Dyrektywa NIS2: najważniejsze fakty o unijnych zasadach cyberbezpieczeństwa [WYWIAD]

13.05.2025

W kontekście rosnącej liczny i skali cyberataków konieczne stało się wdrożenie działań, mających na celu zwiększenie cyberbezpieczeństwa. W odpowiedzi na tą sytuację powstała dyrektywa NIS2 (Network and Information Security Directive 2), która ustanowiła nowe procedury przeciwdziałania potencjalnym zagrożeniom ze strony hakerów, jak i minimalizowania skutków w przypadku wystąpienia ataku. Co warto o niej wiedzieć?

Unijna dyrektywa NIS2 została przyjęta przez Parlament Europejski i Radę UE 14 grudnia 2022 roku i opublikowana w Dzienniku Urzędowym UE 27 grudnia 2022 roku. Warto zapoznać się ze zmianami, jakie ze sobą wnosi, procedurami działań oraz najważniejszymi zaleceniami, które pozwolą skuteczne wdrożyć ją w życie. O komentarz w tej sprawie poprosiliśmy ekspertów Norberta Nowaka, Specjalistę ds. cyberbezpieczeństwa oraz Artura Olszynkę, Specjalistę ds. rozwiązań z zakresu bezpieczeństwa IT. 

Skoro znaczenie dyrektywy NIS2 jest już powszechnie znane, warto zadać pytanie: Jakie konkretne wymagania w zakresie cyberbezpieczeństwa nakłada ta regulacja? 

Norbert Nowak: Unijna regulacja poniekąd wymusza na podległych podmiotach wdrożenie środków ochronnych dla konkretnych obszarów wskazanych w art. 21 tego aktu prawnego. Można tego dokonać poprzez opracowanie właściwej polityki bezpieczeństwa oraz standardów (ze szczególnym uwzględnieniem standardu ISO27001), jak i wykorzystanie specjalistycznych narzędzi, służących zespołom odpowiedzialnym za cyberbezpieczeństwo. Warto podkreślić, że NIS2 stawia za cel zachowanie ciągłości działań, stały monitoring infrastruktury i analizę jej stanu. Ponieważ cyberprzestępcy są coraz bardziej skuteczni regulacja ma również stosowne procedury oraz narzędzia, które pozwalają na szybkie wykrycie nieprawidłowości i natychmiastową reakcję na zagrożenia. 

Jakie specjalne środki ochrony krytycznych systemów zostały określone w przepisach dyrektywy NIS2?

Artur Olszynka: Każda organizacja, która podlega dyrektywie NIS2 – zarówno ta bardzo istotna (np. szpital), jak i mniej krytyczna – jest zobowiązana do wdrożenia określonych środków bezpieczeństwa. Nie ma jednak sztywnego zestawu reguł dla wszystkich. Powinny być one dostosowane do konkretnej sytuacji, wielkości organizacji, sfery działania, a także stopnia ryzyka wystąpienia ataków oraz ich formy i skutków. Obok obowiązku wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie jest również konieczność zgłaszani incydentów poważnych.

Norbert Nowak: Kluczowym aspektem, na który zwraca uwagę treść rozporządzenia, jest także bezpieczeństwo pracowników – można je poprawić poprzez wdrożenie odpowiednich standardów szkoleń w organizacji.

Artur Olszynka: Warto nadmienić też, że w NIS2 pojawia się kwestia przeprowadzania obowiązkowych szkoleń z zakresu cyberbezpieczeństwa dla kadry kierowniczej. Zalecane są również szkolenia szeregowych pracowników.

Znamy już wymogi, więc pojawia się pytanie: jakie są zalecenia dotyczące przygotowania się na ataki cybernetyczne? 

Artur Olszynka: Przygotowanie do wystąpienia potencjalnych ataków cybernetycznych nie jest proste i wymaga holistycznego podejścia. Działania powinny obejmować zarówno techniczne środki bezpieczeństwa, jak również edukację kadry pracowniczej, a także opracowanie i wdrożenie właściwych procedur reagowania.

Norbert Nowak: Stworzenie kompleksowego i efektywnego systemu ochrony cybernetycznej musi bazować na nowoczesnych narzędziach, których celem jest identyfikacja potencjalnych zagrożeń i minimalizowanie ryzyka ich wystąpienia. Konieczne staje się przeprowadzenie dokładnej analizy ryzyka, która powinna być bardziej zaawansowana i precyzyjna niż ta stosowana w kontekście RODO. Wynika to z faktu, iż stopień i dynamika zmian w infrastrukturze informatycznej jest z reguły nieco większa niż w przypadku zakresu przetwarzanych danych osobowych w ramach organizacji.

