NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS2 to nowe unijne przepisy cyberbezpieczeństwa, które obowiązują w całej UE i w Polsce zostały wdrożone przez Ustawę o KSC. Obejmują one średnie i duże firmy z 18 sektorów oraz dzielą je na podmioty kluczowe i podmioty ważne, nakładając konkretne obowiązki i wysokie kary za ich łamanie. Jeśli działasz w energetyce, transporcie, wodzie, zdrowiu, finansach, produkcji czy usługach cyfrowych, bardzo możliwe, że nowe prawo dotyczy także twojej organizacji – warto to sprawdzić i przygotować firmę na wymagania NIS2.

Czym jest dyrektywa NIS2?

Dyrektywa NIS2 (Dyrektywa (UE) 2022/2555) to zaktualizowane unijne prawo w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej. Weszła w życie 16 stycznia 2023 r. i zastąpiła dyrektywę NIS1 z 2016 r., znacznie rozszerzając liczbę sektorów oraz poziom wymagań wobec organizacji. Jej celem jest podniesienie odporności sieci i systemów informatycznych, ochrona usług o znaczeniu społeczno‑gospodarczym oraz lepsza współpraca państw członkowskich w reagowaniu na ataki.

Dyrektywa NIS2 ustanawia jednolite minimalne wymagania w 18 sektorach krytycznych, zobowiązuje kraje UE do przyjęcia krajowych strategii cyberbezpieczeństwa i utworzenia struktur nadzoru. W praktyce oznacza to obowiązek zarządzania ryzykiem, raportowania incydentów, budowy systemów zarządzania bezpieczeństwem informacji i wzmocnienia odpowiedzialności zarządów za cyberbezpieczeństwo.

NIS2 przesuwa akcent z pojedynczych incydentów na ciągłe, systemowe zarządzanie ryzykiem w całej organizacji i jej łańcuchu dostaw.

Kogo dotyczy NIS2?

Regulacje obejmują podmioty prywatne i publiczne z sektorów uznanych za krytyczne lub ważne dla funkcjonowania państwa i gospodarki. Zasadą jest, że NIS2 dotyczy średnich i dużych przedsiębiorstw działających w tych branżach, ale niektóre organizacje podlegają przepisom niezależnie od wielkości (np. rejestry nazw domen, kwalifikowani dostawcy usług zaufania, operatorzy obiektów energetyki jądrowej).

Dyrektywa wprowadza dwie kategorie podmiotów – podmiot kluczowy oraz podmiot ważny. Klasyfikacja zależy od sektora, wielkości organizacji i znaczenia świadczonych usług. To rozróżnienie wpływa na tryb nadzoru (aktywny lub następczy) oraz na maksymalne wysokości kar administracyjnych.

Jakie sektory obejmuje NIS2?

W porównaniu z NIS1, nowa dyrektywa obejmuje znacznie szerszy katalog obszarów. Do sektorów kluczowych zaliczono między innymi:

• energię (elektryczność, gaz, paliwa, ciepło),
• sektor transportu – lotniczy, kolejowy, wodny i drogowy,
• bankowość i infrastrukturę rynku finansowego,
• ochronę zdrowia (szpitale, producenci leków i wyrobów medycznych o krytycznym znaczeniu),
• wodę pitną i ścieki,
• infrastrukturę cyfrową i zarządzanie usługami ICT,
• administrację publiczną na poziomie centralnym, wybrane podmioty publiczne,
• przestrzeń kosmiczną.

Do sektorów ważnych zaliczono z kolei m.in. usługi pocztowe i kurierskie, gospodarkę odpadami, produkcję chemikaliów, żywności, wybranych wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów oraz dużych dostawców usług cyfrowych (platformy handlowe, wyszukiwarki, serwisy społecznościowe) i badania naukowe.

Podmiot kluczowy a podmiot ważny – na czym polega różnica?

Podmiot kluczowy to zazwyczaj duża organizacja w sektorze kluczowym lub określona wprost w ustawie, niezależnie od wielkości. Charakteryzuje go m.in. stały nadzór ze strony organów i możliwość nałożenia kar do 10 mln euro lub 2% światowego obrotu, przy czym stosuje się wyższą z tych kwot. W Polsce minimalna kara nie może być niższa niż 20 000 zł.

Podmiot ważny to najczęściej średnie przedsiębiorstwo w sektorze kluczowym lub średnie i duże firmy z sektorów ważnych. Podlega nadzorowi następczemu, np. po incydencie, a maksymalna kara wynosi 7 mln euro lub 1,4% obrotu, nie mniej niż 15 000 zł. W krajowym systemie maksymalna kara może sięgnąć 100 mln zł, a odpowiedzialność może ponosić także kierownictwo.

Jak NIS2 jest wdrażana w Polsce?

W Polsce podstawą wdrożenia NIS2 jest Ustawa o KSC – ustawa o krajowym systemie cyberbezpieczeństwa. Nowelizacja tej ustawy implementuje wymagania dyrektywy i określa zasady działania całego krajowego systemu, obejmującego podmioty kluczowe i ważne, zespoły CSIRT, organy właściwe do spraw cyberbezpieczeństwa oraz wykaz podmiotów objętych regulacją.

