NIS2 - czy dotyczy Twojej firmy i co trzeba zrobić?

W skrócie: NIS2 to unijna dyrektywa podnosząca wymagania cyberbezpieczeństwa. Obejmuje wskazane sektory, zwykle od poziomu średniego przedsiębiorstwa w górę - czyli od 50 pracowników albo 10 mln EUR obrotu.

Nawet jeśli Twoja firma nie podlega jej wprost, najprawdopodobniej odczujesz ją przez kontrahentów. NIS2 nakazuje objętym podmiotom pilnowanie bezpieczeństwa łańcucha dostaw, a to oznacza pytania i wymagania spływające w dół do dostawców.

NIS2 to dyrektywa (UE) 2022/2555, następczyni pierwszej dyrektywy NIS z 2016 roku. Rozszerza listę objętych sektorów, podnosi wymagania i - co w praktyce najważniejsze - wprowadza realne sankcje oraz osobistą odpowiedzialność kierownictwa.

Zanim przejdziemy dalej

Dyrektywa unijna nie obowiązuje w firmach bezpośrednio. Działa przez przepisy krajowe - w Polsce przez ustawę o krajowym systemie cyberbezpieczeństwa i jej nowelizację. Szczegóły takie jak terminy rejestracji, tryb zgłaszania incydentów czy właściwy organ nadzoru wynikają z przepisów krajowych, więc przy ustalaniu swoich obowiązków sprawdź aktualny stan ustawy, a nie samą treść dyrektywy.

Kogo obejmuje

Kwalifikacja opiera się na dwóch pytaniach naraz: w jakim sektorze działasz i jak duża jest firma. Trzeba spełnić oba warunki.

Sektory kluczowe

Energetyka, transport, bankowość, infrastruktura rynków finansowych, opieka zdrowotna, woda pitna, ścieki, infrastruktura cyfrowa (m.in. centra danych, dostawcy usług chmurowych, sieci łączności elektronicznej), zarządzanie usługami ICT, administracja publiczna oraz przestrzeń kosmiczna.

Sektory ważne

Usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja i dystrybucja chemikaliów, produkcja i dystrybucja żywności, produkcja wyrobów medycznych, komputerów, elektroniki, maszyn, pojazdów i sprzętu transportowego, dostawcy usług cyfrowych (platformy handlowe, wyszukiwarki, serwisy społecznościowe) oraz badania naukowe.

Ta druga lista bywa zaskoczeniem. Producent maszyn albo zakład przetwórstwa spożywczego rzadko myśli o sobie jako o podmiocie regulowanym w obszarze cyberbezpieczeństwa - a wpisuje się w zakres.

Próg wielkości

Co do zasady dyrektywa obejmuje podmioty od wielkości średniego przedsiębiorstwa, czyli od 50 pracowników albo od 10 mln EUR rocznego obrotu lub sumy bilansowej. Podmioty kluczowe to zwykle te największe w sektorach z pierwszej listy, ważne - pozostałe.

Od progu są wyjątki w obie strony. Część podmiotów podlega niezależnie od wielkości, na przykład dostawcy usług DNS, rejestry nazw domen czy operatorzy telekomunikacyjni. Państwa członkowskie mogą też objąć regulacją mniejsze podmioty, jeśli ich zakłócenie miałoby istotne skutki.

Jakie obowiązki nakłada

Zarządzanie ryzykiem

Nie pojedyncze narzędzie, tylko zestaw obszarów, które trzeba mieć poukładane: analiza ryzyka i polityka bezpieczeństwa, obsługa incydentów, ciągłość działania i kopie zapasowe, bezpieczeństwo łańcucha dostaw, bezpieczeństwo przy nabywaniu i rozwoju systemów, ocena skuteczności zabezpieczeń, cyberhigiena i szkolenia, kryptografia, kontrola dostępu i zarządzanie aktywami oraz uwierzytelnianie wieloskładnikowe.

