Dyrektywa NIS2: Kompleksowy przegląd wymagań w zakresie cyberbezpieczeństwa
Dyrektywa Parlamentu Europejskiego i Rady (UE) nr 2022/2555 z 14 grudnia 2022 roku, tzw. dyrektywa Network & Information Security 2 to drugie wydanie europejskich przepisów prawa, których celem jest zbudowanie zdolności w zakresie cyberbezpieczeństwa w krajach członkowskich.
Dyrektywa stanowi odpowiedź na dynamiczną ewolucję cyberzagrożeń oraz rosnącą skalę cyberataków, które mogą wpłynąć na funkcjonowanie obywatelu UE.
Unijna dyrektywa Network & Information Security 2
Wytyczne określają obowiązki państw członkowskich dotyczące przyjęcia krajowych strategii bezpieczeństwa, a także wprowadzają konieczność powstania krajowych organów zarządzania kryzysowego w cyberbezpieczeństwie i zespołów reagowania na incydenty bezpieczeństwa (tzw. CSIRT). Ponadto, w ramach unijnej dyrektywy przedstawione zostały standardy zarządzania ryzykiem w cyberbezpieczeństwie, jak również zasady i obowiązki wymiany informacji między członkami UE.
Implementacja NIS2 w krajach członkowskich
Zgodnie z zapisami dyrektywy, każdy kraj unijny powinien wdrożyć wytyczne w ramach krajowych przepisów nie później niż do 17 października 2024 roku. Ze względu na szeroki zakres koniecznych do wprowadzenia zmian oraz bardzo duży zakres podmiotowy, implementacja w większości krajów trwa jednak znacznie dłużej. Do końca 2024 roku NIS2 nie obowiązywał jeszcze w ponad 60% krajów członkowskich.
Dyrektywa NIS2 w Polsce
Zgodnie z zasadami współpracy w ramach UE, dokument dyrektywy w przeciwieństwie do rozporządzenia wymaga transpozycji wymagań do krajowego porządku prawnego członków UE. Oznacza to, że w każdym kraju UE zaczną obowiązywać przepisy implementujące wytyczne NIS2.
Pierwsze wydanie unijnych przepisów (dyrektywa NIS z 2016 roku) skutkowała powstaniem Krajowego Systemu Cyberbezpieczeństwa wprowadzonego w 2018 roku. Aktualizacja wytycznych zostanie w Polsce wprowadzona w ramach nowelizacji ustawy o KSC. W momencie powstania opracowania nadal nie jest znany dokładny kształt przepisów w polskim porządku prawnym - trwają jednak zaawansowane prace nad ostatecznym draftem projektu ustawy o zmianie ustawy o KSC.
Zakres podmiotowy
W ramach NIS2 zostały zdefiniowane dwa rodzaje podmiotów podległych - podmioty kluczowe oraz podmioty ważne. W obu przypadkach stosowane są te same wytyczne dotyczące zarządzaniem ryzykiem w cyberbezpieczeństwie, różnice występują jednak w ramach możliwych do zastosowania środków nadzoru i kar.
