Dyrektywa NIS2 - od kiedy?

Wiele firm pyta o Dyrektywę NIS2. Nic dziwnego. To, że wejdzie w życie, jest pewne. Pytanie brzmi - od kiedy w Polsce i co dokładnie musisz w związku z tym zrobić. Choć formalny termin implementacji na poziomie UE minął w październiku 2024 roku, polski proces legislacyjny wciąż trwa. Oznacza to, że masz trochę czasu na przygotowania, ale zdecydowanie nie jest to moment, aby czekać bezczynnie.

Spis treści:

1. Kiedy Dyrektywa NIS2 wejdzie w życie w Polsce?
2. Kogo dotyczy Dyrektywa NIS2?
3. Konkretne korzyści z wczesnego wdrożenia NIS2
4. Co zrobić, zanim nowe przepisy zaczną obowiązywać?
5. Podsumowanie

Kiedy Dyrektywa NIS2 wejdzie w życie w Polsce?

Dyrektywa NIS2 formalnie weszła w życie w Unii Europejskiej już 16 stycznia 2023 r., a państwa członkowskie miały czas na jej wprowadzenie do prawa krajowego do 17 października 2024 r.

Polska, podobnie jak niektóre inne kraje, nie zdążyła z dotrzymaniem tego terminu. Implementacja Dyrektywy NIS2 odbywa się poprzez nowelizację polskiej Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), a prace nad projektem wciąż trwają.

Na podstawie aktualnych planów legislacyjnych i wypowiedzi przedstawicieli rządu szacuje się, że ustawa może wejść w życie w 2026 roku.

Termin ten dotyczy momentu wejścia ustawy w życie, a nie momentu, w którym Twoja firma ma być w pełni gotowa. Dostosowanie wymagań to projekt organizacyjny i technologiczny, który trwa miesiącami.

Kogo dotyczy Dyrektywa NIS2?

NIS2 rozszerza zakres podmiotów objętych regulacjami. Zapomnij o starym podziale na Operatorów Usług Kluczowych (OUK) i Dostawców Usług Cyfrowych (DUC). Nowe regulacje wprowadzają dwie kategorie firm, na które nakłada się innego rodzaju obowiązki. Są to:

Podmioty kluczowe (Essential Entities)

To duże firmy (powyżej 250 pracowników i/lub obrót roczny przekraczający 50 mln EUR) działające w sektorach uznawanych za kluczowe dla funkcjonowania gospodarki i społeczeństwa.

Przykłady sektorów kluczowych: energetyka, transport, bankowość i infrastruktura rynków finansowych, opieka zdrowotna, administracja publiczna, infrastruktura cyfrowa.

Podmioty ważne (Important Entities)

To firmy średniej wielkości (zatrudnienie powyżej 50 osób i/lub obrót roczny przekraczający 10 mln EUR) oraz, w niektórych przypadkach, duże firmy z innych istotnych sektorów.

Przykłady sektorów ważnych: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcja żywności, produkcja chemiczna, produkcja wyrobów medycznych, dostawcy usług cyfrowych (np. chmurowych).

Nawet małe i mikroprzedsiębiorstwa mogą zostać objęte regulacją, jeśli pełnią kluczowe role w danym sektorze (np. są dostawcami usług zaufania lub stanowią jedynego dostawcę usługi krytycznej).

Kluczowe obowiązki wynikające z NIS2, które musisz wdrożyć

Dyrektywa precyzuje, na czym ma polegać Twoje zarządzanie ryzykiem. Nie są to ogólniki, ale konkretne obszary wymagające działania:

• Opracowanie i wdrożenie szczegółowych procedur oceny i zarządzania ryzykiem cyberbezpieczeństwa.
• Stworzenie jasnej polityki wykrywania, analizy, powstrzymywania i reagowania na incydenty. Musisz zgłaszać poważne incydenty do właściwych organów w rygorystycznych, krótkich terminach, nawet 24 godziny od wykrycia.
• Regularne testowanie planów odzyskiwania danych po awarii (Disaster Recovery) i procedur zarządzania kopiami zapasowymi.
• Zabezpieczenie procesów związanych z dostawcami usług i produktów, w tym wymóg odpowiednich zapisów w umowach.
• Obowiązkowe, regularne szkolenia dla kadry zarządzającej i wszystkich pracowników w zakresie podstawowych praktyk higieny cybernetycznej.
• Wymóg stosowania uwierzytelniania wieloskładnikowego (MFA) oraz wdrożenia systemów monitorujących i ochronnych.

Co zrobić, zanim nowe przepisy zaczną obowiązywać?

Dostosowanie się do NIS2 to proces. Im szybciej zaczniesz, tym większa szansa na to, że unikniesz chaosu w ostatniej chwili.

Ustal, czy podlegasz pod NIS2. Jeśli tak, porównaj obecny stan cyberbezpieczeństwa firmy z wymogami Dyrektywy. To jest fundament. Następnie opracuj szczegółowy harmonogram prac, w którym określisz, co, do kiedy i kto ma zrobić.

Stwórz lub zaktualizuj wszystkie kluczowe dokumenty, takie jak polityki bezpieczeństwa informacji, plany ciągłości działania oraz procedury zarządzania incydentami.

Zorganizuj pierwsze, obowiązkowe szkolenia dla kadry zarządzającej oraz personelu. Zwiększenie świadomości to najszybszy sposób na zmniejszenie ryzyka błędu ludzkiego.

Zacznij wdrażać rozwiązania technologiczne, które są wprost wymagane przez Dyrektywę – na przykład zaawansowane systemy do zarządzania tożsamością, uwierzytelnianie wieloskładnikowe (MFA) czy narzędzia do monitorowania sieci.

Podsumowanie

NIS2 to nieunikniona zmiana, która podniesie standardy cyberbezpieczeństwa w całej Europie. W KNT Technology pomagamy firmom takim jak Twoja spokojnie i skutecznie przygotować się na wymogi Dyrektywy NIS2. Dzięki naszemu wsparciu NIS2 stanie się dla Ciebie nie problemem, a solidnym filarem bezpieczeństwa Twojego biznesu.