zakresie zgłaszania incydentów cyberbezpieczeństwa. W przypadku poważnego incydentu podmiot zobowiązany jest do:

• przekazania wstępnego ostrzeżenia w ciągu 24 godzin,
• zgłoszenia incydentu w ciągu 72 godzin,
• przedstawienia raportu końcowego w terminie do jednego miesiąca.

3. Ciągłość działania i odporność operacyjna

Organizacje muszą opracować i testować plany ciągłości działania oraz procedury reagowania kryzysowego, obejmujące m.in.:

• kopie zapasowe,
• procedury odtwarzania systemów,
• scenariusze reagowania na ataki cybernetyczne.

4. Bezpieczeństwo łańcucha dostaw

NIS2 rozszerza odpowiedzialność organizacji na obszar współpracy z dostawcami i partnerami technologicznymi. Wymagane jest monitorowanie ryzyk związanych z usługami zewnętrznymi oraz uwzględnienie wymogów bezpieczeństwa w umowach z kontrahentami.

5. Odpowiedzialność zarządu

Istotną zmianą jest wprowadzenie bezpośredniej odpowiedzialności kierownictwa za zgodność organizacji z przepisami NIS2. Zarząd zobowiązany jest do zatwierdzania polityk bezpieczeństwa, nadzorowania wdrażania środków ochronnych oraz zapewnienia szkoleń w zakresie cyberbezpieczeństwa.

Konsekwencje braku dostosowania do dyrektywy

Niedostosowanie się do wymogów dyrektywy NIS2 wiąże się z poważnymi konsekwencjami prawnymi i finansowymi. Organy nadzorcze państw członkowskich uzyskują szerokie kompetencje kontrolne, obejmujące audyty, inspekcje oraz możliwość wydawania wiążących poleceń.

Najistotniejsze sankcje obejmują:

• kary administracyjne do 10 mln euro lub do 2% rocznego globalnego obrotu – w przypadku podmiotów kluczowych,
• kary do 7 mln euro lub do 1,4% obrotu – w przypadku podmiotów ważnych,
• możliwość czasowego zakazu pełnienia funkcji kierowniczych w przypadku rażących naruszeń,
• obowiązek wdrożenia określonych środków naprawczych pod nadzorem organu regulacyjnego.

Jak przygotować organizację do NIS2

Przygotowanie do wdrożenia NIS2 wymaga kompleksowego podejścia organizacyjnego i technologicznego. W szczególności zaleca się:

1. przeprowadzenie analizy, czy organizacja podlega dyrektywie,
2. wykonanie audytu bezpieczeństwa systemów informatycznych,
3. wdrożenie systemu zarządzania bezpieczeństwem informacji,
4. opracowanie procedur reagowania na incydenty,
5. przeszkolenie kadry zarządzającej i pracowników,
6. weryfikację bezpieczeństwa łańcucha dostaw.

Podsumowanie

Dyrektywa NIS2 wprowadza jednolite i znacznie bardziej rygorystyczne standardy cyberbezpieczeństwa w Unii Europejskiej. Jej zakres obejmuje szeroką grupę przedsiębiorstw i instytucji, a obowiązki dotyczą nie tylko kwestii technicznych, lecz również zarządczych i organizacyjnych.

W praktyce oznacza to konieczność traktowania cyberbezpieczeństwa jako kluczowego elementu zarządzania ryzykiem operacyjnym. Organizacje, które odpowiednio wcześnie rozpoczną proces dostosowania do nowych regulacji, ograniczą ryzyko sankcji finansowych oraz zwiększą odporność na incydenty cybernetyczne.