NIS2 (Dyrektywa UE 2022/2555) znacząco rozszerza krąg firm objętych obowiązkami cyberbezpieczeństwa względem poprzedniej dyrektywy NIS — obejmuje teraz średnie i duże firmy z 18 sektorów, od energetyki po usługi cyfrowe, i nakłada na zarządy osobistą odpowiedzialność za nadzór nad ryzykiem.
Na skróty
Czego dowiesz się z artykułu:
- Które firmy podlegają NIS2 i jak sprawdzić, czy Twoja się kwalifikuje
- Jakie środki zarządzania ryzykiem NIS2 wymaga wdrożyć
- Jak wygląda obowiązek zgłaszania incydentów i w jakich terminach
- Jakie kary grożą za brak zgodności
Dla kogo ten artykuł: zarządy i kadra zarządzająca firm z sektorów objętych NIS2, działy compliance i bezpieczeństwa, zespoły IT odpowiedzialne za wdrożenie wymogów technicznych.
Czas czytania: 6 minut
NIS2 — obowiązki dla średnich i dużych firm: kto podlega regulacji
NIS2 dzieli podmioty na dwie kategorie: podmioty kluczowe (energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda, infrastruktura cyfrowa, administracja publiczna) i podmioty ważne (usługi pocztowe, gospodarka odpadami, produkcja chemikaliów, żywność, produkcja wyrobów medycznych i elektroniki, usługi cyfrowe, badania). W obu kategoriach próg wielkości to co do zasady średnie i duże przedsiębiorstwa — powyżej 50 pracowników lub 10 mln euro obrotu rocznego, choć niektóre podmioty podlegają regulacji niezależnie od wielkości ze względu na krytyczne znaczenie świadczonych usług.
Dyrektywa NIS2 sama w sobie nie działa bezpośrednio — wymaga transpozycji do prawa krajowego (w Polsce poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, KSC). Zgodnie z terminem wyznaczonym przez dyrektywę, państwa członkowskie miały wdrożyć jej przepisy do 17 października 2024 — w praktyce proces transpozycji w wielu krajach UE, w tym w Polsce, przeciągnął się poza ten termin, co nie zwalnia jednak firm z konieczności przygotowania się do nadchodzących wymogów.
Jakie środki zarządzania ryzykiem wymaga NIS2
NIS2 wymienia konkretny katalog minimalnych środków zarządzania ryzykiem cyberbezpieczeństwa, które podmioty kluczowe i ważne muszą wdrożyć:
| Obszar | Wymagane środki |
|---|---|
| Zarządzanie ryzykiem | Analiza ryzyka i polityki bezpieczeństwa systemów informatycznych |
| Obsługa incydentów | Procedury wykrywania, reagowania i zgłaszania incydentów |
| Ciągłość działania | Zarządzanie kopiami zapasowymi, odzyskiwanie po awarii, zarządzanie kryzysowe |
| Bezpieczeństwo łańcucha dostaw | Ocena bezpieczeństwa dostawców i usługodawców |
| Kontrola dostępu | Polityki kontroli dostępu i zarządzania aktywami |
| Uwierzytelnianie | Rozwiązania uwierzytelniania wieloskładnikowego (MFA) tam, gdzie zasadne |
| Szkolenia | Podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa dla personelu |
Kluczowa zmiana względem poprzedniej dyrektywy: NIS2 wprost wymaga szkoleń pracowników jako elementu formalnego katalogu środków bezpieczeństwa, nie tylko rekomendacji dobrych praktyk — co czyni budżet szkoleniowy elementem zgodności regulacyjnej, a nie wyłącznie inwestycją w rozwój zespołu.
Obowiązek zgłaszania incydentów — terminy, których nie da się przesunąć
NIS2 wprowadza trójstopniowy, ściśle terminowany proces zgłaszania poważnych incydentów do właściwego CSIRT (Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego): wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu, pełne zgłoszenie w ciągu 72 godzin z oceną wstępną wagi i skutków, oraz raport końcowy w ciągu miesiąca od zgłoszenia, zawierający szczegółowy opis incydentu, przyczyn i podjętych środków zaradczych.
To istotnie krótsze okna czasowe niż wymagane wcześniej przez wiele firm w praktyce — co oznacza, że posiadanie przetestowanej, udokumentowanej procedury reagowania na incydenty (nie tylko teoretycznego planu) staje się warunkiem koniecznym do spełnienia wymogów w realnym czasie.
Odpowiedzialność zarządu i kary za brak zgodności
NIS2 wprowadza bezprecedensowy element: osobistą odpowiedzialność członków zarządu za nadzór nad zgodnością z wymogami cyberbezpieczeństwa, włącznie z możliwością tymczasowego zakazu pełnienia funkcji zarządczych w przypadku rażących naruszeń. Zarządy muszą zatwierdzać środki zarządzania ryzykiem i przechodzić szkolenia z zakresu cyberbezpieczeństwa — nie mogą już delegować tej odpowiedzialności wyłącznie na dział IT.
Kary finansowe za naruszenia sięgają, w zależności od kategorii podmiotu, do 10 mln euro lub 2% globalnego rocznego obrotu dla podmiotów kluczowych (wyższa z tych wartości), oraz do 7 mln euro lub 1,4% obrotu dla podmiotów ważnych — porównywalny mechanizm do kar znanych z RODO, ale dedykowany specyficznie zgodności z cyberbezpieczeństwem.
Przeczytaj również
- Świadomość bezpieczeństwa pracowników — program szkoleniowy krok po kroku — jak spełnić wymóg szkoleń personelu z NIS2
- AI Act a kompetencje zespołu: jak przygotować firmę na unijne rozporządzenie — jak NIS2 łączy się z innymi regulacjami UE dotyczącymi ryzyka technologicznego
Rozwiń kompetencje
Przygotowanie organizacji do zgodności z NIS2 najlepiej zacząć od szkolenia Dyrektywa NIS2 w praktyce — przygotowanie organizacji. Sprawdź program i zapisz się, aby zbudować kompetencje zespołu pod okiem ekspertów EITT.
Najczęściej zadawane pytania (FAQ)
Czy moja firma na pewno podlega NIS2?
Zależy od sektora i wielkości. NIS2 obejmuje 18 sektorów podzielonych na podmioty kluczowe i ważne, z progiem co do zasady od 50 pracowników lub 10 mln euro obrotu — ale niektóre podmioty podlegają regulacji niezależnie od wielkości ze względu na krytyczne znaczenie świadczonych usług, więc warto zweryfikować status indywidualnie.
Ile czasu firma ma na zgłoszenie poważnego incydentu bezpieczeństwa?
Proces jest trójstopniowy: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin, i raport końcowy w ciągu miesiąca — te terminy są znacznie krótsze niż wiele firm stosowało dotychczas w praktyce.
Czy zarząd może przekazać całą odpowiedzialność za NIS2 działowi IT?
Nie. NIS2 wprowadza osobistą odpowiedzialność członków zarządu za nadzór nad zgodnością, włącznie z ryzykiem tymczasowego zakazu pełnienia funkcji zarządczych przy rażących naruszeniach — zarząd musi zatwierdzać środki zarządzania ryzykiem i przechodzić własne szkolenia z cyberbezpieczeństwa.
Czy szkolenia pracowników są formalnie wymagane przez NIS2?
Tak — w przeciwieństwie do poprzedniej dyrektywy, NIS2 wprost wymienia podstawowe praktyki cyberhigieny i szkolenia z cyberbezpieczeństwa jako element formalnego katalogu środków zarządzania ryzykiem, nie tylko rekomendację dobrych praktyk.