1. Podmioty kluczowe - są to te jednostki, których działalność może w największym stopniu wpłynąć na funkcjonowanie obywateli. Do podmiotów kluczowych zalicza się:
1. przedsiębiorstwa i organizacje przekraczające próg średnich przedsiębiorstw oraz działających w ramach zdefiniowanych w załączniku nr 1 branż, takich jak:
1. Energetyka - energetyka elektryczna, systemy ciepłownicze lub chłodnicze, ropa naftowa, gaz, wodór,
2. Transport - lotniczy, kolejowy, wodny, drogowy,
3. Bankowość,
4. Infrastruktura rynków finansowych,
5. Opieka zdrowotna,
6. Woda pitna,
7. Ścieki,
8. Infrastruktura cyfrowa,
9. Zarządzanie usługami ICT,
10. Administracja publiczna,
11. Przestrzeń kosmiczna,
2. kwalifikowani dostawcy usług zaufania i rejestry nazw domen najwyższego poziomu, a także dostawcy usług DNS (niezależnie od wielkości)
3. dostawcy publicznych sieci łączności elektronicznej, a także dostawcy publicznie dostępnych usług łączności, kwalifikujący się jako minimum średnie przedsiębiorstwa
4. określone podmioty administracji publicznej
5. podmioty określone jako podmioty krytyczne na podstawie krajowych przepisów prawa
2. Podmioty ważne - jednostki o dużym znaczeniu dla funkcjonowania obywateli krajów członkowskich. Do podmiotów ważnych zalicza się:
1. podmioty i organizacje z branż określonych dla podmiotów kluczowych, które nie przekraczają progu średnich przedsiębiorstw,
2. podmioty i organizacje działające w sektorach określonych w załączniku nr 2 do dyrektywy, a w tym:
1. Usługi pocztowe i kurierskie,
2. Gospodarowanie odpadami,
3. Produkcja, wytwarzanie i dystrybucja chemikaliów,
4. Produkcja, przetwarzanie i dystrybucja żywności,
5. Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro,
6. Produkcja komputerów, wyrobów elektronicznych i optycznych,
7. Produkcja urządzeń elektrycznych,
8. Produkcja maszyn i urządzeń,
9. Produkcja pojazdów samochodowych, przyczep i naczep,
10. Produkcja pozostałego sprzętu transportowego,
11. Dostawcy usług cyfrowych,
12. Badania naukowe
3. podmioty określone w ramach krajowych przepisów jako podmioty ważne
Warto zwrócić uwagę na to, że dyrektywa określa jedynie ogólne ramy przynależności organizacji do konkretnych definicji, zaś na poziomie krajowych przepisów prawa, zakres podmiotowy może zostać uzupełniony i doprecyzowany.
Każdy kraj członkowski zobligowany jest również do stworzenia pełnego wykazu podmiotów i utrzymywania jego aktualności w czasie. W ramach spisu do organów nadrzędnych zostaną przekazane informacje, takie jak:
1. nazwa podmiotu,
2. adres i aktualne dane kontaktowe (w tym adres email, zakres adresów IP oraz numery telefonów),
3. sektor i podsektor zgodnie z załącznikami do dyrektywy,
4. wykaz państw członkowskich, w których podmiot świadczy usługi.
Skoordynowane ramy w zakresie cyberbezpieczeństwa
W myśl zapisów unijnej dyrektywy, każdy z krajów członkowskich musi opracować i wdrożyć krajową strategię cyberbezpieczeństwa uwzględniającą cele, zasoby i środki w ramach których kraj będzie utrzymywał wysoki poziom cyberbezpieczeństwa. W ramach strategii należy zdefiniować:
- cele i priorytety strategii,
- ramy zarządzania służące realizacji celów,
- ramy zarządzania definiujące role i obowiązki stron, zaangażowanych w utrzymanie wysokiego poziomu cyberochrony,
- zasady koordynacji i współpracy między podmiotami, a organami po stronie sektorowych aktów prawnych UE,
- mechanizm służący określeniu istotnych zasobów i szacowanie ryzyka w państwie,
- środki zapewniające gotowość na wypadek incydentu, zdolność reagowania i przywrócenia normalnego działania oraz
- zasady współpracy między sektorami publicznym i prywatnym,
- wykaz organów objętych strategią cyberbezpieczeństwa,
- plan poprawy świadomości i wiedzy w zakresie cyberbezpieczeństwa wśród obywateli.
Ponadto, każdy z krajów powinien określić i utworzyć pojedynczy punkt kontaktowy, który odpowiada za implementację wymagań dyrektywy oraz jej stosowanie w czasie.
Kolejnym istotnym wymogiem unijnej dyrektywy jest utworzenie minimum jednego organu odpowiedzialnego za zarządzanie incydentami i zarządzanie kryzysowe w cyberbezpieczeństwie na dużą skalę.
