NIS2 – czy Twoja firma podlega nowym wymogom?

W praktyce oznacza to, że tysiące polskich firm – również tych, które do tej pory nie podlegały żadnym regulacjom w tym zakresie – będą musiały dostosować swoje systemy, procedury i infrastrukturę IT do nowych wymogów.

Czy Twoja organizacja również znajdzie się w tej grupie? Sprawdź, kogo obowiązuje NIS2 i jak przygotować się do nadchodzących zmian.

Czym jest i co zmienia NIS2

NIS2 (Network and Information Systems Directive 2) to zaktualizowana wersja dyrektywy NIS z 2016 roku. Poprzednia regulacja była pierwszym krokiem w kierunku budowania wspólnego systemu cyberbezpieczeństwa w UE – obejmowała jednak ograniczoną liczbę sektorów i nie zawsze zapewniała spójne standardy w poszczególnych krajach członkowskich.

Nowa dyrektywa NIS2 ma to zmienić. Jej głównym celem jest:

• rozszerzenie katalogu podmiotów zobowiązanych do wdrożenia środków bezpieczeństwa,
• zaostrzenie wymagań dotyczących zarządzania ryzykiem i reagowania na incydenty,
• ułatwienie współpracy między państwami UE w zakresie przeciwdziałania cyberatakom,
• oraz wprowadzenie realnych sankcji za brak zgodności z przepisami.

Nowością jest także większa odpowiedzialność zarządów – menedżerowie będą musieli nie tylko zapewnić środki na ochronę infrastruktury, ale też osobiście nadzorować procesy związane z bezpieczeństwem cyfrowym.

Dyrektywa NIS2 w teorii miała zostać wdrożona do unijnych porządków prawnych do 17 października 2024 roku, jednak w wielu krajach – w tym w Polsce – proces legislacyjny i dostosowania jest jeszcze w toku i według wszelkich doniesień nowelizacja ustawy  o krajowym systemie cyberbezpieczeństwa (KSC) powinna nastąpić jeszcze w 2025 i dopiero od tego czasu przepisy unijnej dyrektywa NIS2 będą mogły być egzekwowane. Oznacza to, że przedsiębiorstwa nie powinny zwlekać z przygotowaniami.

Kogo obowiązuje druga dyrektywa na rzecz wspólnego poziomu cyberbezpieczeństwa UE

Jedno z najczęstszych pytań brzmi: kogo obowiązuje NIS2? Odpowiedź jest szersza, niż mogłoby się wydawać. Nowe przepisy obejmują nie tylko duże instytucje infrastruktury krytycznej, lecz także wiele firm z sektora prywatnego, które do tej pory nie były objęte regulacjami.

Zgodnie z NIS2, obowiązki dotyczą:

• podmiotów kluczowych, takich jak dostawcy energii, gazu, wody, transportu, opieki zdrowotnej, usług cyfrowych, administracji publicznej czy bankowości,
• podmiotów ważnych, czyli m.in. firm z branży IT, operatorów centrów danych, dostawców usług pocztowych, firm produkcyjnych (zwłaszcza działających w łańcuchach dostaw), a także dużych podmiotów przetwarzających dane klientów.

Kryteria nie ograniczają się wyłącznie do branży. Liczy się również wielkość organizacji – dyrektywa obejmuje większość średnich i dużych firm (powyżej 50 pracowników lub 10 mln euro obrotu rocznie), o ile ich działalność ma wpływ na funkcjonowanie usług kluczowych lub łańcuchów dostaw.

W praktyce oznacza to, że jeśli Twoja firma świadczy usługi informatyczne, logistyczne, technologiczne, energetyczne, zdrowotne lub przetwarza duże wolumeny danych – istnieje duże prawdopodobieństwo, że podlega NIS2.

Audyt NIS2 – pierwszy krok do zgodności

Wdrożenie dyrektywy NIS2 to nie tylko formalność. To przede wszystkim konieczność realnego podniesienia poziomu bezpieczeństwa informatycznego organizacji.

Firmy zobowiązane do przestrzegania przepisów muszą m.in.:

• przeprowadzić ocenę ryzyka w systemach informatycznych,
• wdrożyć procedury reagowania na incydenty,
• zapewnić ciągłość działania usług w przypadku ataku,
• oraz przeszkolić personel w zakresie cyberbezpieczeństwa.

Dlatego najlepszym sposobem na rozpoczęcie przygotowań jest audyt zgodności z NIS2 – kompleksowa analiza stanu bezpieczeństwa IT w organizacji, pozwalająca zidentyfikować luki i obszary wymagające usprawnienia.

Audyt nie tylko pokaże, jak firma wypada na tle wymogów unijnych, ale też pomoże uniknąć kosztownych konsekwencji w przyszłości. Warto pamiętać, że kary za brak zgodności z NIS2 mogą sięgać nawet 10 milionów euro lub 2% rocznego obrotu.

Sprawdź zgodność swojej infrastruktury z NIS2

Nie masz pewności, czy Twoja firma podlega NIS2? Pierwszym krokiem może być szybka weryfikacja – wystarczy wypełnić krótką ankietę zgodności z NIS2, dostępną na stronie ASCO Cyber Security. Firma zapewnia również pełne wsparcie w razie konieczności podjęcia dalszych kroków związanych z przeprowadzeniem szczegółowego audytu zgodności z NIS2 oraz wdrożeniem środków dostosowawczych do nowych norm prawnych.