NIS2 i cyberbezpieczeństwo

NIS2 zaskakuje firmy z dwóch stron. Pierwsza: obejmuje znacznie szerszy krąg podmiotów niż poprzednia dyrektywa, więc dotyczy także firm, które nigdy nie uważały się za „infrastrukturę krytyczną”. Druga: przenosi odpowiedzialność na zarząd, a tego nie da się scedować na dział IT.

Zaczynam od ustalenia, czy w ogóle podlegasz — bo to pytanie, na które najczęściej nikt w firmie nie potrafi odpowiedzieć. Jeśli nie podlegasz, mówię to wprost. Jeśli podlegasz, dostajesz listę obowiązków w kolejności, w jakiej trzeba je zamknąć.

Kwalifikacja sprowadza się do dwóch pytań. Pierwsze: czy działasz w jednym z sektorów wymienionych w załącznikach do dyrektywy — od energetyki, transportu i ochrony zdrowia, przez infrastrukturę cyfrową i zarządzanie usługami ICT, po produkcję, żywność, chemię i gospodarkę odpadami. Drugie: czy przekraczasz próg wielkości, czyli 50 zatrudnionych albo 10 mln euro rocznego obrotu. Duże podmioty z sektorów o wysokiej krytyczności są podmiotami kluczowymi, pozostałe — ważnymi, a różnica przekłada się na intensywność nadzoru i wysokość kar. Od progu wielkości są wyjątki: dostawcy usług DNS, rejestry nazw domen najwyższego poziomu czy dostawcy publicznych sieci łączności elektronicznej podlegają niezależnie od skali.

Same obowiązki są konkretne: analiza ryzyka i polityki bezpieczeństwa, zgłaszanie incydentów w kaskadzie terminów — wczesne ostrzeżenie w 24 godziny, właściwe zgłoszenie w 72 godziny, raport końcowy w miesiąc — oraz zatwierdzanie i nadzorowanie środków przez organ zarządzający, który odpowiada za to osobiście. Górna granica kar wynosi co najmniej 10 mln euro albo 2% światowego obrotu dla podmiotów kluczowych i 7 mln euro albo 1,4% dla ważnych, przy czym stosuje się kwotę wyższą.

Termin wdrożenia dyrektywy do prawa krajowego minął 17 października 2024 roku, a prace nad polską nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa wciąż trwają — aktualny stan potwierdzam na konsultacji, bo to element, który zmienia się najszybciej. Zakres obowiązków wynika jednak z samej dyrektywy i przygotowania nie trzeba wstrzymywać do czasu uchwalenia ustawy.