NIS2 – co to jest i kogo dotyczy?

Dyrektywa NIS 2 to nowe unijne przepisy cyberbezpieczeństwa, które obejmują średnie i duże firmy z 18 sektorów uznanych za krytyczne dla gospodarki i państwa. Jeżeli działasz w energetyce, transporcie, finansach, ochronie zdrowia, produkcji, usługach cyfrowych, administracji czy wodociągach, bardzo możliwe, że już dziś podchodzisz pod podmiot kluczowy albo podmiot ważny. Dyrektywa wprost wiąże się z wysokimi karami, odpowiedzialnością zarządów i obowiązkiem wdrożenia realnego zarządzania ryzykiem w cyberbezpieczeństwie. W dalszej części wyjaśniam, co dokładnie oznacza NIS 2 i kogo obejmuje w praktyce.

Czym jest NIS2?

Dyrektywa NIS 2 to akt prawny UE – Dyrektywa (UE) 2022/2555 – który zastąpił wcześniejszą NIS 1 z 2016 r. Jej celem jest podniesienie poziomu bezpieczeństwa sieci i systemów informacyjnych w całej Unii, w szczególności w sektorach uznanych za krytyczne dla funkcjonowania państwa, gospodarki i społeczeństwa. Nowe przepisy mają obowiązywać w Polsce poprzez ustawę o krajowym systemie cyberbezpieczeństwa (KSC).

NIS2 rozszerza zakres podmiotów objętych regulacją, ujednolica wymogi oraz wprowadza bardziej szczegółowe zasady nadzoru, raportowania incydentów i nakładania kar. Dyrektywa rezygnuje z dawnego podziału na operatorów usług kluczowych i dostawców usług cyfrowych – zamiast tego stosuje podział na podmioty kluczowe i podmioty ważne, powiązany z wielkością firmy i znaczeniem jej usług.

Dyrektywa NIS 2 uchyliła NIS 1 z dniem 18 października 2024 r., podnosząc unijny poziom wymagań w obszarze cyberbezpieczeństwa i rozszerzając liczbę branż objętych regulacją.

Dokument nakazuje państwom członkowskim opracowanie krajowej strategii cyberbezpieczeństwa, rozwój struktur odpowiedzialnych za reagowanie na incydenty oraz zbudowanie spójnego systemu współpracy – zarówno na poziomie krajowym, jak i unijnym. Kluczową rolę odgrywają tu sieci współpracy i zespoły reagowania, takie jak CSIRT, ENISA czy europejska sieć EU‑CyCLONe.

Kiedy NIS2 zaczyna obowiązywać?

Dyrektywa NIS2 weszła w życie na poziomie unijnym 16 stycznia 2023 r. Od tego dnia państwa członkowskie mają 21 miesięcy na wprowadzenie jej do prawa krajowego. Termin transpozycji do porządków krajowych minął 17 października 2024 r., a od 18 października 2024 r. przepisy powinny być już stosowane we wszystkich państwach UE.

W Polsce wymagania NIS2 wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa. Ustawa przewiduje konkretne daty dla przedsiębiorców:

Firmy, które już w momencie wejścia w życie nowelizacji ustawy o KSC spełniają kryteria podmiotów kluczowych lub ważnych, mają określone w ustawie okresy przejściowe na rejestrację, wdrożenie systemu zarządzania bezpieczeństwem informacji i rozpoczęcie raportowania incydentów.

Kogo dotyczy NIS2?

NIS2 kieruje się do dwóch podstawowych kategorii organizacji: podmiotów kluczowych oraz podmiotów ważnych. Podział ten jest istotny, bo wpływa na poziom nadzoru i górną granicę kar, ale katalog obowiązków z zakresu cyberbezpieczeństwa jest w dużej mierze wspólny.

O kwalifikacji decydują trzy elementy: sektor działalności, wielkość przedsiębiorstwa oraz – w szczególnych sytuacjach – znaczenie danej usługi dla bezpieczeństwa lub porządku publicznego. Dyrektywa łączy więc kryteria sektorowe z progiem zatrudnienia i obrotu (średnie i duże firmy), a jednocześnie pozwala objąć przepisami także część mniejszych podmiotów z wysokim profilem ryzyka.

Jakie sektory obejmuje NIS2?

Dyrektywa wprost wskazuje 18 sektorów, które uznaje za krytyczne lub ważne dla funkcjonowania państwa. W Polsce ich pełna lista znajduje się w załącznikach do ustawy o KSC. W uproszczeniu można podzielić je na dwie grupy: sektory kluczowe oraz sektory ważne.