Krajowy system opiera się na współpracy operatorów usług, administracji i zespołów reagowania na incydenty. W sektorach takich jak energia, transport, gospodarka wodna czy informatyzacja odpowiednie ministerstwa pełnią rolę organów nadzorczych i prowadzą wykaz firm, które muszą spełniać wymagania NIS2.

NIS2 i Ustawa o KSC są ze sobą ściśle powiązane – dyrektywa wyznacza ramy unijne, a ustawa krajowa przekłada je na konkretne obowiązki, terminy i tryb nadzoru w Polsce.

Jaką rolę pełnią CSIRT?

Zespoły CSIRT (Computer Security Incident Response Team) to krajowe i sektorowe zespoły reagowania na incydenty. W Polsce działają m.in. CSIRT GOV, CSIRT NASK i CSIRT MON, a w wybranych sektorach także CSIRT sektorowe. Do ich zadań należy przyjmowanie zgłoszeń o incydentach, analiza ich przebiegu, wsparcie techniczne dla podmiotów oraz wymiana informacji o zagrożeniach.

Podmiot kluczowy (a także ważny) ma obowiązek zgłaszać poważne incydenty cyberbezpieczeństwa do właściwego CSIRT w określonych terminach – najpierw wczesne ostrzeżenie do 24 godzin, potem zgłoszenie pełne do 72 godzin i sprawozdanie końcowe w ciągu miesiąca. Ten obowiązek jest jednym z fundamentów całego systemu raportowania.

Jak sprawdzić, czy NIS2 dotyczy twojej firmy?

Rozpoznanie, czy jesteś objęty regulacjami, nie odbywa się już tylko przez decyzję administracyjną – organizacja musi sama ocenić swoją sytuację. Analiza powinna uwzględnić sektor działalności, wielkość przedsiębiorstwa, rodzaj świadczonych usług oraz kryteria określone w ustawie o KSC.

Jeśli firma działa w jednym z sektorów wymienionych w załącznikach do ustawy, przekracza progi średniego przedsiębiorstwa lub jest wskazana z nazwy, bardzo prawdopodobne, że zostanie uznana za podmiot kluczowy lub ważny. Organy mogą też – w drodze decyzji – nadać taki status mniejszym organizacjom, jeśli przerwa w ich działalności mogłaby wywołać poważne skutki dla bezpieczeństwa, zdrowia publicznego czy porządku publicznego.

Jakie są warunki terytorialne stosowania ustawy?

Przepisy ustawy o KSC i, w konsekwencji, wymagania NIS2 stosuje się do podmiotów, które działają na terytorium Polski – mają tu siedzibę, oddział lub świadczą usługi transgranicznie. W przypadku dostawców usług cyfrowych (np. chmury, usług centrów danych, platform handlowych, wyszukiwarek) znaczenie ma główne miejsce prowadzenia działalności w UE.

Przedsiębiorca spoza Unii, oferujący usługi w Polsce, musi wyznaczyć przedstawiciela na terytorium jednego z państw członkowskich. To on będzie odpowiedzialny za kontakt z organami i realizację obowiązków wynikających z krajowych przepisów wdrażających NIS2.

Jakie obowiązki wprowadza NIS2 dla firm?

Dyrektywa nakłada na organizacje szereg wymagań obejmujących organizację bezpieczeństwa, technologię, procesy i ludzi. W centrum znajduje się systemowe zarządzanie ryzykiem oraz dokumentowanie działań. Dodatkowo przepisy wyraźnie akcentują odpowiedzialność zarządów za nadzór nad cyberbezpieczeństwem i konieczność regularnych szkoleń kadry kierowniczej.

Zakres obowiązków zależy od statusu (kluczowy/ważny), jednak rdzeń jest wspólny: analiza ryzyka, wdrożenie środków technicznych i organizacyjnych, obsługa incydentów, ochrona łańcucha dostaw, współpraca z CSIRT i organami, a także raportowanie oraz audyty.

System zarządzania bezpieczeństwem informacji

Każdy podmiot objęty NIS2 musi stworzyć i utrzymywać system zarządzania bezpieczeństwem informacji obejmujący wszystkie istotne systemy IT używane do świadczenia usług. W ramach takiego systemu konieczne jest co najmniej systematyczne zarządzanie ryzykiem, opracowanie polityk bezpieczeństwa, procedur reagowania na incydenty, planów ciągłości działania i odtwarzania oraz wprowadzenie rozwiązań technicznych takich jak aktualizacje, szyfrowanie i kontrola dostępu.

Ważnym elementem jest również zarządzanie podatnościami, czyli cykliczne identyfikowanie luk w oprogramowaniu, konfiguracjach i infrastrukturze, ich priorytetyzacja oraz planowanie działań naprawczych. Bez proaktywnego monitorowania podatności trudno realnie ograniczyć liczbę istotnych zdarzeń bezpieczeństwa.