CSIRT
W każdym państwie powstaną także zespoły reagowania na incydenty bezpieczeństwa komputerowego, tzw. CSIRT (Computer Security Incident Response Team). Zadaniem zespołów będzie:
- monitorowanie i analiza cyberzagrożeń, podatności i incydentów na poziomie krajowym oraz wsparcie podmiotom kluczowym i ważnym w zakresie monitorowania ich sieci i systemów informatycznych w czasie rzeczywistym,
- wczesne ostrzeganie i alarmowanie danych podmiotów kluczowych i ważnych oraz właściwych organów i innych zainteresowanych stron o cyberzagrożeniach, podatnościach i incydentach, a także kierowanie do nich ogłoszeń oraz przekazywanie im informacji dotyczących cyberzagrożeń, podatności i incydentów,,
- reakcja na incydenty i udzielanie podmiotom wsparcia przy obsłudze zdarzenia,
- gromadzenie i analiza danych kryminalistycznych i zapewnienie dynamicznej analizy ryzyka i incydentów oraz świadomości sytuacyjnej w zakresie cyberbezpieczeństwa,
- prowadzenie aktywnego skanowania sieci i systemów informatycznych konkretnych podmiotów w celu wykrycia podatności,
- współpraca z innymi członkami sieci CSIRT,
- koordynacja ujawniania podatności,
- współpraca w ramach wdrażania bezpiecznych narzędzi wymiany informacji.
Europejska baza podatności
W ramach nowelizacji unijnych wytycznych w zakresie cyberbezpieczeństwa określono powstanie europejskiej bazy podatności, która zostanie opracowana, wdrożona i utrzymywana przez ENISA (European Network and Information Security Agency).
Baza będzie zawierała informacje dotyczące wykrytych podatności, a w tym:
- informacje opisujące podatność,
- produkty i usługi ICT, których dotyczy wskazana podatność,
- informacje na temat dostępności aktualizacji, a w przypadku ich braku - wytyczne wskazujące sposób ograniczenia
- ryzyka wynikającego z wykrytych nieprawidłowości.
Informacje dot. podatności będą dostarczane przez krajowe CSIRTy, które umożliwią także anonimowe zgłaszanie wykrytych błędów przez obywateli i organizacje.
Europejska sieć organizacji łącznikowych ds. kryzysów cyberbezpieczeństwa
Kolejnym organem określonym w ramach NIS2 jest EU-CyCLONe. Ta złożona z przedstawicieli organów ds. zarządzania kryzysowego w cyberbezpieczeństwie w państwach członkowskich grupa ma wspierać w skoordynowanym zarządzaniu kryzysowym w przypadku incydentów na dużą skalę. Organ będzie nadzorowany i utrzymywany w ramach struktur ENISA.
Zarządzanie bezpieczeństwem w podmiotach i zgłaszanie incydentów
Każdy z podmiotów podległych NIS2 będzie zobligowany do stosowania wysokiego standardu zarządzania ryzykiem w cyberbezpieczeństwie. Realizacja tego celu będzie wymagała wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych, które umożliwią zbudowanie wysokiego standardu ochrony.
W ramach środków zarządzania ryzykiem w cyberbezpieczeństwie, unijna dyrektywa określa poniższe elementy:
1. Polityka analizy ryzyka i bezpieczeństwa systemów informatycznych,
2. Obsługa incydentu,
3. Ciągłość działania,
4. Bezpieczeństwo łańcucha dostaw,
5. Bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych (a w tym postępowanie w przypadku podatności),
6. Ocena skuteczności środków zarządzania ryzykiem,
7. Praktyki cyberhigieny i szkolenia,
8. Stosowanie kryptografii,
9. Bezpieczeństwo zasobów ludzkich,
10. W stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.
Środowisko powinno także być na bieżąco monitorowane, tak, aby bezpośrednio po wystąpieniu podejrzenia zdarzenia, móc spełn wymagania dyrektywy w zakresie zgłaszania incydentów bezpieczeństwa.
Każdy z podmiotów będzie zgłaszał incydent spełniający definicję incydentu poważnego do odpowiedniego CSIRT w celu wdrożenia środków minimalizujących konsekwencje i skalę zagrożenia.
Każdy z podmiotów będzie zgłaszał incydent spełniający definicję incydentu poważnego do odpowiedniego CSIRT w celu wdrożenia środków minimalizujących konsekwencje i skalę zagrożenia.
