Dyrektywa NIS2 - najważniejsze zmiany w przepisach o cyberbezpieczeństwie

13.05.2025

NIS2 (Network and Information Security 2) to nowelizacja dyrektywy NIS opracowanej przez Unię Europejską, która opisuje zagadnienia związane z cyberbezpieczeństwem. Termin wdrożenia regulacji do krajowego porządku prawnego przez państwa członkowskie upłynął 17 października 2024 roku, a od 18 października 2024 roku w Polsce obowiązuje nowa ustawa wdrażająca NIS2. Wraz z nią zaczął obowiązywać nowy standard cyberbezpieczeństwa.

Dyrektywa NIS2 to regulacja stworzona przez Unię Europejską, której celem jest walka z rosnącymi zagrożeniami w cyberprzestrzeni. Została stworzona, aby lepiej chronić krytyczne zasoby, dane i systemy IT, przed atakami hakerskimi, które zyskują na sile i są coraz bardziej skuteczne. Jej rolą jest m.in. ujednolicenie europejskich standardów bezpieczeństwa cyfrowego, dzięki czemu możliwe będzie szybsze wykrywanie zagrożeń i skuteczne zwalczanie incydentów, a także lepsza współpraca pomiędzy państwami członkowskimi.

Kogo dotyczy dyrektywa NIS2?

NIS2 wyszczególnia dwie kategorie podmiotów, które mają wpływ na działanie Państwa. Są to podmioty z grup „kluczowe” i „ważne”. Dokładny podział znajduje się w treści dyrektywy. Warto jednak wspomnieć, że do grupy podmiotów kluczowych zalicza  są przedsiębiorstwa wykraczające statutowo poza MŚP (Małe i Średnie Przedsiębiorstwa) w sektorach wskazanych w Załączniku I, w tym:

  • energetyka,
  • transport,
  • sektor bankowy,
  • infrastruktura rynków finansowych,
  • ochrona zdrowia,
  • dostarczanie wody pitnej,
  • gospodarka ściekowa,
  • usługi cyfrowe i infrastruktura internetowa,
  • zarządzanie usługami ICT między firmami,
  • instytucje administracji publicznej,
  • sektor kosmiczny,
  • dostawcy usług zaufania, 
  • podmioty odpowiedzialne za utrzymanie i administrację domen internetowych najwyższego poziomu,
  • dostawcy usług DNS (Domain Name System),
  • operatorzy sieci telekomunikacyjnych dostępnych dla ogółu społeczeństwa,
  • firmy telekomunikacyjne działające poza skalą małych i średnich przedsiębiorstw (MŚP),
  • organizacje zakwalifikowane jako krytyczne na podstawie unijnej dyrektywy o odporności podmiotów krytycznych (UE) 2022/2557.

Podmioty z kategorii ważnych to organizacje wymienione w Załączniku I dyrektywy, które nie spełniają kryteriów dużych przedsiębiorstw, czyli mieszczą się w definicji MŚP. Katalog ten rozszerzono w Załączniku II o inne sektory, obejmujące m.in.:

  • usługi pocztowe i kurierskie,
  • gospodarowanie odpadami,
  • produkcję, przetwarzanie i dystrybucję chemikaliów,
  • sektor spożywczy – od wytwarzania po dystrybucję żywności,
  • dostawców usług cyfrowych,
  • badania naukowe,
  • produkcję: 
    - komputerów, sprzętu elektronicznego i optycznego,
    - wyrobów medycznych, w tym tych służących diagnostyce in vitro,
    - urządzeń elektrycznych,
    - maszyn i urządzeń, gdzie indziej nieklasyfikowanych,
    - pojazdów silnikowych, przyczep i naczep transportowych,
    - pozostałych urządzeń transportowych.

W przypadku krajowej ustawy krąg podmiotów objętych nowymi regulacjami może ulec rozszerzeniu. Każde państwo członkowskie na opracowanie wykazu wszystkich podmiotów kluczowych i ważnych miało czas do 17 kwietnia 2025 r. Ich listę można aktualizować nie częściej niż co dwa lata.

Wymogi dyrektywy NIS2 – co warto wiedzieć? 

