NIS2 (cyberbezpieczeństwo)

NIS2 to dyrektywa, której celem jest wzmocnienie cyberbezpieczeństwa podmiotów świadczących usługi kluczowe dla funkcjonowania gospodarki i społeczeństwa w UE. Jako dyrektywa, NIS2 wymaga transpozycji do prawa krajowego. Państwa członkowskie miały dostosować przepisy do 17 października 2024 r. W Polsce transpozycja jest realizowana przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC); prace legislacyjne nad projektem były przedłużone, a aktualny stan należy zweryfikować w oficjalnym źródle. NIS2 obejmuje 18 sektorów podzielonych na sektory o krytycznym znaczeniu oraz inne sektory krytyczne.

NIS2 wprowadza dwie kategorie podmiotów:

• Podmioty kluczowe (essential entities) — działające w sektorach o krytycznym znaczeniu: energetyka, transport, bankowość, infrastruktura rynków finansowych, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, ICT B2B, administracja publiczna, sektor kosmiczny,
• Podmioty ważne (important entities) — działające w innych sektorach krytycznych: usługi pocztowe i kurierskie, gospodarka odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, urządzeń elektronicznych, maszyn, pojazdów, sprzętu transportowego, dostawcy usług cyfrowych (m.in. marketplaces, wyszukiwarki, platformy społecznościowe), organizacje badawcze.

Progi wielkościowe — co do zasady NIS2 obejmuje średnie i duże podmioty (50+ pracowników lub 10+ mln EUR obrotu rocznego), z wyjątkami dla podmiotów o szczególnym znaczeniu niezależnie od wielkości.

Najważniejsze obowiązki podmiotów objętych NIS2:

• Zarządzanie ryzykiem cyberbezpieczeństwa — wdrożenie odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych (m.in. polityki bezpieczeństwa, zarządzanie incydentami, ciągłość działania, łańcuch dostaw, kontrola dostępu, kryptografia, MFA),
• Zgłaszanie incydentów w wieloetapowym trybie: wczesne ostrzeżenie w 24 h, zgłoszenie incydentu w 72 h, końcowe sprawozdanie w terminie 1 miesiąca,
• Współpraca z organami krajowego CSIRT i właściwym organem ds. cyberbezpieczeństwa,
• Rejestracja w krajowym wykazie podmiotów objętych NIS2,
• Odpowiedzialność członków zarządu — kierownictwo zatwierdza i nadzoruje środki cyberbezpieczeństwa; przewidziano ich osobistą odpowiedzialność,
• Audyt i szkolenia w zakresie cyberbezpieczeństwa.

Dyrektywa nakłada też obowiązki na łańcuch dostaw — podmioty muszą uwzględniać ryzyka po stronie swoich dostawców.

NIS2 wprowadza system administracyjnych kar pieniężnych zróżnicowanych według kategorii podmiotu. Dla podmiotów kluczowych kary mogą sięgnąć do 10 mln EUR lub 2% rocznego obrotu globalnego (wyższa z kwot). Dla podmiotów ważnych — do 7 mln EUR lub 1,4% rocznego obrotu globalnego. Dyrektywa przewiduje także środki nadzorcze, m.in. nakazy działań naprawczych, tymczasowe zawieszenie certyfikacji oraz — w niektórych przypadkach — tymczasowy zakaz pełnienia funkcji kierowniczych.

W Polsce nadzór nad krajowym systemem cyberbezpieczeństwa sprawują wskazane w ustawie KSC organy (m.in. minister właściwy ds. informatyzacji oraz krajowe CSIRT-y). Po transpozycji NIS2 zakres ich kompetencji oraz sankcji ulegnie istotnemu rozszerzeniu — szczegółowy kształt zależy od ostatecznej wersji ustawy.

Pojęcia powiązane z NIS2:

• Rozporządzenie a dyrektywa UE — NIS2 to dyrektywa, wymaga transpozycji,
• Transpozycja dyrektywy — kluczowy mechanizm wdrożenia NIS2 w Polsce,
• DSA — równoległe obowiązki dla platform internetowych,
• RODO — naruszenia cyberbezpieczeństwa skutkujące wyciekami danych są też naruszeniami RODO,
• EUR-Lex — tam znajdziesz tekst dyrektywy 2022/2555,
• E-commerce — wielu dostawców usług cyfrowych mieści się w sektorach NIS2,
• Firmy transportowe — sektor transportu jest objęty kategorią podmiotów kluczowych.