Dyrektywa NIS2
Dyrektywa w sprawie bezpieczeństwa sieci i systemów informatycznych
Przegląd
NIS2 zastępuje i znacznie rozszerza pierwotną dyrektywę NIS, ustanawiając wysoki wspólny poziom cyberbezpieczeństwa w całej UE. Ma zastosowanie do znacznie szerszego zakresu sektorów i podmiotów, wprowadza surowsze środki nadzorcze oraz harmonizuje sankcje w państwach członkowskich.[1]
Jako dyrektywa, NIS2 wymagała implementacji do prawa krajowego do 17 października 2024 r. Wdrożenie różni się w zależności od państwa członkowskiego.
Zakres: Podmioty kluczowe vs ważne
Podmioty kluczowe (większy nadzór)[2]
| Sektor | Przykłady |
|---|---|
| Energia | Energia elektryczna, ropa, gaz, wodór, ciepłownictwo |
| Transport | Lotniczy, kolejowy, wodny, drogowy |
| Bankowość | Instytucje kredytowe |
| Rynki finansowe | Miejsca obrotu, centralne kontrahenty |
| Zdrowie | Dostawcy opieki zdrowotnej, laboratoria, farmaceutyka, urządzenia medyczne |
| Woda pitna | Dostawcy wody |
| Ścieki | Oczyszczanie ścieków |
| Infrastruktura cyfrowa | IXP, DNS, rejestry TLD, chmura, centra danych, CDN, TSP |
| Zarządzanie usługami ICT | Dostawcy usług zarządzanych, dostawcy zarządzanych usług bezpieczeństwa |
| Administracja publiczna | Podmioty rządu centralnego |
| Przestrzeń kosmiczna | Operatorzy infrastruktury naziemnej |
Podmioty ważne (lżejszy nadzór)
| Sektor | Przykłady |
|---|---|
| Usługi pocztowe | Usługi pocztowe i kurierskie |
| Gospodarka odpadami | Zbieranie i przetwarzanie odpadów |
| Chemikalia | Produkcja i dystrybucja |
| Żywność | Produkcja i dystrybucja |
| Przemysł | Urządzenia medyczne, elektronika, maszyny, pojazdy |
| Dostawcy cyfrowi | Platformy handlu elektronicznego, wyszukiwarki, sieci społecznościowe |
| Badania | Organizacje badawcze |
Progi wielkości
NIS2 ma zazwyczaj zastosowanie do podmiotów średnich i dużych:
- Średnie: 50+ pracowników LUB obrót/bilans powyżej 10 mln €
- Duże: 250+ pracowników LUB obrót powyżej 50 mln € LUB bilans powyżej 43 mln €
Niektóre podmioty mają zastosowanie niezależnie od wielkości (DNS, rejestry TLD, dostawcy chmury, centra danych itp.).
Kluczowe wymagania
Środki zarządzania ryzykiem (artykuł 21)[3]
Podmioty muszą wdrożyć odpowiednie środki techniczne, operacyjne i organizacyjne:
- Polityki: Analiza ryzyka i polityki bezpieczeństwa systemów informatycznych
- Obsługa incydentów: Procedury wykrywania, reagowania i odzyskiwania
- Kontynuacja działalności: Kopie zapasowe, odzyskiwanie po awarii, zarządzanie kryzysowe
- Bezpieczeństwo łańcucha dostaw: Wymagania bezpieczeństwa dla dostawców
- Bezpieczeństwo sieci: Bezpieczeństwo nabywania, rozwoju i utrzymania
- Ocena skuteczności: Polityki oceny skuteczności środków bezpieczeństwa
- Podstawowa higiena cybernetyczna: Szkolenia i programy świadomości
- Kryptografia: Polityki dotyczące kontroli kryptograficznych i szyfrowania
- Zasoby ludzkie: Bezpieczeństwo personelu i kontrola dostępu
- Uwierzytelnianie wieloskładnikowe: MFA i bezpieczne systemy komunikacji
Raportowanie incydentów (artykuł 23)[4]
| Termin | Wymóg |
|---|---|
| 24 godziny | Wczesne ostrzeżenie do CSIRT/kompetentnego organu |
| 72 godziny | Zgłoszenie incydentu z wstępną oceną |
| 1 miesiąc | Raport końcowy z przyczyną i działaniami naprawczymi |
Znaczące incydenty muszą być zgłaszane, jeśli powodują lub mogą powodować poważne zakłócenia operacyjne lub straty finansowe, lub wpływają na inne osoby fizyczne lub prawne.
Odpowiedzialność zarządu
Organy zarządzające muszą:
- Zatwierdzać środki zarządzania ryzykiem cyberbezpieczeństwa
- Nadzorować wdrażanie środków bezpieczeństwa
- Być osobiście odpowiedzialne za nieprzestrzeganie przepisów
- Przejść szkolenia z zakresu cyberbezpieczeństwa
Sankcje
- Podmioty kluczowe: Do 10 milionów euro lub 2% światowego obrotu
- Podmioty ważne: Do 7 milionów euro lub 1,4% światowego obrotu[5]
Państwa członkowskie mogą nałożyć dodatkowe sankcje, w tym tymczasowe zakazy pełnienia funkcji zarządczych.
Obowiązki deweloperów i dostawców usług ICT
Jeśli świadczysz usługi lub produkty ICT:
- Dostawcy usług zarządzanych: Bezpośrednio w zakresie jako podmioty kluczowe
- Dostawcy chmury: Bezpośrednio w zakresie jako podmioty kluczowe
- Deweloperzy oprogramowania: Obowiązki w łańcuchu dostaw wobec podmiotów-klientów
- Dostawcy rozwiązań bezpieczeństwa: Mogą być wyznaczeni jako podmioty ważne