NIS2 — Dyrektywa i ustawa o KSC: compliance dla zarządu i kadry IT

Obowiązkowi podlegają podmioty kluczowe i ważne działające w sektorach wskazanych w załącznikach NIS2 (m.in. energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna, usługi pocztowe, gospodarka odpadami, produkcja i dystrybucja chemikaliów oraz żywności, produkcja wyrobów, dostawcy usług cyfrowych i badania). Na szkoleniu przechodzimy przez kryteria sektora i wielkości przedsiębiorstwa, aby jednoznacznie ustalić Twój status.

Podmioty kluczowe podlegają nadzorowi proaktywnemu (kontrole, audyty również bez incydentu) i wyższym karom — do 10 mln EUR lub 2% rocznego obrotu światowego. Podmioty ważne podlegają nadzorowi reaktywnemu (po incydencie lub sygnale naruszenia) i karom do 7 mln EUR lub 1,4% obrotu. Klasyfikacja zależy od sektora i skali działalności.

Istotny incydent wymaga wczesnego ostrzeżenia do właściwego CSIRT w ciągu 24 godzin od wykrycia, pełnej notyfikacji z oceną wstępną w ciągu 72 godzin oraz raportu końcowego w ciągu 1 miesiąca. Na szkoleniu budujemy gotowy procedurą przepływ zgłoszeń dopasowany do struktury organizacji.

Organ zarządzający ma obowiązek zatwierdzić środki zarządzania ryzykiem cyberbezpieczeństwa i nadzorować ich wdrożenie. Członkowie zarządu mogą ponosić osobistą odpowiedzialność za zaniechania w tym zakresie, a NIS2 nakłada na nich również obowiązek odbywania regularnych szkoleń — dlatego to szkolenie adresuje wprost poziom zarządu, nie tylko dział IT.

Skupiamy się na styku decyzji zarządu i realizacji przez kadrę IT: nie omawiamy wyłącznie technicznego przygotowania organizacji, lecz przekładamy obowiązki prawne na konkretny podział ról, plan wdrożenia i procedurę raportowania. To ścieżka compliance dla decydentów odpowiedzialnych osobiście, wsparta praktycznym know-how IT.