Najważniejsze cele dyrektywy NIS2
Dyrektywa NIS2, stanowi nowelizację dyrektywy NIS dotyczącej bezpieczeństwa sieci i systemów informacyjnych w podmiotach istotnych dla funkcjonowania państw członkowskich, przedsiębiorstw oraz zwykłych obywateli. NIS2 stanowi kluczowy element unijnej strategii na rzecz wzmacniania cyberbezpieczeństwa na terenie całej Unii Europejskiej. Jest to kolejna dyrektywa, której głównym celem jest ustanowienie wspólnego wysokiego poziomu bezpieczeństwa sieci i systemów informacyjnych wśród państw członkowskich.
Dyrektywa NIS2 wprowadza szereg usprawnień oraz rozszerzeń, które mają na celu lepsze przeciwdziałanie oraz reagowanie na incydenty cyberbezpieczeństwa, które stają się coraz bardziej złożone i mają wpływ na coraz większą liczbę sektorów. Wprowadzenie dyrektywy NIS2 jest odpowiedzią na dynamicznie zmieniający się krajobraz zagrożeń oraz potrzebę większej harmonizacji przepisów dotyczących cyberbezpieczeństwa w Unii Europejskiej.
Nowa Dyrektywa podkreśla znaczenie współpracy państw członkowskich, jak również roli oceny gotowości i wdrożenia środków zapobiegawczych przez podmioty nią objęte. Znacząco poszerza zakres sektorów i typów organizacji objętych regulacją, co jest odpowiedzią na rosnącą zależność społeczeństwa od kluczowych usług cyfrowych.
W kontekście NIS2, „wysoki poziom cyberbezpieczeństwa” odnosi się nie tylko do technologii i procesów, ale również do kultury bezpieczeństwa i świadomości zarówno na poziomie operatorów usług, jak i użytkowników końcowych. W tym sensie, dyrektywa NIS2 działa jako katalizator dla zmian w europejskim ekosystemie cyberbezpieczeństwa, promując zintegrowane podejście do zarządzania ryzykiem i reagowania na incydenty w cyfrowej przestrzeni.
Co zmienia Dyrektywa NIS2 wobec dyrektywy NIS1 i dlaczego jest tak ważna?
Dyrektywa NIS2 jest kluczowym elementem strategii Unii Europejskiej na rzecz wzmocnienia cyberbezpieczeństwa w państwach członkowskich i ma na celu zapewnienie wyższego, jednolitego poziomu ochrony w całej UE. Jest to niezwykle ważne w dobie, gdy cyberataki stają się coraz bardziej zaawansowane, a ich potencjalne skutki coraz bardziej destrukcyjne zarówno dla gospodarek, jak i dla życia codziennego obywateli.
Wdrożenie dyrektywy NIS2
Podmioty regulowane muszą być świadome, że proces wdrożenia dyrektywy NIS2 może być złożony i czasochłonny, zwłaszcza jeżeli dotychczasowe praktyki bezpieczeństwa są nieadekwatne wobec wymagań dyrektywy. W związku z tym zaleca się, aby już teraz rozpoczęły one przygotowania do wdrożenia nowych wymogów, aby uniknąć kar za niezgodność, które będą wprowadzone po wejściu dyrektywy w życie.
Istota dyrektywy NIS2 – kilka kluczowych czynników:
1. Wzrost cyberzagrożeń
W ostatnich latach, w miarę jak technologie informatyczne rozwinęły się, równie dynamicznie rozwinęły się metody przeprowadzania ataków cybernetycznych. Dyrektywa NIS2 odnosi się do tego wzrostu, wymagając od państw członkowskich i podmiotów regulowanych wdrożenia zaawansowanych środków obronnych i procedur reagowania na incydenty.
2. Krytyczna infrastruktura
Wiele sektorów uznawanych za kluczowe dla funkcjonowania społeczeństw i gospodarek, takich jak energetyka, transport, bankowość czy sektor zdrowia, wymaga szczególnej ochrony. NIS2 poszerza zakres sektorów objętych regulacją, co zwiększa odporność infrastruktury krytycznej na zakłócenia spowodowane cyberatakami.
3. Jednolite standardy
Poprzez harmonizację wymogów i środków w całej Unii Europejskiej, NIS2 zmniejsza zróżnicowanie praw i praktyk w zakresie cyberbezpieczeństwa na terenie całej wspólnoty. Dzięki temu przedsiębiorstwa działające w wielu państwach członkowskich mogą stosować jednolite strategie i polityki bezpieczeństwa, co poprawia ogólną efektywność działań związanych z zapewnieniem cyberbezpieczeństwa.
4. Raportowanie incydentów
Dyrektywa wprowadza surowsze wymogi dotyczące raportowania incydentów cyberbezpieczeństwa, co nie tylko zwiększa przejrzystość i umożliwia lepszą analizę zagrożeń, ale również pomaga w szybszym rozpowszechnianiu informacji o potencjalnych zagrożeniach, co jest kluczowe dla prewencji i zarządzania kryzysowego.