Zgłaszanie incydentów

Terminy są krótkie i to one najczęściej zaskakują. Wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin od wykrycia poważnego incydentu, właściwe zgłoszenie w ciągu 72 godzin, a sprawozdanie końcowe w ciągu miesiąca.

W praktyce oznacza to, że musisz mieć ustalone z góry, kto podejmuje decyzję o zgłoszeniu, kto je składa i skąd bierze dane. Doba to za mało, żeby to wymyślać w trakcie incydentu.

Odpowiedzialność kierownictwa

To zmiana, która najbardziej odróżnia NIS2 od poprzedniczki. Środki zarządzania ryzykiem zatwierdza kierownictwo i to ono odpowiada za ich wdrożenie. Członkowie zarządu mają też obowiązek uczestniczyć w szkoleniach. Cyberbezpieczeństwo przestaje być tematem, który da się w całości oddelegować do IT.

Sankcje

Dla podmiotów kluczowych kary sięgają 10 mln EUR albo 2 procent rocznego światowego obrotu, dla ważnych 7 mln EUR albo 1,4 procent - w obu przypadkach liczy się kwota wyższa. Do tego dochodzą środki nadzorcze: nakazy, audyty, a w skrajnych przypadkach czasowy zakaz pełnienia funkcji kierowniczych.

Nie podlegasz? I tak Cię to dotknie

To najczęściej pomijany fragment całej układanki. Obowiązek dbania o bezpieczeństwo łańcucha dostaw oznacza, że objęte firmy muszą weryfikować swoich dostawców. Nie mając własnego sposobu na ocenę ryzyka, robią to najprostszym dostępnym narzędziem: przerzucają wymagania na kontrahentów.

Dlatego mała firma programistyczna czy dostawca usług IT dla szpitala albo zakładu energetycznego coraz częściej dostaje ankiety bezpieczeństwa, zapisy w umowach o obowiązkowych testach i pytania o politykę zarządzania podatnościami. Formalnie NIS2 jej nie obejmuje. Praktycznie - musi się do niej dostosować, żeby utrzymać klienta.

Jeśli sprzedajesz do sektorów z listy powyżej, warto potraktować to jako przewagę, a nie uciążliwość. Gotowość na te pytania zanim padną skraca sprzedaż i bywa argumentem w przetargu.

Od czego zacząć

Ustal status. Sektor plus wielkość plus sprawdzenie, czy nie łapiesz się na jeden z wyjątków. Jeśli wynik jest niejednoznaczny, to sygnał do konsultacji prawnej, nie do zgadywania.
Zrób inwentaryzację. Nie da się chronić czegoś, o czym się nie wie. Systemy, dane, dostawcy, dostępy.
Sprawdź, co już masz. Większość firm ma część wymaganych rzeczy wdrożonych, tylko nieopisanych. Audyt pokazuje różnicę między stanem faktycznym a wymaganym.
Ustaw proces zgłaszania incydentów. Role, kontakty, ścieżka decyzyjna - przed incydentem, nie w jego trakcie.
Zaplanuj weryfikację techniczną. Ocena skuteczności zabezpieczeń to jeden z wymienionych obszarów, a testy penetracyjne są najczęściej stosowanym sposobem jej udokumentowania.
Przeszkol ludzi, w tym zarząd. Obowiązek szkoleniowy dotyczy kierownictwa wprost.

Podsumowanie

NIS2 nie jest listą narzędzi do kupienia, tylko wymogiem uporządkowania sposobu, w jaki firma zarządza ryzykiem. Dla części organizacji to głównie kwestia opisania i domknięcia tego, co już robią. Dla innych realna zmiana w sposobie działania.

Najgorszy wariant to odkryć własny status dopiero w ankiecie od kontrahenta albo przy pierwszym poważnym incydencie. Ustalenie, czy przepisy Was obejmują, jest zadaniem na jedno popołudnie i warto mieć to za sobą.