Dyrektywa NIS2: co firmy muszą wiedzieć i jak się przygotować?

Bezpieczeństwo cyfrowe stało się kluczowym priorytetem dla Unii Europejskiej, co znajduje odzwierciedlenie w nowych, zaostrzonych regulacjach. Dyrektywa NIS2, następczyni pierwszej dyrektywy NIS z 2016 roku, znacząco rozszerza zakres podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa i wprowadza bardziej rygorystyczne wymogi. Dla wielu polskich firm, zrozumienie, czy podlegają pod dyrektywę NIS2 Polska i jak zapewnić zgodność z NIS2, jest pilnym zadaniem na rok 2025, zwłaszcza w kontekście zbliżających się terminów implementacji krajowych przepisów. Ten artykuł, pełniąc rolę praktycznej listy kontrolnej, wyjaśnia kluczowe wymagania NIS2, kogo dotyczą nowe przepisy oraz jakie kroki należy podjąć, aby skutecznie przygotować organizację na wdrożenie NIS2 i uniknąć potencjalnych kar. Skupimy się na praktycznych aspektach cyberbezpieczeństwa NIS2.

NIS2 w pigułce: cele, zakres i kogo dotyczy w Polsce

Głównym celem dyrektywy NIS2 jest podniesienie ogólnego poziomu cyberbezpieczeństwa kluczowych sektorów gospodarki i usług publicznych w całej Unii Europejskiej. Dyrektywa znacząco rozszerza zakres sektorów i podmiotów objętych regulacją w porównaniu do swojej poprzedniczki. Wprowadza podział na podmioty kluczowe (essential entities) oraz podmioty ważne (important entities), działające w sektorach uznanych za krytyczne lub istotne dla funkcjonowania społeczeństwa i gospodarki.

Do sektorów o wysokiej istotności krytycznej (podmioty kluczowe) zaliczono m.in.: energetykę, transport, bankowość, infrastrukturę rynków finansowych, sektor ochrony zdrowia, infrastrukturę wody pitnej i ścieków, infrastrukturę cyfrową (w tym dostawców usług chmurowych, data center, sieci dostarczania treści), administrację publiczną oraz przestrzeń kosmiczną.

Do innych sektorów krytycznych (podmioty ważne) należą m.in.: usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i przetwarzanie żywności, produkcja (np. wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów) oraz dostawcy usług cyfrowych (internetowe platformy handlowe, wyszukiwarki, platformy społecznościowe).

Dyrektywa obejmuje średnie i duże przedsiębiorstwa działające w tych sektorach. Małe i mikroprzedsiębiorstwa są co do zasady wyłączone, chyba że odgrywają kluczową rolę w danym sektorze (np. są jedynym dostawcą usługi w państwie członkowskim). Polskie firmy działające w wymienionych sektorach i spełniające kryteria wielkości muszą przygotować się na nowe obowiązki.

Kluczowe obowiązki w zakresie zarządzania ryzykiem cyberbezpieczeństwa

NIS2 nakłada na objęte nią podmioty obowiązek wdrożenia odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, z których korzystają w swojej działalności lub przy świadczeniu usług. Dyrektywa wymienia minimalny zestaw środków, które muszą być uwzględnione. Obejmują one między innymi:  

• Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych.
• Obsługę incydentów (procedury zapobiegania, wykrywania, reagowania).
• Ciągłość działania (zarządzanie kopiami zapasowymi, odtwarzanie po awarii) i zarządzanie kryzysowe.
• Bezpieczeństwo łańcucha dostaw (w tym aspekty bezpieczeństwa w relacjach z dostawcami i usługodawcami).
• Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych (w tym obsługa i ujawnianie podatności).
• Polityki i procedury oceny skuteczności środków zarządzania ryzykiem.
• Podstawowe praktyki w zakresie cyberhigieny i szkolenia z cyberbezpieczeństwa.
• Polityki i procedury dotyczące stosowania kryptografii (w tym szyfrowania).
• Bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzanie aktywami.
• Stosowanie uwierzytelniania wieloskładnikowego lub ciągłego (tam, gdzie to stosowne).

