- IT
Dyrektywa NIS2 – sprawdź, czy przepisy dotyczą Twojej firmy
Chcesz przygotować swoją firmę do
przepisów dyrektywy NIS2?
Rosnąca liczba cyberzagrożeń, ich częstotliwość, skala i stopień zaawansowania, a także dynamiczny rozwój cyfryzacji stanowią poważne zagrożenia dla bezpiecznego funkcjonowania sieci i systemów informatycznych państw członkowski całej UE.
W odpowiedzi na te ryzyka w 2016 r. Unia Europejska wprowadziła dyrektywę NIS, którą wdrożyła w Polsce Ustawą o Krajowym Systemie Cyberbezpieczeństwa. Jej celem było zwiększenie bezpieczeństwa cyfrowego, ograniczenie skutków incydentów bezpieczeństwa, a przez to usprawnienie funkcjonowania gospodarki w całej Unii.
W 16 styczniu 2023 roku weszła w życie dyrektywa NIS2, wprowadzając nowe regulacje oraz uchylając dotychczas obowiązującą dyrektywę NIS. W poniższym artykule omówimy zmiany, jakie przyniosła dyrektywa NIS2, a także wskażemy, kogo dotyczą nowe przepisy.
Spis treści
Czym jest dyrektywa NIS2?
Dyrektywa NIS2 to unijny akt prawny, który zastąpił dyrektywę NIS, przyjętą w 2016 r. Celem dyrektywy NIS2 jest zaktualizowanie obowiązków w zakresie cyberbezpieczeństwa oraz wprowadzenie przepisów, które pomogą w ich egzekwowaniu. Dotyczy to między innymi przepisów związanych z zarządzaniem ryzykiem, a także reagowaniem, zarządzaniem i raportowaniem incydentów.
Zmiany dotyczące dyrektywy NIS2
Do najważniejszych zmian wprowadzonych przez dyrektywę NIS2 zaliczają się:
- Rozszerzenie katalogu podmiotów kluczowych oraz wprowadzenie podmiotów ważnych.
- Nałożenie podobnych obowiązków na podmioty kluczowe i ważne, przy czym zapewniany poziom bezpieczeństwa sieci i systemów informatycznych powinien być odpowiedni do istniejącego ryzyka.
- Wprowadzenie nowych możliwości egzekwowania przepisów, obejmujących dodatkowe środki kontrolne i nadzorcze dla właściwego organu krajowego, takie jak:
- Nakładanie administracyjnych kar finansowych na podmioty kluczowe i podmioty ważne.
- Wprowadzenie odpowiedzialności indywidualnej. Każda osoba fizyczna odpowiedzialna za podmiot kluczowy lub ważny, lub działająca jako przedstawiciel prawny tego podmiotu, na mocy upoważnienia do jego reprezentowania, podejmowania decyzji w jego imieniu lub sprawowania nad nim kontroli, będzie mogła ponieść odpowiedzialność za niedopełnienie obowiązku zapewnienia zgodności z dyrektywą NIS2.
- Wprowadzenie doraźnych kontroli w stosunku do podmiotów kluczowych.
- Nakładanie administracyjnych kar finansowych na podmioty kluczowe i podmioty ważne.
- Nałożenie obowiązków dotyczących zarządzania ryzykiem i zgłaszania incydentów obejmuje podmioty kluczowe oraz ważne, zobowiązując je do wdrożenia odpowiednich środków technicznych, operacyjnych i organizacyjnych w kontekście zarządzania ryzykiem. Dodatkowo nakłada się obowiązek poinformowania właściwego CSRIT lub innego organu w ściśle określonych terminach w przypadku wystąpienia poważnego incydentu.
Kogo dotyczy dyrektywa NIS2?
Nowe przepisy znoszą dotychczasowe rozróżnienie na operatorów usług kluczowych oraz dostawców usług cyfrowych, wprowadzając podział na podmioty kluczowe i ważne.
Oceniając, czy dany podmiot zostanie zakwalifikowany jako kluczowy, czy ważny, uwzględnia się jego rozmiar oraz sektor działalności. Istotne jest również określenie, jakie znaczenie ma dany sektor dla niezakłóconego funkcjonowania gospodarczego i społecznego Unii Europejskiej.
Dyrektywa NIS2 ma zastosowanie zarówno do podmiotów publicznych, jak i prywatnych, które kwalifikują się jako średnie przedsiębiorstwa lub które przekraczają pułapy dla średnich firm. A więc takich, które zatrudniają co najmniej 50 pracowników oraz których roczny obrót i/lub roczna suma bilansowa przekracza 10 mln euro. Jednocześnie są to przedsiębiorstwa, które świadczą usługi lub prowadzą działalność w Unii Europejskiej.
Regulacjom mają podlegać także niektóre małe i mikroprzedsiębiorstwa, które spełniają szczególne kryteria związane z ich kluczową rolą dla społeczeństwa, gospodarki, a także konkretnych sektorów lub usług.
Podmioty kluczowe
Kluczowe podmioty to te, które świadczą usługi niezbędne do sprawnego funkcjonowania społeczeństwa i gospodarki Unii. Ponadto, mają one bezpośredni wpływ na stabilność oraz bezpieczeństwo tych obszarów.
