Dyrektywa NIS 2 – nowe otwarcie w zakresie cyberbezpieczeństwa
Dyrektywa NIS 2, którą trzeba zaimplementować do krajowych porządków prawnych już w październiku przyszłego roku, to kontynuacja wcześniejszej dyrektywy NIS. Jednocześnie jest ona zdecydowanie bardziej szczegółową i surowszą wersją swojej poprzedniczki.
Dyrektywa NIS 2 istotnie rozszerza nie tylko krąg podmiotów objętych wymogami w ramach krajowego systemu cyberbezpieczeństwa, ale także zakres ich obowiązków. Za nieprzestrzeganie wymogów grozić będą surowe konsekwencje, m.in. wysokie kary finansowe.
Kary finansowe to jednak nie wszystko. Warto mieć na uwadze również szeroki katalog środków nadzoru i egzekwowania przepisów. W tym zakresie dyrektywa NIS 2 przewiduje, że właściwe organy będą mogły m.in. prowadzić kontrole, audyty i skany bezpieczeństwa, czy też występować z wnioskiem o przedstawienie dowodów realizacji polityk cyberbezpieczeństwa przed dany podmiot. To dobrze pokazuje, że NIS 2 kładzie nacisk na efektywność, czyli budowanie rzeczywistej, faktycznej zgodności z przepisami.
Konieczne stanie się zatem nie tylko spełnienie szczegółowych wymogów dyrektywy, ale również „pokazanie” zgodności. Unia Europejska zdała sobie bowiem sprawę, że wobec rosnącego poziomu zagrożeń w obszarze cyberbezpieczeństwa trzeba spójniej i skuteczniej budować odporność cyfrową. NIS 2 wprowadza także nowy podział podmiotów objętych regulacją, na podmioty kluczowe oraz ważne.
Obowiązki i środki ich egzekwowania przewidziane w NIS 2 idą znacznie dalej niż w dyrektywie NIS, na której opiera się obecna ustawa o krajowym systemie cyberbezpieczeństwa. Dlatego już dzisiaj warto zapoznać się z najważniejszymi zmianami i rozpocząć przygotowania do ich wdrożenia w organizacji.
NIS 2 – dlaczego kolejna dyrektywa?
Dyrektywa NIS 2 ma przede wszystkim zharmonizować przepisy w zakresie cyberbezpieczeństwa w państwach członkowskich UE i poprawić operacyjny wymiar współpracy między organami, które odpowiadają za ten obszar. Prawodawca unijny zauważył bowiem, że w państwach członkowskich powstały zasadnicze rozbieżności m.in. właśnie w zakresie katalogu podmiotów objętych wymogami NIS, jak również w zakresie samych wymogów. Za konieczne uznał więc wyeliminowanie tych rozbieżności.
Ponadto konieczne okazało się zaktualizowanie wykazu sektorów i działań, które podlegają obowiązkom. Prawodawca unijny zauważył, że nie wszystkie podmioty, które mają znaczenie dla systemów cyberbezpieczeństwa, objął reżim pierwszej dyrektywy NIS. Wobec postępującego rozwoju cyfryzacji, przyjęte rozwiązania okazały się po prostu nie dość skuteczne dla zapewnienia wysokiego poziomu cyberbezpieczeństwa w UE. Odpowiedzą na te problemy ma być właśnie Dyrektywa NIS 2.
Subiektywny przegląd kluczowych zmian
Z perspektywy podmiotów kluczowych i ważnych najważniejsze zmiany w NIS 2 to m.in. doprecyzowanie ich obowiązków w obszarze zarządzania ryzykiem. W tym zakresie NIS 2 wprowadza konkretny katalog rozwiązań technicznych, operacyjnych i organizacyjnych, które trzeba będzie wdrożyć (jako swego rodzaju „niezbędne minimum”). Środki te obejmują m.in. konieczność wprowadzenia polityki analizy ryzyka, obsługę incydentów, ale też działania zmierzające do zapewnienia bezpieczeństwa łańcucha dostaw czy szkolenia z cyberbezpieczeństwa. Środki powinny być odpowiednie i proporcjonalne do zidentyfikowanych zagrożeń. Szczególnie podkreślono też rolę kadry zarządzającej, która ma je zatwierdzać i ponosić za to bezpośrednią odpowiedzialność.