Po szczegółowej analizie i przyjęciu potencjalnych ryzyk niezbędny jest stały monitoring całej infrastruktury bezpieczeństwa w celu umożliwienia szybkiej reakcji na incydenty. Skutecznym wsparciem są systemy klasy SIEM (Security Information and Event Management) oraz SOAR (Security Orchestration, Automation and Response), które usprawniają stały wgląd w zasoby oraz reakcje na wykryte anomalia. Również wykorzystanie technologii XDR przyczyni się do zwiększenia naszej gotowości w obronie przed atakami cyberprzestępców. Zaleca się również wdrożenie narzędzi, których celem jest weryfikacja skuteczności ochrony.

Artur Olszynka: Wymóg monitorowania i wykrywania nietypowych zachowań dotyczy nie tylko komputerów użytkowników, ale również serwerów, ruchu na stronach internetowych oraz udostępnionych usług. Ostateczny dobór odpowiednich narzędzi zależy od specyfiki organizacji i jej indywidualnych potrzeb w zakresie ochrony.

Skoro mowa o monitorowaniu i raportowaniu incydentów, jakie zasady i wytyczne obowiązują w tym zakresie?

Norbert Nowak: Szczegółowy wgląd w stan infrastruktury cyberbezpieczeństwa umożliwia faktyczną ocenę jej integralności oraz szybką reakcję na ewentualne incydenty. W optymalnych warunkach, monitoring pozwala na analizę ruchu w czasie rzeczywistym, co umożliwia niemal natychmiastowe uzyskanie informacji o zdarzeniu. Zgodnie z Dyrektywą NIS2, incydent uznaje się za poważny, gdy spełnia określone kryteria:

  1. Prowadzi lub może prowadzić do poważnych zakłóceń w działaniu usług, lub spowoduje istotne straty finansowe dla danego podmiotu.
  2. Wpływa lub może wpłynąć na inne osoby fizyczne lub prawne, prowadząc do poważnych szkód majątkowych lub niemajątkowych.

Kiedy tego typu zdarzenie ma miejsce należy niezwłocznie zawiadomić odpowiedni organ organizacji CSIRT (Computer Security Incident Response Team). Co istotne pierwsze zgłoszenie powinno pojawić się nie później niż po upływie 24 h od zaistnienia incydentu i może mieć charakter bardziej ogólny. Następne zgłoszenie - właściwe - musi zostać przesłane nie później niż po 72 godzinach od powzięcia wiedzy o zdarzeniu. W tym miejscu trzeba podkreślić, że tego typu zgłoszenia muszą być już bardziej precyzyjne. Powinny znaleźć się w nim szczegółowe informacje określające charakter incydentu i jego konsekwencje. Wymagane jest także systematyczne zgłaszanie podjętych działań podczas jego obsługi i przedstawienie raportu końcowego z wykonanych czynności. 

Artur Olszynka: Jeśli CERT (czyli zespół reagowania na incydenty komputerowe) lub inny właściwy organ poprosi o dodatkowe informacje, organizacja musi przygotować sprawozdanie okresowe – czyli raport z aktualnego stanu sprawy, zawierający np. nowe ustalenia, działania naprawcze. 

Jak postępować w razie incydentu cyberbezpieczeństwa?

Norbert Nowak: Kluczowym celem dyrektywy NIS2 jest ograniczenie ryzyka wystąpienia incydentów związanych z cyberbezpieczeństwem. Choć regulacja skupia się głównie na działaniach prewencyjnych, dokument określa również konkretne działania, które należy wdrożyć na wypadek uzasadnionego podejrzenia, że do takiego zdarzenia mogło dojść.
W pierwszej kolejności organizacja musi właściwie zareagować na incydent – zidentyfikować jego przyczynę, zakres oraz potencjalnie poszkodowane osoby lub podmioty. Wszystkie uzyskane informacje powinny zostać przekazane odpowiedniemu zespołowi reagowania na incydenty w terminie określonym w przepisach.

W sytuacji gdy uda się zakończyć wszystkie czynności w przeciągu miesiąca od odnotowania incydentu organizacja objęta dyrektywą jest zobowiązana do przygotowania końcowego raportu, uwzględniającego wszystkie wykonane czynności, a także wskazującego planowane działania naprawcze, mające na celu zlikwidowanie luk w zabezpieczeniach. 

Niezależnie od skali ataku oraz jego konsekwencji obowiązkiem wszystkich podmiotów jest pełna współpraca z organem nadzorczym. Należy podkreślić, że rola CSIRT nie ogranicza się jedynie do kontroli i narzucenia kar. Specjaliści oferują pełne wsparcie w obsłudze incydentu.