- Energia elektryczna
- Przedsiębiorstwa energetyczne wykonujące funkcję dostaw
- Operatorzy systemów dystrybucyjnych
- Operatorzy systemów przesyłowych
- Wytwórcy
- Wyznaczeni operatorzy rynku energii elektrycznej
- Uczestnicy rynku świadczący usługi agregacji, odpowiedzi odbiory lub magazynowania energii
- Operatorzy punktów ładowania odpowiedzialni za zarządzenie punktem ładowania i jego obsługę, świadczący usługę ładowania użytkownikom końcowym, w tym w imieniu i na rzecz dostawcy usług w zakresie mobilności
- System ciepłowniczy lub chłodniczy
- Operatorzy systemów ciepłowniczych lub chłodniczych
- Ropa naftowa
- Operatorzy ropociągów
- Operatorzy instalacji służących do produkcji, rafinacji, przetwarzania, magazynowania i przesyłu ropy naftowej
- Krajowe centrale zapasów
- Gaz
- Przedsiębiorstwa dostarczające gaz
- Operatorzy systemów dystrybucyjnych
- Operatorzy systemów przesyłowych
- Operatorzy systemów magazynowania
- Operatorzy systemów LNG
- Przedsiębiorstwa gazowe
- Operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego
- Wodór
- Operatorzy instalacji służących do produkcji, magazynowania i przesyłu wodoru
- Transport lotniczy
- Przewoźnicy lotniczy wykorzystywani do celów komercyjnych
- Zarządzający portem lotniczym, porty lotnicze, w tym porty bazowe oraz jednostki obsługujące urządzenia pomocnicze znajdujące się w portach lotniczych
- Operatorzy zarządzający ruchem lotniczym zapewniający służbę kontroli ruchu lotniczego (ATC)
- Transport kolejowy
- Zarządcy infrastruktury
- Przedsiębiorstwa kolejowe, w tym operatorzy infrastruktury kolejowej
- Transport wodny
- Armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów, z wyłączeniem poszczególnych statków, na których prowadzą działalność ci armatorzy
- Organy zarządzające portami, w tym ich obiekty portowe, oraz jednostki wykonujące prace i operujące sprzętem znajdującym się w tych portach
- Operatorzy systemów ruchu statków (SRS)
- Transport drogowy
- Organy administracji drogowej odpowiedzialne za zarządzanie ruchem drogowym, z wyłączeniem podmiotów publicznych, dla których zarządzanie ruchem lub obsługa inteligentnych systemów transportowych jest inną niż istotną częścią ich ogólnej działalności
- Operatorzy inteligentnych systemów transportowych
- Instytucje kredytowe
- Operatorzy systemów obrotu
- Kontrahenci centralni (CCP)
- Świadczeniodawcy
- Laboratoria referencyjne UE
- Podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych
- Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne
- Podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego
- Dostawcy i dystrybutorzy „wody przeznaczonej do spożycia przez ludzi”, z wyłączeniem dystrybutorów, dla których dystrybucja wody przeznaczonej do spożycia przez ludzi jest inną niż istotną częścią ich ogólnej działalności polegającej na dystrybucji innych produktów i towarów
- Przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, bytowe lub przemysłowe, z wyłączeniem przedsiębiorstw, dla których zbieranie, odprowadzanie lub oczyszczanie ścieków komunalnych, bytowych lub przemysłowych jest inną niż istotna częścią ich ogólnej działalności
- Dostawcy punktu wymiany ruchu internetowego
- Dostawcy usług DNS, z wyłączeniem operatorów głównych serwerów nazw
- Rejestry nazw TLD
- Dostawcy usług chmurowych
- Dostawcy usług ośrodka przetwarzania danych
- Dostawcy sieci dostarczania treści
- Dostawcy usług zaufania
- Dostawcy publicznych sieci łączności elektronicznej
- Dostawcy publicznie dostępnych usług łączności elektronicznej
- Dostawcy usług zarządzanych
- Dostawcy usług zarządzanych w zakresie bezpieczeństwa
- Podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym
- Podmioty administracji publicznej na szczeblu regionalnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym
- Operatorzy infrastruktury naziemnej należącej do, zarządzanej i obsługiwanej przez państwa członkowskie lub podmioty prywatne, które wspierają świadczenie usług kosmicznych, z wyjątkiem dostawców publicznych sieci łączności elektronicznej
Podmioty ważne
Podmioty ważne, choć nie spełniają kryteriów kluczowych, mają znaczący wpływ na właściwe funkcjonowanie gospodarki i społeczeństwa Unii Europejskiej.
- Operatorzy świadczący usługi pocztowe, w tym dostawcy usług kurierskich
- Przedsiębiorstwa zajmujące się gospodarowaniem odpadami, z wyłączeniem przedsiębiorstw, dla których gospodarowanie odpadami nie stanowi głównej działalności gospodarczej
- Przedsiębiorstwa zajmujące się produkcją substancji oraz wytwarzaniem i dystrybucją substancji lub mieszanin, a także przedsiębiorstwa zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów
- Przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem
- Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro
- Podmioty produkujące wyroby medyczne zdefiniowane oraz podmioty produkujące wyroby medyczne do diagnostyki in vitro, z wyjątkiem podmiotów produkujących wyroby medyczne
- Produkcja komputerów, wyrobów elektronicznych i optycznych
- Produkcja urządzeń elektrycznych
- Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana
- Produkcja pojazdów samochodowych, przyczep i naczep
- Produkcja pozostałego sprzętu transportowego
- Dostawcy internetowych platform handlowych
- Dostawcy wyszukiwarek internetowych
- Dostawcy platform usług sieci społecznościowych
Do kiedy trzeba wdrożyć zmiany z dyrektywy NIS2?
Termin na dostosowanie się do nowych wymagań upływa 17 października 2024 r. Od 18 października 2024 r. państwa członkowskie UE są zobowiązane do przestrzegania przepisów zawartych w dyrektywie.