Współpraca międzynarodowa: NIS2 stymuluje i poprawia współpracę między państwami członkowskimi oraz wspiera budowanie międzynarodowych sieci współpracy w dziedzinie cyberbezpieczeństwa, co jest niezbędne w walce z globalnymi zagrożeniami.
Podmioty objęte regulacją NIS2
Nowa dyrektywa NIS2 wprowadza znaczące zmiany w kategoryzacji podmiotów odpowiedzialnych za utrzymanie standardów cyberbezpieczeństwa, rozszerzając zobowiązania zarówno na nowe sektory, jak i na większą liczbę przedsiębiorstw. Dyrektywa rozróżnia dwa główne typy podmiotów: podmioty kluczowe i podmioty ważne.
Podmioty kluczowe, których dotyczy dyrektywa NIS2
W ramach nowej dyrektywy NIS2 zakres obowiązków został znacznie rozszerzony w porównaniu do pierwotnej dyrektywy NIS. Podstawową zmianą jest wprowadzenie nowej kategorii podmiotów, które teraz zostaną objęte regulacjami. Są to tzw. ważne podmioty (important entities), które zastępują koncepcję „dostawców usług cyfrowych” obecną w pierwotnej dyrektywie. To oznacza, że znacznie więcej organizacji niż dotychczas będzie musiało stosować się do nowych, surowszych wymogów.
Dyrektywa NIS2 obliguje zatem wszystkie te podmioty, zarówno kluczowe, jak i ważne, do wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa ich systemów sieciowych i informacyjnych. Rozszerzenie to obejmuje nie tylko tradycyjne sektory infrastruktury krytycznej, ale także nowe branże, które stają się coraz bardziej istotne dla społeczeństwa i gospodarki, takie jak firmy farmaceutyczne czy też producenci, operatorzy przechowywania i transmisji wodoru.
Dyrektywa NIS2 rozszerza swoje działanie na średnie i duże przedsiębiorstwa z sektorów publicznych i prywatnych, co stanowi znaczące rozszerzenie w porównaniu z pierwotną dyrektywą NIS, która skupiała się głównie na dużych operatorach i dostawcach usług łączności. Prognozy wskazują, że w Polsce regulacje te mogą dotyczyć kilku tysięcy firm, co podkreśla skalę i znaczenie nowych przepisów.
Wprowadzenie tak szerokiego zakresu regulacji ma na celu nie tylko zwiększenie bezpieczeństwa cyfrowego na poziomie poszczególnych podmiotów, ale także wzmocnienie całego łańcucha dostaw w kontekście cyberbezpieczeństwa, co jest kluczowe w obliczu rosnących i coraz bardziej zaawansowanych zagrożeń cybernetycznych.
Wśród operatorów usług kluczowych znajdują się między innymi następujące branże:
- Energetyka
- Transport
- Bankowość
- Infrastruktura rynków finansowych
- Opieka zdrowotna
- Sektor wody pitnej
- Sektor odprowadzania ścieków
- Dostawcy usług cyfrowych
- Zarządzanie usługami ICT
- Podmioty administracji publicznej
- Przestrzeń kosmiczna
Podmioty ważne
Podmioty ważne, zdefiniowane w załączniku 2 dyrektywy to te, które również odgrywają istotną rolę w społeczeństwie i gospodarce, ale których wpływ na infrastrukturę krytyczną jest mniej bezpośredni. Wśród nich znajdują się:
- Usługi pocztowe i kurierskie
- Gospodarowanie odpadami
- Produkcja, przetwarzanie i dystrybucja chemikaliów
- Produkcja, przetwarzanie i dystrybucja żywności
- Produkcja w szerokim znaczeniu
- Usługi cyfrowe
- Badania naukowe
Od kiedy dyrektywa NIS 2 stanie się obowiązującym prawem?
Dyrektywa NIS2 została formalnie przyjęta przez Parlament Europejski w grudniu 2020 roku, co stanowiło ważny krok na drodze do jej wdrożenia. Po przyjęciu dyrektywy przez Parlament Europejski i Radę UE, państwa członkowskie otrzymały określony czas na transpozycję jej postanowień do prawa krajowego. Jest to standardowa procedura w przypadku dyrektyw unijnych, które muszą być włączone do systemów prawnych poszczególnych krajów.
Wszystkie kraje zostały zobowiązane do wdrożenia dyrektywy NIS2 do 17 października 2024 roku. Mimo że termin ten zbliża się nieubłaganie, nadal istnieją niepewności co do tego, czy Polska zdąży zaimplementować niezbędne przepisy. Prace nad polską ustawą trwają i obecnie projekt ustawy wdrażającej Dyrektywę znajduje się na etapie konsultacji społecznych. Zgodnie z zapowiedziami członków rządu w Polsce odpowiednie przepisy zostaną uchwalone w trzecim kwartale bieżącego roku.
