Dyrektywa NIS 2 – jakie obowiązki wprowadza dla przedsiębiorców?

×

W praktyce dyrektywa NIS 2 dotyczy tysięcy firm działających w różnych sektorach, nie tylko dużych korporacji, lecz również średnich przedsiębiorców, a w określonych przypadkach także mniejszych podmiotów.

Dyrektywa NIS 2 – cel i przedmiot regulacji

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) została przyjęta w celu zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej.

Głównym zadaniem NIS 2 zadaniem jest ochrona sieci i systemów informatycznych wykorzystywanych do świadczenia usług kluczowych i ważnych przed:

• cyberatakami,
• naruszeniem poufności, integralności i dostępności danych,
• zakłóceniami ciągłości działania,
• incydentami o charakterze systemowym i transgranicznym.

Co ważniejsze, dyrektywa NIS 2 zastępuje dyrektywę NIS z 2016 roku, znacząco rozszerzając zakres regulacji oraz zaostrzając obowiązki i sankcje.

Kogo dotyczy NIS 2?

NIS 2 obejmuje podmioty kluczowe oraz podmioty ważne, przy czym podstawowym kryterium kwalifikacji jest:

• sektor działalności,
• znaczenie świadczonych usług dla gospodarki i społeczeństwa,
• co do zasady – status co najmniej średniego przedsiębiorcy, z licznymi wyjątkami.

PODMIOTY KLUCZOWE (ESSENTIAL ENTITIES)

Dyrektywa NIS 2 obejmuje m.in. podmioty działające w sektorach:

• energii,
• transportu (lotniczy, kolejowy, drogowy, wodny),
• bankowości i infrastruktury rynków finansowych,
• ochrony zdrowia i zdrowia publicznego,
• zaopatrzenia w wodę pitną i odprowadzania ścieków,
• infrastruktury cyfrowej (centra danych, DNS, TLD),
• administracji publicznej,
• produkcji i dystrybucji produktów leczniczych i wyrobów medycznych o znaczeniu krytycznym.

PODMIOTY WAŻNE (IMPORTANT ENTITIES)

Do podmiotów ważnych NIS 2 zalicza m.in.:

• platformy e-commerce i usługi cyfrowe,
• wyszukiwarki internetowe,
• usługi pocztowe i kurierskie,
• produkcję i dystrybucję żywności, chemikaliów, wyrobów przemysłowych,
• badania naukowe i organizacje badawcze,
• producentów urządzeń elektrycznych, elektronicznych i optycznych.

Dyrektywa NIS 2 a kryterium MŚP oraz stosowanie niezależnie od wielkości

Co do zasady dyrektywa NIS 2 nie obejmuje mikro i małych przedsiębiorców, jednak zasada ta nie ma charakteru bezwzględnego.

NIS 2 ma zastosowanie do:

• średnich i dużych przedsiębiorców działających w sektorach objętych dyrektywą,
• podmiotów, które niezależnie od wielkości świadczą usługi o znaczeniu krytycznym dla gospodarki lub społeczeństwa,
• podmiotów wskazanych wprost w dyrektywie, w tym:
  • dostawców usług rejestracji nazw domen,
  • podmiotów infrastruktury DNS i TLD,
  • podmiotów uznanych za krytyczne na podstawie dyrektywy CER (UE) 2022/2557.

Oznacza to, że status MŚP nie zawsze wyłącza obowiązki wynikające z NIS 2, a każdorazowo konieczna jest indywidualna analiza profilu działalności przedsiębiorcy, charakteru świadczonych usług oraz jego roli w łańcuchu dostaw.

Podstawowe obowiązki przedsiębiorców wynikające z NIS 2

I ZARZĄDZANIE RYZYKIEM CYBERBEZPIECZEŃSTWA

Zakres środków zarządzania ryzykiem wymaganych przez NIS 2 obejmuje w szczególności również:

• stosowanie bezpiecznych mechanizmów kontroli dostępu, w tym uwierzytelniania wieloskładnikowego (MFA);
• stosowanie kryptografii i szyfrowania danych;
• zarządzanie podatnościami oraz regularne aktualizacje systemów;
• bezpieczeństwo personelu (procedury onboardingowe i offboardingowe);
• politykę ujawniania podatności (vulnerability disclosure;
• testowanie i aktualizację planów ciągłości działania.

