Dyrektywa NIS2 (Network and Information Systems Directive 2)”, dotycząca cyberbezpieczeństwa, weszła w życie 16 stycznia 2023 roku. Państwa członkowskie miały obowiązek wdrożenia jej przepisów do 17 października 2024 roku. Nowe regulacje obejmują szerszą niż dotychczas grupę organizacji i mają duże znaczenie dla podmiotów działających w przestrzeni cyfrowej – zarówno w sektorze publicznym, jak i prywatnym.
23 kwietnia 2024 roku w Rządowym Centrum Legislacji opublikowano projekt nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, przygotowany przez Ministerstwo Cyfryzacji w celu implementacji dyrektywy NIS2. Mimo wcześniejszych zapowiedzi, że projekt zostanie przyjęty przez rząd w trzecim kwartale 2024 roku, na listopad 2025 roku proces legislacyjny nie został jeszcze zakończony.
Czy Twoja spółka jest objęta dyrektywą NIS2?
Dyrektywa NIS2 dotyczy średnich i dużych firm oraz instytucji z wielu sektorów, między innymi: energii, transportu, bankowości, infrastruktury rynku finansowego, ochrona zdrowia( szpitale, labolatoria, producenci leków), zaopatrzenie w wodę pitną, gospodarka ścieków, infrastruktury cyfrowej, administracji publicznej, przestrzeni kosmicznej i żywności. W niektórych przypadkach obowiązki te mogą objąć również podmioty z łańcuchów dostaw, jeśli spełniają określone kryteria.
Podmioty objęte dyrektywą będą zobowiązane do wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem i reagowania na incydenty cyberbezpieczeństwa.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa ma na celu wdrożenie do polskiego porządku prawnego przepisów unijnej Dyrektywy (UE) 2022/2555 z 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (tzw. dyrektywa NIS2).
Jakie kary za niewdrożenie Dyrektywy NIS2?
Zgodnie z unijną dyrektywą NIS2, każde państwo członkowskie – w tym Polska – musi wprowadzić system sankcji za brak odpowiednich działań w zakresie cyberbezpieczeństwa. Niestosowanie się do nowych przepisów może kosztować firmę nawet 10 mln euro lub 2% światowych obrotów dla podmiotów kluczowych, co powinno wypromować zasady wprowadzane w tej dyrektywie na najwyższy priorytet. Ponadto, istnieje również odpowiedzialność finansowa i osobista kierownictwa wyższego szczebla.
Jakie podmioty są objęte regulacją NIS2?
Zgodnie z projektowaną nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), Polska wdroży wymagania wynikające z unijnej dyrektywy NIS2, obejmujące znacznie szerszy zakres sektorów niż dotychczas. Celem nowych przepisów jest wzmocnienie odporności cyfrowej podmiotów świadczących usługi istotne dla społeczeństwa i gospodarki.
Do nowych obszarów objętych obowiązkami w zakresie cyberbezpieczeństwa należą m.in.:
- Usługi pocztowe i kurierskie
- Zarządzanie odpadami
- Produkcja żywności i napojów
- Produkcja farmaceutyczna
- Produkcja chemiczna
- Produkcja urządzeń medycznych
- Transport publiczny
- Wodociągi i kanalizacja
Obowiązki nie będą dotyczyć wszystkich firm w tych sektorach, lecz tych, które spełnią określone kryteria, np. wielkościowe lub związane z ryzykiem dla bezpieczeństwa usług.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Rozwój systemów zgodnych z dyrektywą NIS2
Dyrektywa NIS2 wprowadza obowiązek wdrażania kompleksowych środków zarządzania ryzykiem w zakresie cyberbezpieczeństwa oraz obowiązek zgłaszania incydentów, które mają istotny wpływ na świadczenie usług. Organizacje będą musiały opracować i utrzymywać systemy umożliwiające skuteczne wykrywanie, analizowanie i raportowanie takich incydentów do odpowiednich organów krajowych – w tym raportowanie w ciągu 24 godzin od ich wykrycia.