Incydent określa się jako poważny wtedy gdy:
1. spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla podmiotu,
2. wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe,
W przypadku wystąpienia takiego zdarzenia, podmiot powinien bez zbędnej zwłoki przekazać do CSIRT:
- w ciągu 24 godzin od powzięcia wiedzy o zdarzeniu tzw. wczesne ostrzeżenie, w którym wskazuje się czy incydent mógł zostać wywołany działaniem bezprawnym lub działaniem o złym zamiarze i czy mógł wywrzeć wpływ transgraniczny,
- w ciągu 72 godzin od powzięcia wiedzy o zdarzeniu właściwe zgłoszenie incydentu, aktualizujące informacje z wczesnego ostrzeżenia i wskazujący wstępną ocenę dotkliwości i skutków zdarzenia,
- nie później niż miesiąc po zgłoszeniu incydentu, sprawozdanie końcowe, które szczegółowo opisuje incydent, jego dotkliwość i skutki, rodzaj zagrożenia lub pierwotną przyczynę, zastosowane i wdrożone środki ograniczające ryzyko i (jeśli wystąpiły) transgraniczne skutki incydentu.
Krajowe CSIRT są również uprawnione do uzyskania informacji dot. incydentu w trakcie jego obsługi.
Nadzór i egzekwowanie przepisów
Organy, które w Państwach członkowskich będą pełnić rolę nadzorczą nad podmiotami uzyskają odpowiednie uprawnienia do nadzoru i egzekwowania wdrożonych przepisów prawa.
Dla podmiotów kluczowych przewidziano stosowanie poniższych środków nadzoru:
- kontrola na miejscu i nadzór zdalny, w tym wyrywkowe kontrole prowadzone przez przeszkolonych specjalistów,
- regularne, ukierunkowane audyty bezpieczeństwa prowadzone przez niezależną instytucję lub właściwy organ,
- audyty doraźne, np. w związku z wystąpieniem poważnego incydentu,
- skany bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka,
- wnioski o udzielenie informacji niezbędnych do oceny środków zarządzania ryzykiem w cyberbezpieczeństwie, w tym udokumentowanej polityki cyberbezpieczeństwa,
- wnioski o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania zadań nadzorczych,
- wnioski o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody.
W przypadku podmiotów ważnych, dyrektywa przewiduje poniższe środki nadzoru:
- kontrola na miejscu i nadzór zdalny ex post prowadzone przez przeszkolonych specjalistów,
- ukierunkowane audyty bezpieczeństwa prowadzone przez niezależną instytucję lub właściwy organ,
- skany bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka,
- wnioski o udzielenie informacji niezbędnych do oceny ex post środków zarządzania ryzykiem w cyberbezpieczeństwie, w tym udokumentowanej polityki cyberbezpieczeństwa,
- wnioski o udzielenie informacji niezbędnych do oceny środków zarządzania ryzykiem w cyberbezpieczeństwie, w tym udokumentowanej polityki cyberbezpieczeństwa,
- wnioski o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania zadań nadzorczych,
- wnioski o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody.
W zakresie egzekwowania stosowania przepisów przez podmioty kluczowe, CSIRT będą uprawnione do stosowania szeregu mechanizmów, takich jak:
1. wydawanie ostrzeżeń dotyczących naruszeń,
2. wydawanie wiążących poleceń lub nakazów zobowiązujących podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszeń,
3. nakazanie danym podmiotom, by zaniechały postępowania naruszającego dyrektywę,
4. nakazanie podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie lub wypełniły obowiązki zgłaszania incydentów,
5. nakazanie danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie,
6. nakazanie danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa,
7. wyznaczenie urzędnika monitorującego do nadzorowania przestrzegania przez dane podmioty wytycznych w zakresie zarządzania ryzykiem i zgłaszania incydentów,
8. nakazanie danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach,
9. nałożenie lub zwrócenie się o nałożenie przez właściwe organy lub sądy zgodnie z prawem krajowym administracyjnej kary pieniężnej.