Podmioty objęte NIS 2 są zobowiązane do wdrożenia odpowiednich i proporcjonalnych środków technicznych i organizacyjnych, w szczególności:

• systemów zarządzania bezpieczeństwem informacji;
• procedur analizy i szacowania ryzyka;
• planów ciągłości działania i odtwarzania po awarii;
• polityk bezpieczeństwa sieci i systemów IT;
• zabezpieczenia łańcucha dostaw.

II ZGŁASZANIE INCYDENTÓW CYBERBEZPIECZEŃSTWA

Za poważny incydent uznaje się w szczególności zdarzenie, które:

• powoduje istotne zakłócenie świadczenia usług;
• prowadzi do naruszenia poufności, integralności lub dostępności danych;
• może mieć negatywny wpływ na odbiorców usług lub inne podmioty.

Dyrektywa NIS 2 wprowadza wielostopniowy obowiązek raportowania incydentów:

• wczesne ostrzeżenie – w ciągu 24 godzin;
• zgłoszenie incydentu – w ciągu 72 godzin;
• raport końcowy – po zakończeniu obsługi incydentu.

Obowiązek dotyczy incydentów mających istotny wpływ na świadczenie usług lub bezpieczeństwo danych.

III ODPOWIEDZIALNOŚĆ ZARZĄDU I KIEROWNICTWA

NIS 2 wprowadza bezpośrednią odpowiedzialność kadry zarządzającej za cyberbezpieczeństwo, w tym:

• zatwierdzanie środków zarządzania ryzykiem;
• nadzór nad ich wdrożeniem;
• obowiązek odbywania szkoleń z zakresu cyberbezpieczeństwa.

Dyrektywa przewiduje możliwość stosowania sankcji osobistych wobec kierowników podmiotów.

IV AUDYTY I CERTYFIKACJA

Podmioty objęte NIS 2, w szczególności podmioty kluczowe, muszą:

• poddawać się regularnym audytom bezpieczeństwa;
• uzyskiwać certyfikaty cyberbezpieczeństwa;
• dokumentować zgodność z wymaganiami dyrektywy.

Za co grożą kary i sankcje w Dyrektywie NIS 2?

I SANKCJE WOBEC PODMIOTÓW KLUCZOWYCH do 10 mln EUR lub 2% rocznego światowego obrotu.

II SANKCJE WOBEC PODMIOTÓW WAŻNYCH do 7 mln EUR lub 1,4% rocznego obrotu.

III SANKCJE WOBEC KADRY ZARZĄDZAJĄCEJ: kary osobiste, czasowe zakazy pełnienia funkcji kierowniczych.

Jak przygotować firmę do wymogów dyrektywy NIS 2?

Przedsiębiorcy powinni w szczególności:

• zidentyfikować, czy podlegają pod dyrektywę NIS 2,
• przeprowadzić audyt cyberbezpieczeństwa,
• wdrożyć procedury zarządzania incydentami,
• przeszkolić kadrę zarządzającą i pracowników,
• dostosować umowy z dostawcami IT.

Podsumowanie

Dyrektywa NIS 2 to jedna z najważniejszych regulacji unijnych ostatnich lat w obszarze cyberbezpieczeństwa przedsiębiorstw. Wprowadza realne obowiązki, które wpływają na strukturę organizacyjną firm, odpowiedzialność zarządu oraz relacje biznesowe. Dla wielu przedsiębiorców kluczowe będzie szybkie ustalenie, kto musi stosować dyrektywę NIS 2 i odpowiednie dostosowanie procesów jeszcze przed pełnym egzekwowaniem przepisów.