Question 1

Kto podlega NIS2 w Polsce?

Accepted Answer

Dyrektywa NIS2 ma zastosowanie do podmiotów działających w 18 zdefiniowanych sektorach (energia, transport, zdrowie, bankowość, infrastruktura cyfrowa, woda, żywność, przemysł itp.), które przekraczają określone progi wielkości. Podmioty kluczowe to duże przedsiębiorstwa (ponad 250 pracowników lub obrót powyżej 50 mln euro) w sektorach wysoce krytycznych z Załącznika I. Podmioty ważne obejmują średnie przedsiębiorstwa (ponad 50 pracowników lub obrót powyżej 10 mln euro) we wszystkich objętych sektorach. Polska transponuje NIS2 poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). CSIRT NASK, prowadzony przez Naukową i Akademicką Sieć Komputerową, jest jednym z trzech głównych CSIRT-ów krajowych odpowiedzialnych za reagowanie na incydenty i koordynację.

Question 2

Kiedy NIS2 weszła w życie?

Accepted Answer

Dyrektywa (UE) 2022/2555, znana jako NIS2, została opublikowana w Dzienniku Urzędowym Unii Europejskiej 27 grudnia 2022 r. Państwa członkowskie miały czas do 17 października 2024 r. na transponowanie jej do prawa krajowego. Polska jest w trakcie finalizowania nowelizacji ustawy o KSC. Pomimo opóźnień w transponowaniu, obowiązki wynikające z dyrektywy są teoretycznie stosowane od 17 października 2024 r. Zdecydowanie zaleca się organizacjom objętym dyrektywą rozpoczęcie działań zapewniających zgodność bez oczekiwania na oficjalne powiadomienie ze strony właściwych organów.

Question 3

Jakie są sankcje wynikające z NIS2?

Accepted Answer

NIS2 przewiduje dwa poziomy sankcji administracyjnych w zależności od kategorii podmiotu. Dla podmiotów kluczowych maksymalna kara wynosi 10 000 000 € lub 2% całkowitego globalnego rocznego obrotu za poprzedni rok obrotowy, stosując wyższą kwotę. Dla podmiotów ważnych limit wynosi 7 000 000 € lub 1,4% globalnego rocznego obrotu. Poza sankcjami finansowymi właściwe organy mogą wydawać nakazy zgodności, tymczasowo zawieszać certyfikaty lub zezwolenia i podawać do wiadomości publicznej stwierdzone naruszenia. Kadra kierownicza może być również pociągnięta do osobistej odpowiedzialności za rażące zaniedbania.

Question 4

Czy NIS2 ma zastosowanie do podwykonawców?

Accepted Answer

Tak, NIS2 ma szeroki zakres oddziaływania na łańcuch dostaw. Objęte podmioty (kluczowe i ważne) są zobowiązane do zapewnienia, że ich dostawcy i usługodawcy mający dostęp do ich systemów informatycznych lub przetwarzający dane krytyczne utrzymują odpowiedni poziom bezpieczeństwa. W praktyce oznacza to, że podwykonawcy IT i dostawcy podmiotów objętych NIS2 będą mieli narzucone wymagania bezpieczeństwa poprzez klauzule umowne, kwestionariusze oceny bezpieczeństwa i ewentualnie audyty. Nawet jeśli firma nie podlega bezpośrednio NIS2, może być zobowiązana do spełnienia określonych wymagań bezpieczeństwa, aby utrzymać regulowanych klientów.

Question 5

Jak zgłosić incydent do CSIRT NASK?

Accepted Answer

NIS2 nakłada wieloetapowy proces zgłaszania incydentów. W ciągu 24 godzin od wykrycia poważnego incydentu podmiot musi przesłać wczesne ostrzeżenie do CSIRT NASK, wskazując, czy incydent wydaje się być wynikiem złośliwego działania i czy ma skutki transgraniczne. W ciągu 72 godzin musi nastąpić pełne zgłoszenie z wstępną oceną incydentu, jego powagi i prawdopodobnych skutków. W ciągu miesiąca od rozwiązania należy przekazać raport końcowy z analizą przyczyn źródłowych i przyjętymi środkami naprawczymi. CSIRT NASK prowadzi dedykowany portal zgłoszeń incydentów dostępny pod adresem incydent.cert.pl, gdzie organizacje mogą dokonywać wymaganych zgłoszeń.

Question 6

Jaka jest różnica między podmiotami kluczowymi a ważnymi?

