NIS2 w Polsce: nowelizacja ustawy o KSC i kogo obejmuje

Skąd się bierze nowelizacja KSC

Dyrektywa (UE) 2022/2555, znana jako NIS2, zastąpiła pierwszą dyrektywę NIS. Państwa członkowskie miały ją przetransponować do 17 października 2024 r. Polska, podobnie jak wiele innych krajów, nie zdążyła w tym terminie. Transpozycja odbywa się przez nowelizację ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, przygotowaną przez ministra właściwego do spraw cyfryzacji.

Projekt przechodził kolejne wersje i konsultacje, a jego szczegóły, takie jak terminy przejściowe czy kształt procedury dotyczącej dostawców wysokiego ryzyka, zmieniały się w trakcie prac. Zanim podejmiesz decyzje budżetowe, sprawdź aktualny tekst ustawy w Internetowym Systemie Aktów Prawnych oraz komunikaty Ministerstwa Cyfryzacji. Same wymagania dyrektywy są jednak znane i to one wyznaczają kierunek przygotowań.

Kogo obejmuje: sektory i kryterium wielkości

NIS2 znacząco poszerza krąg podmiotów w porównaniu z obecnym systemem, w którym operatorów usług kluczowych wyznaczały decyzje administracyjne. Nowe podejście opiera się na samoidentyfikacji: firma sama ocenia, czy spełnia kryteria sektora i wielkości, i rejestruje się w wykazie prowadzonym przez właściwy organ.

Załącznik I dyrektywy obejmuje sektory o wysokim stopniu krytyczności: energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT w relacjach B2B, administrację publiczną i przestrzeń kosmiczną. Załącznik II wymienia inne sektory krytyczne: usługi pocztowe i kurierskie, gospodarkę odpadami, chemikalia, żywność, produkcję wybranych wyrobów (m.in. urządzeń medycznych, komputerów, elektroniki, maszyn, pojazdów), dostawców usług cyfrowych i badania naukowe.

Co do zasady w zakresie są średnie i duże przedsiębiorstwa z tych sektorów, czyli zatrudniające co najmniej 50 osób lub osiągające ponad 10 mln euro obrotu i sumy bilansowej. Niektóre podmioty, na przykład dostawcy usług DNS, rejestry domen najwyższego poziomu czy dostawcy publicznych sieci łączności elektronicznej, mogą być objęte niezależnie od wielkości.

• Sprawdź kod PKD i faktyczną działalność, a nie tylko nazwę branży
• Policz zatrudnienie i obroty zgodnie z zasadami dla MŚP, z uwzględnieniem przedsiębiorstw powiązanych
• Zwróć uwagę na usługi IT świadczone innym firmom, bo zarządzane usługi ICT są w Załączniku I

Podmioty kluczowe i ważne: co je różni

Dyrektywa dzieli objęte firmy na podmioty kluczowe i podmioty ważne. Podmiotami kluczowymi są co do zasady duże przedsiębiorstwa z sektorów z Załącznika I oraz niektóre kategorie wskazane wprost. Pozostałe średnie i duże podmioty z obu załączników to zazwyczaj podmioty ważne.

Wymagania merytoryczne są dla obu grup w dużej mierze takie same. Różnica dotyczy nadzoru i sankcji. Podmioty kluczowe podlegają nadzorowi uprzedniemu, czyli kontrolom i audytom niezależnie od incydentów. Podmioty ważne podlegają nadzorowi następczemu, uruchamianemu zwykle po incydencie lub sygnale o naruszeniu. Dyrektywa przewiduje kary administracyjne do co najmniej 10 mln euro lub 2 proc. światowego obrotu dla podmiotów kluczowych oraz do co najmniej 7 mln euro lub 1,4 proc. obrotu dla podmiotów ważnych. Dokładne wysokości i zasady w polskiej ustawie warto zweryfikować w jej ostatecznym tekście.

Obowiązki w zakresie zarządzania ryzykiem

Artykuł 21 NIS2 wymaga wdrożenia odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych. Lista minimalnych obszarów jest konkretna i dobrze pokrywa się z systemem zarządzania bezpieczeństwem informacji według ISO/IEC 27001. Polskie przepisy mogą doprecyzować formę, na przykład wymóg posiadania systemu zarządzania bezpieczeństwem czy cyklicznych audytów.

Kluczowe jest podejście wszystkich zagrożeń. Nie chodzi tylko o ataki hakerskie, ale też o awarie zasilania, błędy ludzkie, pożar czy problemy dostawców.

• Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych
• Obsługa incydentów
• Ciągłość działania, kopie zapasowe, odtwarzanie po awarii i zarządzanie kryzysowe
• Bezpieczeństwo łańcucha dostaw, w tym relacji z dostawcami
• Bezpieczeństwo przy pozyskiwaniu, rozwoju i utrzymaniu systemów, w tym obsługa podatności
• Ocena skuteczności środków zarządzania ryzykiem
• Cyberhigiena i szkolenia
• Kryptografia i szyfrowanie
• Bezpieczeństwo zasobów ludzkich, kontrola dostępu i zarządzanie aktywami
• Uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja

Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc

Artykuł 23 dyrektywy wprowadza wieloetapowe raportowanie poważnych incydentów. Wczesne ostrzeżenie trzeba przekazać bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od wykrycia. Zgłoszenie incydentu należy złożyć w ciągu 72 godzin, z wstępną oceną wagi, skutków i wskaźników naruszenia. Sprawozdanie końcowe przekazuje się najpóźniej miesiąc po zgłoszeniu.

W Polsce zgłoszenia trafiają do właściwego zespołu CSIRT. Obecny system przewiduje trzy zespoły na poziomie krajowym: CSIRT GOV, CSIRT NASK i CSIRT MON, a podział kompetencji zależy od rodzaju podmiotu. Sprawdź w ustawie, który zespół jest właściwy dla Twojej firmy, i wpisz tę informację do procedury obsługi incydentów.

W praktyce największym wyzwaniem nie jest samo wysłanie formularza, ale szybka klasyfikacja: czy zdarzenie jest poważnym incydentem, kto o tym decyduje i kto ma uprawnienia do zgłoszenia w nocy lub w weekend.

Odpowiedzialność zarządu

Artykuł 20 NIS2 wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrożenie i mogły ponosić odpowiedzialność za naruszenia. Członkowie zarządu mają też obowiązek odbywania szkoleń z cyberbezpieczeństwa. To zmiana kulturowa: cyberbezpieczeństwo przestaje być tematem wyłącznie działu IT.

Dobrym dowodem dla organu nadzoru będą protokoły posiedzeń zarządu, na których omawiano raporty o ryzyku, zatwierdzono politykę bezpieczeństwa i budżet, a także potwierdzenia ukończenia szkoleń przez członków zarządu.

Na co zwróci uwagę organ nadzoru

Kontrola zgodności z NIS2 nie będzie polegała na pytaniu, czy firma ma politykę bezpieczeństwa. Organ lub audytor będzie szukał dowodów, że środki działają i są proporcjonalne do ryzyka. Dla podmiotów kluczowych mogą to być kontrole na miejscu, audyty bezpieczeństwa i żądania dokumentów nawet bez wcześniejszego incydentu.

Warto już teraz przygotować teczkę dowodów, którą da się przekazać w kilka dni, a nie w kilka tygodni. Im więcej z tych materiałów powstaje jako naturalny efekt codziennej pracy, tym mniejszy stres w czasie kontroli.

• Aktualna analiza ryzyka z datą, właścicielami i decyzjami o postępowaniu z ryzykiem
• Rejestr incydentów z czasem wykrycia, klasyfikacją i datami zgłoszeń
• Wyniki testów kopii zapasowych i planów ciągłości działania
• Lista dostawców ICT z oceną ryzyka i zapisami umownymi o bezpieczeństwie
• Raporty z testów podatności lub testów penetracyjnych wraz z planem usunięcia błędów
• Potwierdzenia szkoleń pracowników i członków zarządu

Od czego zacząć, zanim ustawa wejdzie w pełni w życie

Czekanie na ostateczny tekst nie jest dobrą strategią, bo większość prac jest niezależna od szczegółów krajowych. Zacznij od analizy, czy firma jest w zakresie, i od udokumentowania tej analizy. Następnie zrób przegląd luk względem listy z artykułu 21 i ustal, kto odpowiada za zgłaszanie incydentów.

Firmy, które już mają ISO/IEC 27001, są w lepszej sytuacji, ale muszą uzupełnić elementy specyficzne dla NIS2: rejestrację, terminy zgłoszeń, szkolenia zarządu i ewentualne wymagania dotyczące dostawców. Bezpłatna samoocena na baltum.ai pokazuje, jak dojrzały jest Twój system bezpieczeństwa informacji i gdzie są największe braki.

• Udokumentuj analizę: sektor, wielkość, kwalifikacja jako podmiot kluczowy lub ważny
• Wyznacz osobę odpowiedzialną za kontakt z organem i CSIRT
• Przygotuj procedurę klasyfikacji i zgłaszania incydentów z terminami 24 h i 72 h
• Zinwentaryzuj kluczowych dostawców ICT i przejrzyj umowy
• Zaplanuj szkolenie dla zarządu

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. baltum.ai to niezależne oprogramowanie, a nie jednostka certyfikująca.