Co istotne, NIS2 wprowadza odpowiedzialność kadry zarządzającej (np. zarządu) za wdrożenie i nadzór nad środkami cyberbezpieczeństwa. Członkowie organów zarządzających będą zobowiązani do odbycia szkoleń w tym zakresie.

Wymogi dotyczące zgłaszania incydentów: co, kiedy i jak raportować?

Dyrektywa NIS2 znacząco zaostrza i ujednolica obowiązki związane ze zgłaszaniem incydentów cyberbezpieczeństwa mających istotny wpływ na świadczenie usług. Podmioty objęte dyrektywą będą musiały zgłaszać poważne incydenty do wyznaczonego krajowego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz, w niektórych przypadkach, do właściwego organu krajowego. Proces zgłaszania będzie wieloetapowy:

1. Wczesne ostrzeżenie: W ciągu 24 godzin od stwierdzenia incydentu – wstępna informacja o podejrzeniu wystąpienia poważnego incydentu.
2. Powiadomienie o incydencie: W ciągu 72 godzin od stwierdzenia incydentu – bardziej szczegółowe informacje, w tym wstępna ocena incydentu, jego dotkliwości i wpływu.
3. Sprawozdanie końcowe: W ciągu miesiąca od złożenia powiadomienia o incydencie (lub od zakończenia obsługi incydentu) – szczegółowy raport końcowy.

Podmioty będą również zobowiązane do informowania swoich klientów (odbiorców usług) o incydentach, które mogą mieć na nich istotny wpływ. Wdrożenie skutecznych procedur wykrywania, analizy i zgłaszania incydentów będzie kluczowe dla spełnienia tych wymogów.

Bezpieczeństwo łańcucha dostaw w kontekście NIS2

Jednym z kluczowych obszarów wzmocnionych przez NIS2 jest bezpieczeństwo łańcucha dostaw. Podmioty objęte dyrektywą będą musiały uwzględniać ryzyka związane ze swoimi bezpośrednimi dostawcami i usługodawcami (np. dostawcami usług przechowywania danych, oprogramowania, zarządzanych usług bezpieczeństwa). Oznacza to konieczność oceny praktyk cyberbezpieczeństwa swoich partnerów i uwzględniania aspektów bezpieczeństwa w umowach z nimi. Firmy będą musiały zadbać o to, aby ich dostawcy również stosowali odpowiednie środki bezpieczeństwa, adekwatne do potencjalnego ryzyka, jakie mogą wprowadzić do ekosystemu podmiotu objętego NIS2. Zarządzanie ryzykiem związanym z łańcuchem dostaw staje się integralną częścią ogólnego systemu zarządzania ryzykiem cyberbezpieczeństwa wymaganego przez dyrektywę.

Nadzór, kary i egzekwowanie przepisów NIS2 w Polsce

NIS2 przewiduje wzmocnienie mechanizmów nadzoru nad podmiotami objętymi dyrektywą. Wyznaczone organy krajowe będą miały uprawnienia do przeprowadzania audytów, kontroli i żądania informacji w celu weryfikacji zgodności. Co istotne, dyrektywa wprowadza również surowe kary finansowe za nieprzestrzeganie przepisów, które mają być skuteczne, proporcjonalne i odstraszające. Dla podmiotów kluczowych maksymalne kary administracyjne mogą sięgać co najmniej 10 mln EUR lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa (w zależności od tego, która kwota jest wyższa). Dla podmiotów ważnych maksymalne kary to co najmniej 7 mln EUR lub 1,4% całkowitego rocznego światowego obrotu. Te wysokie potencjalne sankcje podkreślają wagę, jaką prawodawca przywiązuje do zapewnienia zgodności z NIS2.