NIS2, a polityka bezpieczeństwa w Twojej organizacji
Dla polskich firm podlegających nowym regulacjom nadchodzące miesiące to krytyczny czas, który powinien zostać wykorzystany, aby przygotować organizację do spełnienia wymogów dyrektywy. Firmy muszą szczegółowo określić środki zarządzania ryzykiem w cyberbezpieczeństwie oraz opracować i wdrożyć między innymi odpowiednie polityki bezpieczeństwa, procedury monitorowania, zarzadzania zmianami w systemach IT, oraz wykrywania i reagowania na incydenty cyberbezpieczeństwa. Dodatkowo, Dyrektywa nakazuje także wdrożenie procedur oraz środków technicznych zarządzania podatności systemów informatycznych. Są tylko przykładowe obszary niezbędne, w celu zapewnia zgodności z dyrektywą i uniknięcia rygorystycznych kar za nieprzestrzeganie nowych przepisów.
Obowiązek raportowania incydentów
Dyrektywa NIS2 wymaga od organizacji obowiązkowego zgłaszania i raportowania poważnych incydentów cyberbezpieczeństwa do odpowiednich krajowych organów nadzorczych w wyznaczonym krótkim czasie od ich wykrycia. To wymaga od organizacji stworzenia lub udoskonalenia systemów wykrywania incydentów oraz procedur ich zgłaszania, oraz gromadzenia danych niezbędnych do określenia przyczyn wystąpienia incydentów i wykrycia sprawców.
Współpraca i wymiana informacji
Podmioty regulowane są zobowiązane do współpracy z innymi organizacjami oraz z krajowymi i unijnymi organami regulacyjnymi w zakresie wymiany informacji o zagrożeniach i najlepszych praktykach. To wymaga budowania nowych lub wzmocnienia istniejących kanałów komunikacji i współpracy.
Audyty i kontrola zgodności
Organizacje będą musiały regularnie poddawać się audytom i kontrolom zgodności przeprowadzanym przez krajowe organy nadzorcze, co wymaga utrzymania wysokiego poziomu wewnętrznej dokumentacji i gotowości do inspekcji.
Edukacja pracowników
Wzrost standardów cyberbezpieczeństwa wymaga także zwiększenia świadomości i kompetencji pracowników w zakresie cyberbezpieczeństwa. Organizacje będą musiały inwestować w regularne szkolenia pracowników, aby zapewnić, że są oni świadomi potencjalnych zagrożeń i wiedzą czym jest cyberbezpieczeństwo i jak postępować w przypadku cyberataków.
Sankcje za brak zgodności z NIS2
Dyrektywa NIS2 wprowadza również znacznie wzmocniony system sankcji, mający na celu zapewnienie, że podmioty kluczowe i ważne przestrzegają nowych, rygorystycznych wymagań dotyczących cyberbezpieczeństwa. System ten został zaprojektowany, aby odstraszać od nieprzestrzegania przepisów oraz zwiększać odpowiedzialność organizacji. Zgodnie z dyrektywą NIS2, państwa członkowskie UE są zobowiązane do wprowadzenia systemu kar niepieniężnych, finansowych i sankcji administracyjnych, które mają na celu zapewnienie przestrzegania nowych przepisów dotyczących strategii cyberbezpieczeństwa UE. Dyrektywa przewiduje sankcje wobec podmiotów, a także wobec osób fizycznych zarządzających podmiotami. Te kary są istotnym elementem dyrektywy, mającym na celu zniechęcenie do nieprzestrzegania obowiązujących norm i zasad.
Główne aspekty systemu sankcji obejmują:
Wysokość kar: Karne sankcje finansowe mogą osiągnąć znaczące kwoty, co ma stanowić realną zachętę do przestrzegania przepisów. Dla podmiotów kluczowych maksymalne kary mogą wynosić do 10 milionów euro lub do 2% całkowitego światowego obrotu rocznego. Dla podmiotów ważnych kary mogą sięgać do 7 milionów euro lub 1,4% rocznego obrotu globalnego. Kary pieniężne mogą być nałożone na organizacje, które nie stosują się do wymogów dotyczących zarządzania ryzykiem, nie zgłaszają incydentów cyberbezpieczeństwa w wymaganym czasie.
Odpowiedzialność zarządzających: Ciała zarządzające podmiotami kluczowymi i ważnymi mogą być pociągnięte do odpowiedzialności za nieprzestrzeganie przepisów dyrektywy NIS2, co podkreśla rolę zarządu w zapewnieniu zgodności z przepisami dotyczącymi cyberbezpieczeństwa.
System kar jest kluczowy w kontekście zapewnienia, że zarówno duże korporacje, jak i mniejsze firmy traktują wymogi bezpieczeństwa cyfrowego z należytą powagą. Zwiększa to ogólną odporność na cyberataki i poprawia jakość zarządzania ryzykiem cybernetycznym w całej Unii Europejskiej.