Do sektorów kluczowych zalicza się między innymi:

• sektor energii – w tym energia elektryczna, gaz, ropa, paliwa, ciepło,
• transport – lotniczy, kolejowy, wodny i drogowy,
• rynki finansowe i bankowość,
• ochronę zdrowia i produkcję podstawowych produktów farmaceutycznych i wyrobów medycznych o krytycznym znaczeniu,
• wodę pitną i ścieki,
• infrastrukturę cyfrową oraz zarządzanie usługami ICT,
• przestrzeń kosmiczną,
• wybrane podmioty administracji publicznej.

Do sektorów ważnych należą między innymi:

• usługi pocztowe i kurierskie,
• gospodarka odpadami,
• produkcja żywności oraz wybranych wyrobów chemicznych,
• produkacja sprzętu komputerowego, elektronicznego, optycznego, elektrycznego, maszyn, pojazdów,
• dostawcy usług cyfrowych – platformy handlowe, wyszukiwarki, serwisy społecznościowe,
• badania naukowe,
• podmioty publiczne na poziomie regionalnym (jednostki samorządowe, instytucje kultury, spółki komunalne).

Kim jest podmiot kluczowy?

Podmiot kluczowy to zwykle duży przedsiębiorca z sektora kluczowego, którego działalność ma istotny wpływ na bezpieczeństwo, ciągłość usług lub stabilność rynku. W tej kategorii znajdują się także określone typy organizacji niezależnie od wielkości – na przykład dostawca usług DNS, kwalifikowany dostawca usług zaufania, operator obiektu energetyki jądrowej czy rejestr nazw domen najwyższego poziomu.

Na tę grupę nakładane są najsurowsze wymagania, a nadzór ma charakter aktywny. Organy krajowe mogą prowadzić kontrole z własnej inicjatywy, żądać audytów i wydawać wiążące polecenia. To właśnie podmiot kluczowy jest najczęściej narażony na najwyższy poziom sankcji finansowych opisany w dyrektywie.

Kim jest podmiot ważny?

Podmiot ważny to najczęściej średni lub duży przedsiębiorca działający w sektorach ważnych, ewentualnie średni podmiot z sektora kluczowego, który nie spełnia kryteriów dla podmiotu kluczowego. Do tej kategorii mogą zostać zaliczeni także niektórzy dostawcy usług zaufania czy przedsiębiorcy komunikacji elektronicznej w mniejszej skali.

Dla podmiotów ważnych przewidziano nieco łagodniejszy model nadzoru – państwo stosuje głównie kontrolę następczą, uruchamianą na przykład po poważnym incydencie cyberbezpieczeństwa albo ujawnieniu naruszeń obowiązków. Sam katalog środków bezpieczeństwa pozostaje jednak podobny jak w przypadku podmiotów kluczowych.

Jakie obowiązki nakłada NIS2 na firmy?

NIS2 koncentruje się wokół kilku głównych obszarów: wdrożenia środków zarządzania ryzykiem, raportowania incydentów, organizacji bezpieczeństwa IT, bezpieczeństwa łańcucha dostaw oraz odpowiedzialności osób zarządzających. W polskim porządku prawnym wszystkie te elementy są opisane w ustawie o KSC i aktach wykonawczych.

NIS2 wymaga, by każda organizacja objęta dyrektywą posiadała realny system zarządzania ryzykiem w cyberbezpieczeństwie, a nie jedynie formalne procedury na papierze.

Jak wygląda zarządzanie ryzykiem?

Fundamentem wymogów NIS2 jest zarządzanie ryzykiem w obszarze cyberbezpieczeństwa. Podmioty kluczowe i ważne muszą opracować, wdrożyć i utrzymywać system zarządzania bezpieczeństwem informacji obejmujący całą infrastrukturę wykorzystywaną do świadczenia usług. Chodzi o spójny zbiór polityk, procedur i zabezpieczeń technicznych, który pozwoli identyfikować zagrożenia, oceniać ich wpływ oraz podejmować działania zapobiegawcze.

W praktyce oznacza to między innymi: systematyczną analizę ryzyka, stosowanie polityk kontroli dostępu, ochronę fizyczną i organizacyjną, aktualizacje oprogramowania, szyfrowanie komunikacji, testowanie zabezpieczeń oraz przygotowanie planów ciągłości działania na wypadek incydentów. NIS2 oczekuje, że środki te będą proporcjonalne do rzeczywistego poziomu ryzyka i skali działalności firmy.

Jak działają CSIRT i system raportowania?