Checklista: kroki przygotowawcze do wdrożenia NIS2 w Twojej firmie

Przygotowanie do NIS2 to proces, który warto rozpocząć jak najszybciej. Oto kluczowe kroki, które powinna podjąć Twoja firma:

1. Określ status firmy: Sprawdź, czy Twoja firma działa w sektorze objętym NIS2 i czy spełnia kryteria wielkości (średnie/duże przedsiębiorstwo), aby ustalić, czy podlega pod obowiązki podmiotu kluczowego czy ważnego.
2. Przeprowadź analizę ryzyka: Dokonaj kompleksowej oceny ryzyka dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych w Twojej działalności.
3. Dokonaj analizy luk (Gap Analysis): Porównaj obecny stan zabezpieczeń i procedur w Twojej firmie z minimalnymi wymogami określonymi w NIS2 (wymienionymi wcześniej w artykule). Zidentyfikuj obszary wymagające poprawy.
4. Opracuj i wdróż plan działań: Stwórz harmonogram wdrożenia brakujących środków technicznych, operacyjnych i organizacyjnych. Przypisz odpowiedzialności i zapewnij niezbędne zasoby.
5. Zaktualizuj polityki i procedury: Przejrzyj i dostosuj wewnętrzne polityki bezpieczeństwa, procedury obsługi incydentów, plany ciągłości działania i zarządzania łańcuchem dostaw do wymogów NIS2.
6. Przeszkol kadrę zarządzającą i pracowników: Zapewnij odpowiednie szkolenia z cyberbezpieczeństwa dla zarządu (zgodnie z wymogiem NIS2) oraz programy budowania świadomości dla wszystkich pracowników.
7. Wdróż procedury zgłaszania incydentów: Upewnij się, że posiadasz mechanizmy i procedury umożliwiające terminowe wykrywanie i zgłaszanie poważnych incydentów zgodnie z wymogami NIS2.
8. Zweryfikuj bezpieczeństwo dostawców: Oceń praktyki cyberbezpieczeństwa kluczowych dostawców i usługodawców oraz wprowadź odpowiednie zapisy do umów.
9. Monitoruj i testuj: Wdróż mechanizmy ciągłego monitorowania bezpieczeństwa i regularnie testuj skuteczność wdrożonych środków (np. poprzez testy penetracyjne, audyty).
10. Dokumentuj działania: Prowadź dokładną dokumentację wszystkich podjętych działań w zakresie zarządzania ryzykiem i zapewnienia zgodności, która może być wymagana podczas kontroli.

Podsumowanie: kluczowe wnioski dla czytelnika EITT

Dyrektywa NIS2 stanowi istotny krok w kierunku wzmocnienia cyberbezpieczeństwa w Unii Europejskiej, nakładając nowe, bardziej rygorystyczne obowiązki na szerszą grupę podmiotów niż dotychczas. Dla polskich firm działających w kluczowych i ważnych sektorach, zapewnienie zgodności z NIS2 staje się pilnym priorytetem. Wymaga to kompleksowego podejścia do zarządzania ryzykiem, wdrożenia odpowiednich środków bezpieczeństwa, usprawnienia procesów obsługi incydentów i zarządzania łańcuchem dostaw, a także zaangażowania kadry zarządzającej. Choć przygotowanie do NIS2 może być wyzwaniem, jest to również okazja do znaczącego podniesienia poziomu cyberodporności organizacji i lepszego przygotowania na ewoluujące zagrożenia.

Następny krok z EITT

Nie jesteś pewien, czy Twoja firma podlega pod NIS2 lub jak skutecznie wdrożyć jej wymagania? Potrzebujesz wsparcia w przeprowadzeniu analizy ryzyka, analizy luk lub opracowaniu planu dostosowawczego? EITT oferuje kompleksowe audyty zgodności, doradztwo oraz dedykowane szkolenia z zakresu dyrektywy NIS2 i zarządzania cyberbezpieczeństwem. Skontaktuj się z naszymi ekspertami, aby dowiedzieć się, jak możemy pomóc Twojej organizacji w sprawnym i skutecznym przygotowaniu się na wymogi NIS2.