Aktualności

Dyrektywa Unijna o cyberbezpieczeństwie NIS 2 – kiedy wchodzi w życie i kogo obejmuje?

W ostatnim czasie wprowadzona została aktualizacja dyrektywy o cyberbezpieczeństwie. Co zmienia NIS 2, kogo dotyczy i od kiedy obowiązuje, tego dowiesz się w artykule.

Czym jest NIS 2? 

NIS 2 to aktualizacja dyrektywy NIS przyjętej w 2016 roku przez Parlament Europejski oraz Radę. W Polsce zapisy tej dyrektywy były realizowane przez ustawę o krajowym systemie cyberbezpieczeństwa z 2018 roku. Głównym celem NIS 2 jest określenie minimalnych wymagań, jakie podmioty powinny wdrożyć w celu skutecznego ograniczenia ryzyka cyberzagrożeń dla zwiększenia bezpieczeństwa ludzi oraz organizacji, a także zapewnienia ciągłości kluczowych usług pomimo wystąpienia incydentów.

Aktualizacja dokumentu nastąpiła w grudniu 2022 i wprowadziła szereg istotnych zmian. 

Najważniejsze zmiany wprowadzone przez NIS 2 (w porównaniu do poprzedniej dyrektywy): 

• rozszerzenie zakresu podmiotów zobowiązanych do stosowania postanowień dyrektywy;
• wprowadzenie odpowiedzialności dla kierownictwa firm – a więc możliwość pociągnięcia do odpowiedzialności osób zarządzających za wdrożenie NIS 2 z groźbą zawieszenia swoich funkcji;
• wprowadzenie kar i sankcji na organizacje za niedotrzymanie zarządzeń dyrektywy;
• zwiększenie i ujednolicenie wymagań mających na celu wzmocnienie cyberochrony (np. obowiązek zgłaszania i raportowania poważnych incydentów, wprowadzenie mechanizmów współpracy międzynarodowej – Sieć Zarządzania kryzysowego w Cyberprzesterzni);
• wymóg uwzględnienia bezpieczeństwa w łańcuchu dostaw – może to oznaczać, że firma nieobjęta NIS 2, ale dostarczająca do firmy objętej dyrektywą będzie musiała dostosować się do tych wymagań. 

Kogo obowiązuje NIS 2? 

Dyrektywa NIS 2 znacznie rozszerzyła obowiązek wykonywania oceny aktualnego stanu cyberbezpieczeństwa i wdrożenia niezbędnych zabezpieczeń na znacznie więcej sektorów i podmiotów. 

Kogo dotyczy dyrektywa NIS 2? 

• Średnie i większe przedsiębiorstwa – czyli takie zatrudniające minimum 50 osób i posiadające roczny obrót większy niż 10 mln EUR.
• Organizacje działające w sektorach uznanych przez Unie za istotne, m.in.:
  – sektory istotne dla gospodarki i społeczeństwa: energetyka, transport, ochrona zdrowia;
  – sektory zapewniające infrastrukturę cyfrową: dostawcy usług społecznościowych, usługi pocztowe, dostawcy usług chmurowych. 

Rys. 1. Podział podmiotów kluczowych i ważnych dla Dyrektywy NIS 2
Źródło: opracowanie własne na podstawie https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555  

Za niewdrożenie przez wymienione powyżej podmioty odpowiednich mechanizmów związanych z zapewnieniem cyberbezpieczeństwa mogą zostać nałożone kary. Mogą być to sankcje dotyczące działalności firmy, kary dla kierownictwa (np. odebranie funkcji) lub kary finansowe. 

Minimalne kary finansowe:  

Dla kluczowych podmiotów: 

• 10 000 000 EUR lub 2% łącznego rocznego światowego obrotu w poprzednim roku.

Dla ważnych podmiotów: 

• 7 000 000 EUR lub 1,4% łącznego rocznego światowego obrotu w poprzednim roku. 

Od kiedy obowiązuje NIS 2?  

W Polsce do 18 października 2024 roku musi zostać zaktualizowana obowiązująca ustawa o cyberbezpieczeństwa z 2018 roku. 

Od tego czasu firmy będą miały około 6-12 miesięcy do momentu wejścia w życie dyrektywy wraz ze wszystkimi jej konsekwencjami. A więc na implementacje NIS 2 organizacje będą miały czas zapewne do grudnia 2025 roku. 

Potrzebujesz wsparcia? 

Jeżeli potrzebujesz wsparcia w zakresie wykonania oceny ryzyka systemów informatycznych i wprowadzenia zabezpieczeń przed cybezagrożeniami wymaganych przepisami chętnie pomożemy. 

Możemy wspomóc Cię i Twoją firmę w zakresie: 

• audytów obecnego stanu cyberbezpieczeństwa,
• szkoleń dla zarządu, zespołu odpowiedzialnego za cyberbezpieczeństwo,
• analizy ryzyka,
• wyboru niezbędnych rozwiązań wraz z ich wdrożeniem,
• wdrożenia standardów ISO 27001, PCI, DSS, NIST.

Skontaktuj się z nami!

Źródła opracowania: 

• https://www.gov.pl/web/infrastruktura/informacje-biezace
• https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555