Accepted Answer

Rozróżnienie między podmiotami kluczowymi (PK) a podmiotami ważnymi (PW) opiera się głównie na dwóch kryteriach: sektorze działalności i wielkości organizacji. Podmioty kluczowe działają w sektorach wysoce krytycznych wymienionych w Załączniku I do dyrektywy (energia, transport, zdrowie, woda, infrastruktura cyfrowa itp.) i przekraczają progi dla dużych przedsiębiorstw. Podmioty ważne obejmują zarówno średniej wielkości organizacje w sektorach Załącznika I, jak i przedsiębiorstwa w dodatkowych sektorach Załącznika II (żywność, chemia, przemysł itp.). Główna praktyczna różnica dotyczy reżimu nadzoru: PK podlegają regularnym proaktywnym kontrolom, natomiast PW podlegają reaktywnemu nadzorowi uruchamianemu przez incydent lub skargę.

Question 7

Czy NIS2 zastępuje RODO?

Accepted Answer

Nie, NIS2 nie zastępuje RODO. Oba rozporządzenia uzupełniają się i współistnieją. RODO (Ogólne Rozporządzenie o Ochronie Danych) dotyczy ochrony danych osobowych i ma zastosowanie do każdej organizacji przetwarzającej dane mieszkańców Europy, niezależnie od jej wielkości czy sektora. NIS2 dotyczy bezpieczeństwa sieci i systemów informatycznych podmiotów działających w sektorach krytycznych. Oba akty wzajemnie się wzmacniają: dobre praktyki cyberbezpieczeństwa NIS2 przyczyniają się do bezpieczeństwa danych osobowych wymaganego przez RODO. W przypadku incydentu cybernetycznego skutkującego naruszeniem danych, organizacja może być jednocześnie zobowiązana do zgłoszenia zgodnie z NIS2 (do CSIRT NASK) i RODO (do Urzędu Ochrony Danych Osobowych – UODO).

Question 8

Czy mój dostawca hostingu jest odpowiedzialny za moją zgodność z NIS2?

Accepted Answer

Nie, dostawca hostingu nie może być pociągnięty do odpowiedzialności za zgodność z NIS2. Odpowiedzialność za zgodność spoczywa na samym podmiocie objętym regulacją, czyli na Twojej organizacji. Jest to wspólna odpowiedzialność: jeśli korzystasz z usług chmurowych lub hostingowych, musisz zapewnić, że Twoi dostawcy utrzymują odpowiednie poziomy bezpieczeństwa (to jest obowiązek bezpieczeństwa łańcucha dostaw), ale ogólna odpowiedzialność za zgodność pozostaje po Twojej stronie. Obejmuje to zarządzanie, zarządzanie ryzykiem, zgłaszanie incydentów i ciągłość działania. W praktyce musisz tak ukształtować relacje umowne z dostawcami IT, aby zawierały klauzule bezpieczeństwa zgodne z wymaganiami NIS2.

Question 9

Czy NIS2 ma zastosowanie do mikroprzedsiębiorstw?

Accepted Answer

Zasadniczo NIS2 nie ma zastosowania do mikroprzedsiębiorstw i małych przedsiębiorstw (mniej niż 50 pracowników i mniej niż 10 mln euro obrotu). Dyrektywa została zaprojektowana tak, aby obejmować podmioty, których awaria miałaby istotny wpływ na społeczeństwo lub gospodarkę. Istnieją jednak ważne wyjątki: niektóre rodzaje podmiotów podlegają NIS2 niezależnie od swojej wielkości, w tym operatorzy publicznych sieci łączności elektronicznej, dostawcy usług DNS, rejestry nazw domen najwyższego poziomu (TLD) i kwalifikowani dostawcy usług zaufania. Ponadto nawet mikroprzedsiębiorstwo może być pośrednio objęte regulacją, jeśli jest podwykonawcą podmiotu objętego dyrektywą.

Question 10

Jaki jest termin na zapewnienie zgodności z NIS2?

Accepted Answer

Data wejścia w życie NIS2 to 17 października 2024 r.; obowiązki są zatem teoretycznie stosowane od tej daty. W Polsce trwa finalizacja nowelizacji ustawy o KSC, a CSIRT NASK będzie stopniowo identyfikować i powiadamiać objęte podmioty. Zdecydowanie zaleca się podjęcie działań zapewniających zgodność bez oczekiwania na oficjalne powiadomienie, gdyż pełna zgodność wymaga kilku miesięcy pracy: inwentaryzacja aktywów, analiza ryzyka, wdrożenie środków technicznych i organizacyjnych oraz szkolenie personelu. Podmioty, które zwlekają z działaniem, narażają się na sankcje, gdy właściwe organy podejmą działania nadzorcze.

Question 11

Jak udowodnić zgodność z NIS2?