NIS2 wprowadza istotne zmiany oraz nakłada na podmioty nią objęte nowe obowiązki w zakresie cyberbezpieczeństwa. 
Kluczowym obowiązkiem członków UE jest utworzenie i przyjęcie krajowej strategii cyberbezpieczeństwa oraz powołanie organów (tzw. CSIRT), których zadaniem będzie  nadzór oraz zarządzanie systemem cyberbezpieczeństwa danego kraju, współpraca z odpowiednikami funkcjonującymi w ramach innych państw, a także kompleksowa obsługa  ujawnionych incydentów. Wartym podkreślenia jest fakt, że nadrzędnym zadaniem zespołów CSIRT nie jest kontrola i nakładanie kar, a wsparcie podmiotów w podnoszeniu standardów ochrony oraz analiza zgłoszonych incydentów. Co ciekawe zgłoszeń naruszeń cyberbezpieczeństwa mogą dokonywać nie tylko podmioty objęte NIS2, ale również organizacje czy instytucje, które  potrzebują wsparcia. W Polsce takie organy już funkcjonują i odgrywają kluczową rolę w krajowym systemie cyberbezpieczeństwa.

Każda organizacja objęta dyrektywą jest zobowiązana do odpowiedniego zabezpieczenia swoich systemów IT i OT, tak aby zapewnić ochronę infrastruktury IT zgodną z wymaganiami określonymi w dyrektywie. Działania muszą dotyczyć m.in. poniższych obszarów:

  • zarządzanie ryzykiem i bezpieczeństwem cyfrowym,
  • zarządzanie incydentami bezpieczeństwa,
  • mechanizmy utrzymania ciągłości operacyjnej, obejmujące backup, odtwarzanie po incydentach oraz zarządzanie kryzysowe,
  • zarządzanie bezpieczeństwem w relacjach z dostawcami i podwykonawcami w ramach łańcucha dostaw,
  • zabezpieczenie cyklu życia systemów informatycznych – od nabycia, przez rozwój, po utrzymanie, z uwzględnieniem identyfikacji i raportowania podatności,
  • tworzenie zasad i formułowanie procedur oceny efektywności zastosowanych środków zarządzania ryzykiem w obszarze cyberbezpieczeństwa,
  • wdrażanie podstawowych zasad cyberhigieny oraz szkolenia z zakresu ochrony cyberbezpieczeństwa,
  • formułowanie wytycznych i procedur stosowania metod szyfrowania i ochrony danych przy użyciu kryptografii,
  • ochrona zasobów ludzkich, polityka zarządzania dostępem i nadzór nad aktywami.

Jak reagować na incydent cyberbezpieczeństwa?

Odpowiednio zaprojektowany system ochrony bezpieczeństwa cyfrowego powinien zapewniać pełną ochronę przed atakami hakerskimi. Jeśli jednak zdarzy się, że dojdzie do incydentu trzeba będzie niezwłocznie wdrożyć  odpowiednie procedury. Zaistnienie ataku hakerskiego wymaga niezwłocznego zgłoszenia tego faktu do odpowiedniego organu, w ustawowo określonym terminie, współpracy z nim oraz wspólnego działania na rzecz zminimalizowania negatywnych skutków. 
Warto podkreślić, że każdy podmiot objęty NIS2 może zostać poddany kontroli swoich zabezpieczeń. W przypadku nieprzestrzegania przepisów grozi mu kara. Szczegółowe procedury postępowania i wysokości kar finansowych określa dyrektywa. 

Dla podmiotów kluczowych kary mogą wynieść do 10 000 000 EUR lub 2% całkowitego rocznego obrotu globalnego z poprzedniego roku obrotowego. Dla podmiotów ważnych przewidziana kara to 7 000 000 EUR lub 1,4% rocznego obrotu globalnego z poprzedniego roku obrotowego. To jednak nie jedyne konsekwencje. Nieprzestrzeganie przepisów może skutkować zawieszeniem uprawnień do prowadzenia działalności lub nałożeniem tymczasowego zakazu pełnienia funkcji zarządu na osobę fizyczną zajmującą stanowisko dyrektora generalnego lub przedstawiciela prawnego w podmiocie.

Podsumowanie

Dyrektywa NIS2 nakłada na objęte nią podmioty obowiązek przeanalizowania swojego środowiska ochrony i wdrożenia w życie stosownych rozwiązań. Chociaż przepisy nie wskazują konkretnych narzędzi, które należy zastosować, nakładają obowiązek dostosowania narzędzi do poziomu ryzyka. Oznacza to, że organizacje muszą ocenić, jak wielkie zagrożenie stanowią dla nich cyberataki, jak bardzo prawdopodobne jest ich wystąpienie oraz jakie będą konsekwencje w przypadku zaistnienia incydentu. Na tej podstawie można stworzyć zestaw technologii, które skutecznie wspierają zarówno zarządzanie bezpieczeństwem, jak i szybkie reagowanie w przypadku wystąpienia incydentu.