W przypadku stwierdzenia nieskuteczności powyższych środków, CSIRT będą posiadać uprawnienia do:
- tymczasowego zawieszenia lub zwrócenia się do organu, który przyznał certyfikację lub udzielił zezwolenia, lub do sądu, zgodnie z prawem krajowym, o tymczasowe zawieszenie certyfikacji lub zezwolenia na niektóre lub wszystkie odpowiednie usługi świadczone bądź na część lub całość działalności prowadzonej przez podmiot kluczowy,
- zwrócenia się do właściwych instytucji lub sądów, zgodnie z prawem krajowym**,** o nałożenie tymczasowego zakazu pełnienia funkcji zarządczych w tym podmiocie kluczowym na osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego w tym podmiocie.
Podmioty ważne również mogą zostać objęte działaniami mającymi na celi egzekwowanie stosowania przepisów. W tym zakresie CSIRT będą uprawnione do:
1. wydawania ostrzeżeń dotyczących naruszeń,
2. przyjmowania wiążących poleceń lub nakazów zobowiązujących dane podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszenia,
3. nakazania danym podmiotom, by zaniechały postępowania, które narusza dyrektywę,
4. nakazania danym podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie lub wypełniły obowiązki zgłaszania incydentów,
5. nakazania danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie,
6. nakazania danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa,
7. nakazania danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach przez nie niniejszej dyrektywy,
8. nałożenie lub zwrócenie się o nałożenie przez właściwe organy lub sądy zgodnie z prawem krajowym administracyjnej kary pieniężnej.
Kary finansowe
Dyrektywa przewiduje także możliwość nałożenia kar finansowych zarówno na podmiot jak i na osoby fizyczne, pełniące funkcje zarządcze w organizacji:
- dla podmiotów kluczowych wysokość kar finansowych może osiągnąć maksymalną wartość 10 000 000 EUR lub 2% łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa (zastosowanie ma kwota wyższa)
- dla podmiotów ważnych wysokość kar finansowych może osiągnąć maksymalną wartość 7 000 000 EUR lub 1,4% łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa (zastosowanie ma kwota wyższa),
- CSIRT może także nałożyć okresową karę finansową w celu przymuszenia podmiotu kluczowego lub ważnego do zaprzestania naruszania wytycznych przepisów prawa.
Podsumowanie
Zapisy unijnej dyrektywy choć precyzyjnie określają zakres podmiotowy, wymagania oraz środki nadzoru i kary, pozostawiają pole do interpretacji i uszczegółowienia w ramach krajowych zapisów prawnych.
W momencie pisania opracowania, trwają zaawansowane prace nad ostatecznym kształtem polskich przepisów nowelizujących Krajowy System Cyberbezpieczeństwa, jednak aktualny projekt wskazuje na liczne odstępstwa od wytycznych wskazanych w dokumencie unijnym. Oczywiście, odstępstwa te mają charakter precyzujący, niemniej taki stan rzeczy wpływa na zdolności dostosowania stosowanych w organizacjach środków zarządzania cyberbezpieczeństwem. Należy mieć na uwadze fakt, że przedstawione powyżej reguły to konieczne i niezbędne do implementacji zasady, które mogą jedynie zostać zaostrzone w ramach uKSC.
Dyrektywa NIS2 to największa i najbardziej zaawansowana zmiana w obszarze wymagań dotyczących cyberbezpieczeństwem w historii Unii Europejskiej. Poprzednie wydanie dyrektywy swoim zasięgiem obejmowało jedynie kilka tysięcy organizacji w całej Europie, a w tym kilkaset w naszym kraju. Szacuje się, że nowa definicja podmiotów podległych obejmie swoim zakresem ponad 38 tysięcy organizacji tylko w Polsce.
Dotychczas stosowane krajowe przepisy w obszarze cyberbezpieczeństwa przewidywały maksymalną karę finansową w wartości 1 000 000 PLN. Najnowszy projekt zakłada stosowanie kar finansowych sięgających kwoty 100 000 000 PLN, nakładając również możliwość potrącenia dwukrotności pensji osób odpowiedzialnych za zarządzanie środkami ochrony.
W związku z tym warto już dziś rozpocząć prace mające na celu stworzenie systemu bezpieczeństwa zgodnego z wymaganiami NIS2 i KSC!