Accepted Answer

NIS2 nie przewiduje jednej obowiązkowej certyfikacji, ale dowód zgodności opiera się na kompleksowej dokumentacji i regularnych audytach. Zgodny podmiot powinien posiadać udokumentowaną i zatwierdzoną przez kierownictwo politykę bezpieczeństwa, aktualną analizę ryzyka, rejestr incydentów, przetestowany plan ciągłości działania, dowody szkoleń, umowy z dostawcami zawierające klauzule bezpieczeństwa oraz raporty z audytów wewnętrznych lub zewnętrznych. CSIRT NASK i inne właściwe organy mogą żądać tych dokumentów w ramach swoich działań nadzorczych. Stosowanie uznanych ram, takich jak ISO 27001 lub Krajowe Ramy Interoperacyjności (KRI), może ułatwić wykazanie zgodności.

Question 12

Czy NIS2 dotyczy stowarzyszeń i organizacji non-profit?

Accepted Answer

Stowarzyszenia i organizacje non-profit mogą podlegać NIS2, jeśli prowadzą działalność w jednym z 18 objętych sektorów i przekraczają progi wielkości (50 pracowników lub 10 mln euro budżetu). Na przykład stowarzyszenie zarządzające siecią dystrybucji wody, placówka opieki zdrowotnej w formie stowarzyszenia lub fundacja badań naukowych mogłaby podlegać dyrektywie. Forma prawna (stowarzyszenie, fundacja itp.) nie jest kryterium decydującym: liczy się charakter działalności i progi wielkości. Małe stowarzyszenia działające poza sektorami krytycznymi zazwyczaj nie są objęte regulacją. W razie wątpliwości zaleca się konsultację z CSIRT NASK lub wyspecjalizowanym prawnikiem.

Question 13

Czym jest łańcuch dostaw NIS2?

Accepted Answer

Bezpieczeństwo łańcucha dostaw to jeden z podstawowych obowiązków wynikających z NIS2. Zobowiązuje objęte podmioty do oceny i zarządzania ryzykiem cyberbezpieczeństwa wynikającym z relacji z dostawcami i usługodawcami, w szczególności tymi, którzy mają dostęp do ich systemów informatycznych, przetwarzają dane krytyczne lub dostarczają komponenty oprogramowania zintegrowane z ich produktami. W praktyce oznacza to mapowanie kluczowych dostawców, kwestionariusze bezpieczeństwa, klauzule umowne nakładające minimalne poziomy bezpieczeństwa i prawa do audytu. Obowiązek ten jest odpowiedzią na nasilenie ataków na łańcuchy dostaw (takich jak SolarWinds), które omijają ochronę organizacji, atakując jej dostawców.

Question 14

Czy CSIRT NASK już kontroluje przedsiębiorstwa?

Accepted Answer

Tak, CSIRT NASK wraz z innymi właściwymi organami posiada już uprawnienia kontrolne odziedziczone po dyrektywie NIS1, które wykonuje wobec operatorów usług kluczowych i dostawców usług cyfrowych zidentyfikowanych w ramach poprzedniego reżimu. Wraz z NIS2 uprawnienia te zostają znacznie rozszerzone i wzmocnione. CSIRT NASK i właściwe sektorowe organy nadzoru mogą przeprowadzać kontrole dokumentacyjne i na miejscu, zlecać audyty bezpieczeństwa przeprowadzane przez wykwalifikowanych audytorów, wydawać nakazy zgodności z terminami oraz nakładać sankcje administracyjne. W przypadku podmiotów kluczowych kontrole mogą być inicjowane proaktywnie, bez oczekiwania na wystąpienie incydentu. Pełne wdrożenie tych uprawnień kontrolnych będzie stopniowe, w miarę identyfikowania objętych podmiotów w Polsce.

Question 15

Czy NIS2 ma zastosowanie w całej Europie?

Accepted Answer

Tak, NIS2 jest dyrektywą europejską obowiązującą wszystkie 27 państw członkowskich Unii Europejskiej. Będąc dyrektywą (a nie rozporządzeniem), wymaga transponowania do prawa krajowego każdego państwa członkowskiego. Oznacza to, że praktyczne szczegóły wdrożenia (identyfikacja podmiotów, procesy zgłaszania, skuteczne sankcje) mogą się różnić między krajami, mimo że merytoryczne wymagania są zharmonizowane. Dla grup międzynarodowych oznacza to śledzenie transpozycji w każdym zainteresowanym kraju. Mechanizm nadzoru jest zorganizowany wokół zasady głównej siedziby: podmiot działający w kilku państwach członkowskich jest zazwyczaj nadzorowany przez organ kraju, w którym znajduje się jego główna siedziba dla usług transgranicznych.

Często zadawane pytania o NIS2

Często zadawane pytania o NIS2