Problemy polskich firm z wdrożeniem NIS2

Choć Polska wciąż nie ma ustawy wdrażającej NIS 2, dyrektywa już obowiązuje. Firmy muszą samodzielnie ocenić ryzyka i przygotować się na nowe wymogi – inaczej grożą im kary i paraliż wdrożeniowy.

Dyrektywa NIS 2 ma na celu podniesienie poziomu cyberbezpieczeństwa w Unii Europejskiej poprzez wprowadzenie bardziej rygorystycznych wymagań wobec przedsiębiorstw. Choć akt ten jest ważnym i potrzebnym krokiem w stronę zwiększenia odporności infrastruktury cyfrowej, to dla wielu polskich firm jego implementacja stanowi poważne wyzwanie. NIS 2, podobnie jak wiele innych unijnych regulacji, opiera się bowiem na podejściu opartym na ryzyku. Oznacza to, że każda organizacja objęta dyrektywą musi samodzielnie ocenić ryzyko wystąpienia incydentu cyberbezpieczeństwa i wdrożyć odpowiednie, proporcjonalne do niego środki organizacyjne, techniczne i operacyjne.

Brak ustawy nie zwalnia z obowiązków

Termin implementacji przepisów dyrektywy do krajowego porządku prawnego upłynął 17 października 2024 r., a polska ustawa zmieniająca ustawę o krajowym systemie cyberbezpieczeństwa (UKSC) nadal znajduje się w fazie projektu. Brak polskiej ustawy oznacza między innymi brak pewności, które organizacje zostaną zakwalifikowane jako „podmioty kluczowe” lub „podmioty ważne” z punktu widzenia krajowego systemu cyberbezpieczeństwa, a także jakie sankcje będą mogły zostać nałożone w przypadku nieprzestrzegania przepisów. Stanowi to problem szczególnie istotny dla kadry zarządzającej, ponieważ NIS 2 kładzie silny nacisk na odpowiedzialność członków zarządów – to oni są bezpośrednio odpowiedzialni za wdrożenie właściwych mechanizmów bezpieczeństwa.

NIS 2 obejmie ponad 10 tys. firm

Zgodnie z szacunkami Ministerstwa Cyfryzacji, nowelizacja UKSC dotyczyć będzie ponad 10.000 podmiotów w Polsce, w porównaniu do około 400 podmiotów, które podlegają UKSC w aktualnym brzmieniu. Co istotne, obecnie „operatorzy usług kluczowych” są wyznaczani na podstawie decyzji administracyjnej, a nowelizacja przewiduje, że status „podmiotu kluczowego” i „podmiotu ważnego” nabywany będzie z mocy prawa. Oznacza to, że w praktyce konieczna może okazać się samoidentyfikacja, czyli samodzielne rejestrowanie się podmiotów w nowym systemie. Obowiązek ustalenia, czy dana organizacja kwalifikuje się jako podmiot podlegający nowym regulacjom, spoczywać będzie zatem na kadrze zarządzającej.

Konieczna spójna strategia i ścisła współpraca wewnętrzna

Cyberbezpieczeństwo nadal jest powszechnie traktowane jako temat czysto techniczny, zarezerwowany dla działów IT. Wielu organizacjom brakuje spójnej strategii cyberbezpieczeństwa, która byłaby zintegrowana z ogólną strategią biznesową. Wdrożenie wymogów NIS 2 wymagać będzie nie tylko wprowadzenia rozwiązań technicznych, ale przede wszystkim przedefiniowania podejścia do ryzyka i wdrożenia zarządzania organizacją w sposób zapewniający cyberodporność w każdym aspekcie. NIS 2 wymaga bowiem uwzględnienia cyberzagrożeń już na etapie podejmowania decyzji strategicznych, planowania inwestycji, a także w całym łańcuchu dostaw. Oznacza to konieczność przeprowadzenia analizy ryzyka nie tylko wewnątrz organizacji, ale również w odniesieniu do kluczowych partnerów biznesowych. Z punktu widzenia operacyjnego, dla wielu firm, dotychczas nieobjętych przepisami UKSC, będzie to stanowić znaczny wzrost wymagań.

Weź udział w warsztatach „NIS2 & DORA w praktyce prawnej”, 9 października 2025 r., Warszawa>>

Koszty wdrożenia uderzą w budżety 2025

Te organizacje, które do tej pory nie posiadały rozbudowanych mechanizmów związanych z zapewnieniem cyberbezpieczeństwa, muszą przygotować się na poniesienie dodatkowych kosztów. Wdrażanie od podstaw systemów zarządzania bezpieczeństwem informacji czy systemów zarządzania incydentami może wymagać znacznych nakładów finansowych. Problemem może okazać się nieuwzględnienie tych wydatków w budżetach na 2025 rok. Bez odpowiedniego planowania finansowego dostosowanie się do nowych obowiązków może być nie tylko opóźnione, ale również realizowane doraźnie, bez trwałych efektów.

Co zrobić już dziś, by uniknąć kar

Mimo niejasności legislacyjnych i licznych wyzwań, nie warto czekać na ostateczny kształt ustawy. Dyrektywa NIS 2 już obowiązuje na poziomie unijnym i nieprzygotowanie się do jej wymagań może skutkować dotkliwymi karami finansowymi. Dlatego zaleca się, aby zarządy już teraz wyznaczyły osoby odpowiedzialne za wdrożenie NIS 2 (najlepiej w strukturze compliance lub risk management) oraz zainicjowały prace nad właściwymi rozwiązaniami technicznymi, organizacyjnymi i operacyjnymi. Ważne jest także rozpoczęcie dialogu z partnerami i dostawcami technologicznymi w celu oceny ich przygotowania na nowe regulacje.

Cyberbezpieczeństwo to konieczność

NIS 2 to nie tylko akt prawny, ale przede wszystkim impuls do zmiany podejścia do bezpieczeństwa informacji w organizacjach. Dla wielu firm będzie to trudny i kosztowny proces, jednak zaniechanie działań może prowadzić do poważnych konsekwencji - zarówno prawnych, jak i wizerunkowych. Kadra zarządzająca musi zrozumieć, że cyberbezpieczeństwo to dziś nie opcja, lecz konieczność, a odpowiedzialność nie spoczywa wyłącznie na IT, lecz na całej strukturze organizacyjnej firmy.

Autorka:

Paulina Piątek-Gabryś, radczyni prawna, dyrektorka działu prawnego i compliance home.pl