Dyrektywa buduje w całej UE sieć zespołów reagowania na incydenty – CSIRT – które przyjmują zgłoszenia, analizują zdarzenia i wspierają podmioty w obsłudze incydentów. W Polsce funkcjonują CSIRT GOV, CSIRT NASK i CSIRT MON na poziomie krajowym oraz CSIRT sektorowe właściwe dla poszczególnych branż. NIS2 przewiduje też mechanizmy współpracy międzynarodowej, w tym sieć EU‑CyCLONe do koordynacji reakcji na duże kryzysy cybernetyczne.

System raportowania incydentów jest wieloetapowy. Najpierw w ciągu 24 godzin po wykryciu poważnego incydentu firma przesyła wczesne ostrzeżenie do właściwego CSIRT. Następnie – w ciągu 72 godzin – przekazuje zgłoszenie z opisem przyczyn, przebiegu i skutków zdarzenia oraz działań naprawczych. Po zakończeniu obsługi incydentu podmiot składa sprawozdanie końcowe, które podsumowuje całą sytuację i wskazuje wprowadzone usprawnienia.

Jaką rolę pełni ENISA?

ENISA, czyli Agencja UE ds. Cyberbezpieczeństwa, wspiera wdrażanie NIS2 w całej Unii. Agencja opracowuje wytyczne, dobre praktyki, prowadzi analizy zagrożeń i pomaga państwom członkowskim w budowaniu zdolności do reagowania na incydenty. Współpracuje z grupą współpracy NIS, siecią CSIRT oraz Komisją Europejską, tak aby ujednolicać podejście do regulacji i egzekwowania przepisów.

Rola ENISA jest szczególnie widoczna przy tworzeniu wytycznych dotyczących minimalnych środków bezpieczeństwa, raportowania incydentów czy oceny ryzyk w łańcuchu dostaw. Dla wielu firm te materiały stanowią punkt odniesienia przy projektowaniu własnych polityk bezpieczeństwa.

Jakie kary przewiduje NIS2?

Dyrektywa wprowadza wysokie sankcje za brak zgodności, a ich dokładna wysokość jest przenoszona do prawa krajowego. Dla firm, które zostaną uznane za podmiot kluczowy, górny pułap może wynosić nawet 10 mln euro lub 2% całkowitego rocznego obrotu – stosuje się wyższą z tych kwot. To typowa kara finansowa przewidziana za naruszenia obowiązków w obszarze cyberbezpieczeństwa.

Dla podmiotów ważnych limity są nieco niższe, ale nadal dotkliwe – rzędu kilku milionów euro lub ok. 1,4% rocznego obrotu. Oprócz kar pieniężnych organy nadzorcze mogą nakładać szereg środków naprawczych: wydawać zalecenia, nakazywać wdrożenie konkretnych zabezpieczeń, zarządzać audyty, a w skrajnych przypadkach ograniczać lub zawieszać działalność w części związanej z naruszeniem.

Podmiot kluczowy, który nie spełnia wymogów NIS2, naraża się na karę finansową sięgającą 10 mln euro lub 2% rocznego obrotu, a także na kontrolę i decyzje organów nadzoru.

NIS2 przewiduje również osobistą odpowiedzialność osób zasiadających w najwyższym kierownictwie. Zarząd ma obowiązek nadzorować wdrożenie środków bezpieczeństwa, zatwierdzać polityki oraz zapewniać środki organizacyjne i finansowe. W przypadku rażących zaniedbań możliwe jest nałożenie sankcji również na osoby fizyczne pełniące funkcje zarządcze.

Co NIS2 oznacza w praktyce dla przedsiębiorców?

Dla firm z sektorów objętych dyrektywą NIS2 przepisy oznaczają obowiązek przejścia z poziomu deklaratywnego podejścia do cyberbezpieczeństwa na poziom mierzalnych, udokumentowanych działań. Przedsiębiorstwo musi ustalić, czy jest podmiotem kluczowym lub podmiotem ważnym, zarejestrować się w wykazie prowadzonym w systemie S46, a następnie wdrożyć system zarządzania bezpieczeństwem informacji, procedury raportowania incydentów i mechanizmy kontroli dostawców.

Dla części organizacji, zwłaszcza wcześniej nieobjętych przepisami NIS1, to duża zmiana kultury organizacyjnej. Trzeba zaplanować budżet na zabezpieczenia, zbudować lub wzmocnić dział odpowiedzialny za cyberbezpieczeństwo, szkolić personel i regularnie testować odporność systemów. W wielu przypadkach konieczna staje się też ściślejsza współpraca z partnerami w łańcuchu dostaw, a także przygotowanie się na kontrole i audyty prowadzone przez organy krajowe.