RODO i przepisy o cyberbezpieczeństwie przenikają się wszędzie tam, gdzie systemy informatyczne przetwarzają dane osobowe. RODO chroni ludzi, których dane dotyczą, a dyrektywa NIS2 i polska ustawa o krajowym systemie cyberbezpieczeństwa chronią ciągłość usług. Jeden incydent, na przykład atak ransomware, może uruchomić obowiązki z obu porządków naraz.
Na skróty
Czego dowiesz się z artykułu:
- Które przepisy RODO są w istocie wymaganiami bezpieczeństwa IT
- Czym różni się zgłoszenie naruszenia ochrony danych od zgłoszenia incydentu poważnego
- Co zmieniła znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa
- Jak podzielić pracę między inspektora ochrony danych i CISO
Dla kogo jest ten artykuł:
- Inspektorzy ochrony danych i zespoły compliance
- CISO, administratorzy i zespoły reagowania na incydenty
- Zarządy podmiotów objętych NIS2
Czas czytania: 7 minut
RODO jako przepis o bezpieczeństwie
Rozporządzenie (UE) 2016/679, czyli RODO, dostępne w eur-lex.europa.eu, w kilku miejscach mówi językiem bezpieczeństwa informacji:
- art. 5 ust. 1 lit. f — zasada integralności i poufności, czyli ochrona danych przed nieuprawnionym przetwarzaniem, utratą, zniszczeniem lub uszkodzeniem;
- art. 5 ust. 2 — rozliczalność: administrator musi umieć wykazać przestrzeganie zasad;
- art. 25 — uwzględnianie ochrony danych w fazie projektowania i domyślna ochrona danych;
- art. 32 — bezpieczeństwo przetwarzania: między innymi pseudonimizacja i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, szybkie przywrócenie dostępu do danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń.
RODO nie podaje listy zabezpieczeń. Wymaga środków odpowiednich do ryzyka, uwzględniających stan wiedzy technicznej i koszt wdrożenia. W praktyce to rejestr ryzyk, polityka kopii zapasowych, kontrola dostępu i testy odtwarzania, czyli te same elementy, których wymaga system zarządzania bezpieczeństwem informacji.
NIS2: środki zarządzania ryzykiem i zgłoszenia
Dyrektywa (UE) 2022/2555 (NIS2) z eur-lex.europa.eu w art. 21 ust. 2 wymienia minimalny zakres środków, między innymi obsługę incydentów, ciągłość działania z zarządzaniem kopiami zapasowymi, bezpieczeństwo łańcucha dostaw, kryptografię i szyfrowanie, kontrolę dostępu, cyberhigienę i szkolenia oraz uwierzytelnianie wieloskładnikowe. Zgodnie z art. 20 organy zarządzające zatwierdzają te środki i nadzorują ich wdrożenie, a ich członkowie mają obowiązek odbywać regularne szkolenia.
Najwięcej styków widać przy zgłoszeniach. Porównanie obu reżimów według tekstów w eur-lex.europa.eu:
RODO (eur-lex.europa.eu) | NIS2 (eur-lex.europa.eu) | |
|---|---|---|
| Co się zgłasza | naruszenie ochrony danych osobowych (art. 33) | poważny incydent (art. 23) |
| Do kogo | organ nadzorczy ochrony danych | CSIRT albo właściwy organ |
| Terminy | bez zbędnej zwłoki, w miarę możliwości do 72 godzin | wczesne ostrzeżenie do 24 godzin, zgłoszenie do 72 godzin, sprawozdanie końcowe do miesiąca |
| Osoby fizyczne | zawiadomienie przy wysokim ryzyku (art. 34) | informowanie odbiorców usług, gdy jest to uzasadnione |
Art. 35 NIS2 łączy oba porządki: gdy organ ds. cyberbezpieczeństwa stwierdzi, że naruszenie art. 21 lub art. 23 może oznaczać naruszenie ochrony danych podlegające zgłoszeniu, informuje organ nadzorczy RODO. Jeżeli ten nałoży administracyjną karę pieniężną, organ NIS2 nie nakłada kary za to samo zachowanie.