Warto podkreślić, że dyrektywa NIS 2 przewiduje znaczne zwiększenie kar za naruszenia wymogów cyberbezpieczeństwa w zakresie stosowania środków zarządzania ryzykiem i obsługi incydentów. Dla podmiotów kluczowych maksymalna kara ma wynosić co najmniej 10 milionów euro lub 2% łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, przy czym zastosowanie będzie miała kwota wyższa. W przypadku podmiotów ważnych limit kar jest nieco niższy.
Oprócz kar, NIS 2 w sposób bardziej rozbudowany i szczegółowy odnosi się do czynności, które podmiot objęty wymogami dyrektywy ma obowiązek podjąć w ramach obsługi incydentu bezpieczeństwa. Wprowadzono szczegółową, dwuetapową procedurę i określono konkretne terminy podejmowania czynności. Co istotne, obowiązek raportowania dotyczy nie tylko informacji o incydentach bezpieczeństwa, ale również informacji o zidentyfikowanych zagrożeniach, które mogą doprowadzić do wystąpienia istotnego incydentu bezpieczeństwa.
Poznaj aktualne konferencje “Pulsu Biznesu” >>
Rozszerzenie zakresu podmiotowego i nowe kryteria kwalifikacji
Jak już wspomniano, NIS 2 wprowadza nowy podział podmiotów objętych regulacją – na podmioty kluczowe oraz podmioty ważne. Rozszerzeniu ulega także wykaz sektorów i rodzajów działalności, które uważane będą za kluczowe (nowe sektory to m.in. sektor „kosmiczny” oraz infrastruktura cyfrowa).
W przypadku podmiotów ważnych zmiany idą jeszcze dalej. Za wyjątkiem dostawców usług cyfrowych, cały katalog podmiotów objętych regulacją jest nowy i obejmuje:
- usługi pocztowe i kurierskie;
- gospodarowanie odpadami;
- produkcję (wyroby medyczne i wyroby medyczne do diagnostyki in vitro; produkty komputerowe, elektroniczne i optyczne; sprzęt elektryczny; maszyny i wyposażenie; pojazdy samochodowe, przyczepy i naczepy; inny sprzęt transportowy);
- produkcję i dystrybucję chemikaliów;
- produkcję, przetwarzanie i dystrybucję żywności.
NIS 2 wprowadza jednocześnie zupełnie nowe kryteria kwalifikacji podmiotów objętych regulacją. Konkretne obszary działalności wskazano w załącznikach do dyrektywy (pierwszy dotyczy podmiotów kluczowych, a drugi – podmiotów ważnych). O objęciu regulacjami nie będzie już zatem decydować indywidualna decyzja właściwego organu.
Każdy podmiot będzie musiał samodzielnie dokonać oceny w tym zakresie, co wobec licznych wyjątków przewidzianych w przepisach NIS 2, wcale nie będzie łatwe.
Podmiotami kluczowymi i ważnymi zgodnie z dyrektywą będą co do zasady duże i średnie firmy, przy czym w szczególnych przypadkach NIS 2 może dotyczyć także mikro- i małych przedsiębiorców (na przykład jeśli mają charakter krytyczny w rozumieniu dyrektywy CER).
Wszystko co chcesz wiedzieć o Dyrektywie NIS 2 >>
Podejście oparte na ryzyku i środki zaradcze
Podobnie jak wiele innych aktów unijnych, NIS 2 przyjmuje podejście oparte na ryzyku. W praktyce oznacza to, że podmiot objęty dyrektywą ma obowiązek ocenić ryzyko w organizacji, a następnie stosować środki adekwatne i proporcjonalne do zidentyfikowanego ryzyka wystąpienia incydentu cyberbezpieczeństwa. Firmy będą więc musiały we własnym zakresie dobrać odpowiednie środki organizacyjne, techniczne i operacyjne.
Autorzy: Wojciech Piszewski, adwokat oraz Maciej Troć, prawnik, kancelaria Rymarz Zdort Maruta. Autorzy będą prelegentami konferencji “Pulsu Biznesu”: NIS 2 - ewolucja, czy rewolucja, która odbędzie się 20 czerwca, online >>