Wymagania obejmą m.in.: obsługę podatności, zarządzanie łatkami bezpieczeństwa, testy penetracyjne, szyfrowanie danych, uwierzytelnianie wieloskładnikowe i dokumentowanie polityk bezpieczeństwa. Kadra zarządzająca będzie odpowiedzialna za nadzorowanie i zatwierdzanie działań w zakresie cyberbezpieczeństwa oraz zapewnienie zgodności z wymogami.
Jak dostosować firmę do wdrożenia NIS2?
W związku z obowiązywaniem unijnej dyrektywy NIS2 i trwającym procesem jej wdrażania do polskiego prawa, organizacje powinny już być na zaawansowanym etapie dostosowywania swoich systemów i procedur. Mimo to, wiele firm nadal nie identyfikuje się jako podmioty objęte regulacją. Według [nazwa badania/firma badawcza], 25% przedsiębiorstw nie jest świadomych, że NIS2 ich dotyczy, a tylko 38% planuje uruchomić dedykowany projekt wdrożeniowy.
Główne bariery we wdrażaniu to niedobór wykwalifikowanych specjalistów w zakresie cyberbezpieczeństwa (45%) oraz niewystarczający budżet (28%).
Warto zauważyć, że wiele organizacji jeszcze nie zdaje sobie sprawy z tego, że dyrektywa NIS2 ich dotyczy oraz nie wszystkie traktują te regulacje jako priorytet.
Świadomość regulacyjna będzie rosnąć wraz z aktywnością firm, które jako pierwsze wdrożą systemy zgodne z NIS2 i zaczną wymagać odpowiednich standardów od partnerów biznesowych i dostawców. Choć bodźcem do zmian są przepisy prawa, w praktyce wymogi te będą coraz częściej egzekwowane przez rynek. Dlatego organizacje powinny już teraz priorytetowo traktować rozwój systemów zarządzania cyberbezpieczeństwem oraz rozpocząć ich testowanie i integrację z procesami wewnętrznymi.
Czytaj więcej:
- 5 najważniejszych informacji dotyczących NIS2
- NIS2 a projekt nowelizacji uKSC
- Dyrektywa NIS2 – jakie znaczenie ma monitorowanie infrastruktury IT?
- Dyrektywa NIS-2: Czym jest, kogo dotyczy i kiedy wchodzi w życie?
- NIS2: obowiązkowe szkolenia dla zarządów z cyberbezpieczeństwa
- NIS vs. NIS2: Kluczowe zmiany w zakresie obowiązków i obszaru działań
- Produkcja pojazdów, rowerów, przyczep i naczep a NIS2
- Lekarze i opieka zdrowotna a NIS2
- Branża spożywcza a NIS2
- Produkcja sprzętów i maszyn a NIS2
- Apteki, producenci leków i wyrobów medycznych a NIS2
- Dyrektywa NIS2 – kopia zapasowa a ciągłość działania organizacji
- NIS2 a projekt nowelizacji uKSC
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (NIS2)
- Obowiązki sektora chemicznego w kontekście NIS2
- Dyrektywa NIS2 – 10 najważniejszych zmian w projekcie nowelizacji ustawy o KSC
- NIS2: Ustawa o KSC najbardziej restrykcyjną ustawą w Europie?
- Najważniejsze zmiany w regulacjach dotyczących cyberbezpieczeństwa w 2025 r.
- Dyrektywa NIS-2 – sprawdź, czy podlegasz wymaganiom
- Od kartki papieru po kanapę. Czy NIS2 dotyczy prawie każdego producenta w Polsce?
- Dyrektywa NIS2: Kto podlega nowym obowiązkom cyberbezpieczeństwa?
- Kiedy w Polsce wchodzi w życie NIS2?
AUTORKA: Paulina Wójcik, Specjalistka ds. sprzedaży, Outsourcing IT