Raportowanie incydentów cyberbezpieczeństwa

Incydent cyberbezpieczeństwa to każde zdarzenie, które może negatywnie wpłynąć na poufność, integralność lub dostępność systemów lub danych. Za incydent poważny uznaje się m.in. sytuacje powodujące przerwanie ciągłości świadczenia usługi, znaczne straty finansowe lub szkody dla innych podmiotów. Dla takich incydentów dyrektywa i ustawa przewidują ścisłe terminy zgłaszania.

Procedura wygląda następująco:

• wczesne ostrzeżenie – do 24 godzin od wykrycia incydentu,
• pełne zgłoszenie – do 72 godzin, z opisem przyczyn, przebiegu i skutków oraz zastosowanych środków,
• sprawozdanie końcowe – co do zasady do miesiąca od zgłoszenia, z podsumowaniem i wnioskami.

Dodatkowo organizacja musi poinformować odbiorców swoich usług o incydentach lub zagrożeniach, jeśli te mogą mieć wpływ na dostępność lub bezpieczeństwo świadczonych usług, oraz przekazać im zalecane działania ochronne.

Łańcuch dostaw i dostawcy wysokiego ryzyka

NIS2 kładzie silny nacisk na bezpieczeństwo łańcucha dostaw ICT. Podmioty kluczowe i ważne są zobowiązane do uwzględniania ryzyk związanych z dostawcami usług i produktów IT w swoich procesach zarządzania ryzykiem. Oznacza to m.in. weryfikację dostawców, zapisy o bezpieczeństwie w umowach, ocenę wpływu usług krytycznych oraz monitorowanie statusu dostawców określonych jako wysokiego ryzyka.

Jeśli minister właściwy do spraw informatyzacji uzna dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka, korzystające z jego rozwiązań podmioty muszą zgodnie z decyzją ograniczyć ich użycie, a następnie w określonym czasie całkowicie je wycofać. W niektórych wypadkach termin ten wynosi 4 lata dla elementów telekomunikacyjnych krytycznych, a standardowo 7 lat dla pozostałych produktów i usług.

Dokumentacja i audyty

Ustawa wymaga prowadzenia obszernej dokumentacji bezpieczeństwa, obejmującej zarówno dokumenty normatywne (polityki, procedury, plany awaryjne), jak i dokumentację operacyjną (rejestry zdarzeń, logi systemowe, zapisy z obsługi incydentów). Dokumentacja ma być aktualna, chroniona, wersjonowana oraz przechowywana przez co najmniej 2 lata od zakończenia korzystania z danego systemu lub usługi.

Podmioty kluczowe muszą okresowo zlecać audyty bezpieczeństwa – nie rzadziej niż raz na 3 lata – w celu sprawdzenia zgodności z przepisami i skuteczności wdrożonych środków. Organy nadzorcze mogą także żądać przeprowadzenia dodatkowych audytów, zwłaszcza po incydencie lub w przypadku podejrzenia naruszeń.

Jakie są konsekwencje braku zgodności z NIS2?

System nadzoru przewiduje różne środki – od zaleceń naprawczych po wysokie kary finansowe. W pierwszej kolejności organ zwykle wydaje zalecenia, wyznacza terminy na usunięcie nieprawidłowości i może zarządzić kontrole. Jeśli to nie przyniesie efektu albo naruszenia są poważne, sięga po sankcje administracyjne.

Dla podmiotów kluczowych maksymalna kara wynosi 10 mln euro lub 2% przychodu, dla podmiotów ważnych – 7 mln euro lub 1,4% przychodu. W polskim systemie górny pułap może sięgać 100 mln zł, a przepisy przewidują także możliwość nakładania kar na członków kierownictwa, jeśli zaniedbali obowiązek nadzoru nad wdrażaniem środków cyberbezpieczeństwa.

Naruszenie przepisów NIS2 może skutkować sankcjami zarówno wobec organizacji, jak i wobec osób zarządzających – odpowiedzialność zarządu za cyberbezpieczeństwo przestaje być wyłącznie teoretyczna.

Jak przygotować organizację do wymagań NIS2?

Przygotowanie do NIS2 to proces, który obejmuje zarówno analizę prawną, jak i techniczną ocenę obecnych zabezpieczeń. Punktem wyjścia jest identyfikacja, czy firma jest lub będzie podmiotem kluczowym bądź podmiotem ważnym, a następnie zaplanowanie etapowego wdrożenia – od zarejestrowania w wykazie po zbudowanie lub dostosowanie systemu zarządzania bezpieczeństwem informacji.

W praktyce organizacje koncentrują się na kilku krokach: inwentaryzacji systemów i usług, analizie ryzyka, wdrożeniu środków technicznych (np. MFA, segmentacja, szyfrowanie), utworzeniu procedur obsługi incydentów, szkoleniach pracowników oraz ułożeniu procesu raportowania i współpracy z CSIRT. W wielu przypadkach potrzebne jest też rozwinięcie wewnętrznych kompetencji lub wsparcie wyspecjalizowanych zespołów zewnętrznych.