Artur Olszynka: Reagowanie na zaistniałe incydenty z zakresu cyberbezpieczeństwa można  zawęzić do 7. kluczowych kroków. Najpierw należy zgłosić zdarzenie, zebrać wszystkie dostępne informacje na jego temat oraz przeprowadzić dokładną analizę sytuacji, która pozwoli zrozumieć przyczyny i lepiej przygotować się na przyszłość. Ważne jest także zapewnienie ciągłości działania organizacji oraz ograniczenie skutków incydentu. Jeśli doszło do naruszenia danych, trzeba poinformować osoby lub podmioty, których to dotyczy. Niezbędna jest również ścisła współpraca z odpowiednimi instytucjami państwowymi i dokumentacja całości procesu.

Jakie konsekwencje grożą organizacjom za nieprzestrzeganie przepisów zawartych w dyrektywie NIS2?

Norbert Nowak: Zmiany w przepisach o cyberbezpieczeństwie dają organom nadzorczym nowe narzędzia do kontroli – zarówno w formie audytów, zdalnych skanów, jak i żądań informacji. W sytuacji, gdy instytucja nie spełnia wymagań określonych w dyrektywnie NIS2  lub świadomie je zaniedbuje, może zostać ukarana. Dokument wskazuje do tego szeroki wachlarz narzędzi - począwszy od ostrzeżeń czy poleceń wprowadzenia konkretnych środków zaradczych poprzez wyznaczenie urzędnika monitorującego, aż po wysokie kary finansowe sięgające 10 mln EUR bądź 2% rocznego obrotu dla przedsiębiorstw kluczowych i 7 mln EUR bądź 1,4% rocznego obrotu dla podmiotów ważnych. Możliwe jest także tymczasowe zawieszenie działalności lub całkowity zakaz jej prowadzenia.

Zgodnie z dyrektywą NIS2 odpowiedzialność za nieprzestrzeganie przepisów nie spoczywa wyłącznie na firmie czy instytucji jako całości. Osoby zarządzające mogą zostać indywidualnie ukarane, jeśli okaże się, że świadomie zaniedbują swoje obowiązki związane z cyberbezpieczeństwem.

Artur Olszynka: Dyrektywa NIS2 wprowadza również możliwość nakładania okresowych kar finansowych w celu egzekwowania przestrzegania przepisów, a także przewiduje sankcje karne za naruszenie jej postanowień.

Jak kształtują się koszty inwestycji w zabezpieczenia przed cyberatakami w porównaniu do ewentualnych konsekwencji takich ataków?

Artur Olszynka: Wydatki na cyberbezpieczeństwo mogą początkowo wydawać się duże. Historia pokazuje jednak, że brak odpowiednich zabezpieczeń, czego konsekwencją jest udany atak hakerski, niemal zawsze prowadzi do wysokich strat finansowych. Pieniądze to jednak niejedyna strata, jaką ponosi poszkodowany podmiot. Jeśli dodać do tego skazę na wizerunku i utratę zaufania, to całkowite koszty stają się jeszcze bardziej dotkliwe. Inwestycja w odpowiednie środki ochrony jest więc niezwykle ważna i przemyślana. Cała infrastruktura bezpieczeństwa powinna zależeć od specyfiki organizacji, rodzaju przetwarzanych danych oraz potencjalnych strat związanych z przestojem wynikającym z cyberataku.

Norbert Nowak: Unijna dyrektywa nie wskazuje konkretnych narzędzi czy metod, które należy wdrożyć, aby spełnić wytyczne. Wskazuje jednak, że zastosowane środki ochrony powinny być wprost proporcjonalne do potrzeb i charakterystyki organizacji. Co oznacza to w praktyce? Nic innego, jak to, że już podczas projektowania systemu zwiększającego cyberbezpieczeństwo należy przeprowadzić szczegółową analizę uwzględniającą wskaźniki, takie jak ryzyko wystąpienia incydentu, jego potencjalną dotkliwość i skutki na poziomie społeczno-gospodarczym, a także wielkość organizacji. Jej wyniki pozwolą odpowiedzieć na pytanie, jakie środki zaradcze i narzędzia będą najlepsze dla naszej organizacji oraz z jakim kosztem powinniśmy się zmierzyć.

Podobnie jak nie da się szczegółowo określić kosztów inwestycji w system cyberochrony, tak nie da się precyzyjnie określić kosztu potencjalnego ataku. Może on zależeć od wielu czynników. Inne będą konsekwencje utraty mniej ważnych danych, a inne wycieku informacji o klientach czy danych wrażliwych, które mogą zostać przejęte przez cyberprzestępców. Dyrektywa NIS2 odnosi się do organizacji, których działalność ma istotny wpływ na funkcjonowanie kraju, dlatego w ich przypadku nawet najmniejsze zagrożenie może prowadzić do poważnych i długotrwałych konsekwencji. Jeszcze raz podkreślę, że koszt incydentu z udziałem hakerów to nie tylko straty finansowe czy ewentualne kary, ale długofalowe skutki, takie jak spadek zaufania społecznego. W skrajnych przypadkach incydent może całkowicie uniemożliwić lub poważnie utrudnić dalsze funkcjonowanie organizacji.