NIS2 i UKSC — co nowe przepisy oznaczają dla Twojej firmy i jak się przygotować

NIS2 to unijna dyrektywa dotycząca cyberbezpieczeństwa. Jej celem jest podniesienie odporności gospodarki na cyberataki poprzez nałożenie jednolitych, minimalnych wymogów na firmy i instytucje uznane za istotne dla funkcjonowania państwa i rynku.

Kluczowa zmiana w podejściu jest prosta: cyberbezpieczeństwo przestaje być wyłącznie sprawą działu IT, a staje się obowiązkiem zarządczym. To zarząd odpowiada za wdrożenie i nadzór — i to zarząd ponosi konsekwencje jego braku. Dla firmy oznacza to, że temat trzeba przenieść z serwerowni na salę posiedzeń.

Dyrektywa unijna nie obowiązuje firm bezpośrednio — państwa członkowskie muszą ją wdrożyć do prawa krajowego. W Polsce następuje to przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC). To właśnie polska ustawa, a nie sama dyrektywa, będzie podstawą konkretnych obowiązków, kontroli i kar.

W praktyce oznacza to jedno: śledzić należy przepisy krajowe (UKSC), a wymogi NIS2 traktować jako minimalny standard, poniżej którego ustawa nie zejdzie. Firmy, które przygotują się do NIS2, będą gotowe niezależnie od szczegółów krajowej implementacji.

O objęciu przepisami decydują dwa kryteria łącznie: sektor działalności oraz wielkość organizacji. Jeżeli firma działa w jednym z wymienionych sektorów i przekracza próg wielkości (co do zasady średnie przedsiębiorstwo, czyli od 50 pracowników lub 10 mln EUR obrotu), najprawdopodobniej podlega NIS2.

Co istotne, zakres jest znacznie szerszy niż wcześniej — obejmuje nie tylko infrastrukturę krytyczną, ale też m.in. produkcję, gospodarkę odpadami, usługi cyfrowe czy sektor spożywczy. Wiele firm, które dotąd nie miały styczności z regulacjami cyberbezpieczeństwa, po raz pierwszy znajdzie się w zakresie.

NIS2 dzieli objęte firmy na dwie kategorie: podmioty kluczowe i podmioty ważne. Obie mają te same obowiązki merytoryczne — różnica dotyczy przede wszystkim modelu nadzoru oraz wysokości kar.

Podmioty kluczowe podlegają nadzorowi proaktywnemu (organ może kontrolować firmę z własnej inicjatywy, zanim cokolwiek się wydarzy). Podmioty ważne podlegają nadzorowi następczemu (kontrola zwykle po incydencie lub sygnale nieprawidłowości). Dla zarządu to wskazówka, jak rygorystycznie państwo będzie patrzeć firmie na ręce.

Sercem NIS2 jest wymóg wdrożenia odpowiednich i proporcjonalnych środków zarządzania ryzykiem. Brzmi ogólnie, ale dyrektywa wymienia konkretny zestaw obszarów, które trzeba pokryć. Poniżej — w języku biznesu, nie normy technicznej.

Słowo proporcjonalne jest tu kluczowe: nie chodzi o kupienie wszystkiego, lecz o dopasowanie środków do realnego ryzyka i skali firmy. Punktem wyjścia zawsze jest analiza ryzyka, a nie katalog zakupów.

Jednym z najbardziej wymagających operacyjnie obowiązków jest raportowanie poważnych incydentów w ściśle określonych terminach. To nie jest wysłanie maila kiedyś tam — to procedura z zegarem, którą trzeba mieć przećwiczoną, zanim wydarzy się kryzys.

Firmy, które nie mają gotowej ścieżki zgłaszania i osób decyzyjnych wyznaczonych z wyprzedzeniem, w praktyce nie zdążą. Dlatego proces zgłaszania warto zbudować i przetestować na spokojnie, a nie improwizować w trakcie ataku.

Najważniejsza zmiana filozofii w NIS2: kierownictwo nie może już oddelegować tematu i o nim zapomnieć. Zarząd ma obowiązek zatwierdzić środki zarządzania ryzykiem, nadzorować ich wdrożenie i przejść szkolenie z cyberbezpieczeństwa. Za zaniedbania może ponieść odpowiedzialność osobistą.

Dla właściciela i członka zarządu oznacza to konkret: cyberbezpieczeństwo staje się elementem należytej staranności zarządczej, na równi z finansami czy BHP. Zaniechanie w tym obszarze to ryzyko nie tylko dla firmy, ale i dla osób nią kierujących.

NIS2 wprowadza sankcje finansowe powiązane z obrotem grupy — a więc na tyle wysokie, że stają się pozycją w rejestrze ryzyka zarządu, a nie drobnym kosztem operacyjnym. Poza karą pieniężną w grę wchodzą środki nadzorcze i realne ryzyko reputacyjne.

NIS2 wprost wymaga zarządzania ryzykiem po stronie dostawców. Oznacza to, że odpowiadasz nie tylko za własne systemy, ale i za to, kogo wpuszczasz do swojego środowiska — od dostawcy oprogramowania po firmę serwisującą infrastrukturę.

Ten sam mechanizm działa w drugą stronę: jeśli Twoja firma jest dostawcą dla podmiotu objętego NIS2, wymogi bezpieczeństwa zaczną spływać do Ciebie w umowach i ankietach. Warto być na to gotowym, zanim zapyta o to klient.

Droga do zgodności z NIS2 nie musi być chaotyczna. Najlepiej rozłożyć ją na trzy fazy: najpierw ustalić, czy i jak przepisy Cię dotyczą, potem zamknąć najpoważniejsze luki, a na końcu utrwalić proces. Taki układ pozwala wykazać należytą staranność jeszcze przed pełnym domknięciem programu.

W ALGORSEC prowadzimy firmy przez NIS2 i UKSC od pytania czy mnie to dotyczy aż po gotowy, przećwiczony proces. Zaczynamy od oceny zgodności i analizy luk, następnie budujemy priorytetyzowany plan działań i wspieramy jego wdrożenie — tak, aby wymogi przełożyły się na realną odporność, a nie stertę dokumentów.

Jeśli Twojej organizacji brakuje własnego CISO, tę samą odpowiedzialność możemy przejąć w modelu usługowym (vCISO) — łącznie z raportowaniem do zarządu i nadzorem nad wdrożeniem. Następny krok to zwykle krótka, bezpłatna rozmowa o tym, gdzie jesteś i co jest najpilniejsze.