Stan w Polsce: znowelizowana ustawa o KSC
NIS2 wdraża w Polsce ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). Według metadanych aktu w api.sejm.gov.pl ogłoszono ją 2 marca 2026 r., a weszła w życie 3 kwietnia 2026 r. W kontekście RODO ważne są trzy rozwiązania:
- podmiot kluczowy lub podmiot ważny zgłasza do właściwego CSIRT sektorowego wczesne ostrzeżenie o incydencie poważnym w ciągu 24 godzin od wykrycia, a zgłoszenie incydentu poważnego — w ciągu 72 godzin (nowe brzmienie art. 11 ust. 1 pkt 4 i 4a);
- system teleinformatyczny prowadzony na podstawie art. 46 ustawy ma służyć także do zgłaszania naruszeń ochrony danych osobowych z art. 33 RODO przez te podmioty, a korzysta z niego również Prezes UODO;
- kierownik podmiotu kluczowego lub ważnego podejmuje decyzje dotyczące systemu zarządzania bezpieczeństwem informacji (art. 8d) i raz w roku kalendarzowym przechodzi szkolenie (art. 8e).
Inspektor ochrony danych i CISO — kto za co odpowiada
Inspektor ochrony danych (art. 39 RODO w eur-lex.europa.eu) informuje i doradza, monitoruje przestrzeganie przepisów, w tym szkolenia personelu, doradza przy ocenie skutków dla ochrony danych i współpracuje z organem nadzorczym. CISO odpowiada za środki bezpieczeństwa, monitorowanie i obsługę incydentów. Obie role patrzą na ten sam incydent z innej strony, dlatego wspólna procedura powinna przewidywać wspólny punkt przyjmowania zgłoszeń, równoległą ocenę (czy doszło do naruszenia ochrony danych i czy incydent jest poważny) oraz wspólny rejestr incydentów i naruszeń z rozdzielonymi terminami.
Czytaj także
- Czym jest dyrektywa NIS2? — kogo obejmuje dyrektywa i jakie stawia wymogi
- ISO 27001 — wdrożenie systemu zarządzania bezpieczeństwem — wspólna podstawa dla RODO i NIS2
- Ransomware — jak przygotować firmę na atak — incydent, który zwykle uruchamia oba reżimy
Rozwijaj kompetencje
Temat rozwijają szkolenia Cyberbezpieczeństwo i RODO — wymagania techniczne i procesowe oraz NIS2 — dyrektywa i ustawa o KSC: compliance dla zarządu i kadry IT. Pierwsze łączy wymagania RODO z zabezpieczeniami systemów, drugie porządkuje obowiązki wynikające z NIS2 i ustawy o KSC. Skontaktuj się z nami, żeby dopasować zakres do swojego zespołu.
Najczęściej zadawane pytania (FAQ)
Kim jest inspektor ochrony danych i jaką rolę ma w cyberbezpieczeństwie?
To osoba wyznaczona przez administratora albo podmiot przetwarzający, która doradza w sprawach ochrony danych, monitoruje przestrzeganie przepisów i współpracuje z organem nadzorczym. W cyberbezpieczeństwie ocenia, czy incydent jest naruszeniem ochrony danych osobowych i czy wymaga zgłoszenia lub zawiadomienia osób. Nie zastępuje CISO, który odpowiada za same zabezpieczenia.
Jak raportować incydenty zgodnie z NIS2 i RODO?
Według tekstów aktów w eur-lex.europa.eu to dwa odrębne zgłoszenia. Naruszenie ochrony danych zgłasza się organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin. Poważny incydent w podmiocie objętym NIS2 wymaga wczesnego ostrzeżenia w ciągu 24 godzin i zgłoszenia w ciągu 72 godzin. Jedno zdarzenie może wymagać obu.
Kogo dotyczy NIS2?
Dyrektywa obejmuje podmioty kluczowe i ważne z sektorów wymienionych w jej załącznikach, co do zasady od progu średniego przedsiębiorstwa. W Polsce o kwalifikacji decyduje znowelizowana ustawa o KSC z załącznikami. Podmiot sam ocenia, czy spełnia przesłanki, i składa wniosek o wpis do wykazu.
Czym jest RODO i co ma wspólnego z bezpieczeństwem IT?
RODO to unijne rozporządzenie o ochronie danych osobowych, stosowane bezpośrednio we wszystkich państwach Unii. Z bezpieczeństwem IT łączą je zasada integralności i poufności, obowiązek ochrony danych w fazie projektowania, wymóg środków bezpieczeństwa adekwatnych do ryzyka oraz obowiązek zgłaszania naruszeń.