NIS2 - sprawdź nowe wymagania dla firm

NIS2 - Dyrektywa Parlamentu Europejskiego i Rady UE

Dyrektywa NIS, czyli Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii, była pierwszym europejskim aktem prawnym w zakresie cyberbezpieczeństwa. Jej głównym celem było zapewnienie wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych w całej Unii Europejskiej.

Zakres dyrektywy obejmował zarówno operatorów usług kluczowych, jak i dostawców usług cyfrowych, wymagając od nich wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz zgłaszania poważnych incydentów bezpieczeństwa komputerowego.

Jako kamień milowy w zakresie zarządzania ryzykiem w cyberbezpieczeństwie, dyrektywa ta ustanowiła nowe standardy dla operatorów usług kluczowych oraz dostawców usług cyfrowych, wymagając od nich implementacji adekwatnych środków technicznych i organizacyjnych, aby zapewnić wysoki poziom bezpieczeństwa swoich sieci.

NIS2 - co to jest? Nowe przepisy dla państw członkowskich UE.

W 2022 r. rozwój technologii i ewoluujące zagrożenia cybernetyczne skłoniły Unię do aktualizacji przepisów.

Przepisy dotyczące cyberbezpieczeństwa wprowadzone dyrektywą NIS2 (pełna nazwa: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148) wprowadziły nowe zadania dla państw członkowskich Unii Europejskiej. Rozszerzyły zakres podmiotów objętych obowiązkami w zakresie cyberbezpieczeństwa oraz zdefiniowały na nowo zadania organów Unii Europejskiej w tym obszarze.

Dyrektywa NIS2 jest obecne implementowana do porządku prawnego w państwach członkowskich. Poszczególne państwa miały na to czas maksymalnie do 17 października 2024 r., ale ten termin został już przekroczony przez Polskę. Aktem polskiego prawa, który ma dostosować nasze przepisy do unijnej dyrektywy NIS2 będzie nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa. Ciągle trwają prace nad dokumentem, który ma wejść w życie w 2025. r.

Dyrektywa NIS2 – co nowego?

NIS2, będąca aktualizacją i rozszerzeniem oryginalnej dyrektywy NIS, została wprowadzona przez Parlament Europejski i Radę UE w celu dalszego wzmacniania cyberbezpieczeństwa w całej Unii Europejskiej. Nowa dyrektywa wprowadza szereg nowych wymogów i rozszerzeń, mających na celu zapewnienie wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii.

Jednym z kluczowych aspektów dyrektywy NIS2 jest rozszerzenie zakresu jej stosowania. Obejmuje ona teraz większą liczbę „podmiotów kluczowych i ważnych”, w tym średnie przedsiębiorstwa działające w sektorach krytycznych, takich jak infrastruktura cyfrowa, usługi pocztowe, gospodarowanie odpadami, a także usługi rejestracji nazw domen i dostawców usług DNS.

Według NIS2 za podmioty kluczowe są uznawane podmioty z następujących sektorów:

• energetyka
• transport
• bankowość
• infrastruktura rynków finansowych
• zdrowie
• woda pitna
• ścieki
• infrastruktura cyfrowa
• zarządzanie usługami ICT
• administracja publiczna

 Do podmiotów ważnych zaliczają się:

• usługi pocztowe i kurierskie
• zarządzanie odpadami
• produkcja (w tym wyroby medyczne, produkty komputerowe, elektroniczne i optyczne, sprzęt elektryczny, maszyny i wyposażenie, pojazdy samochodowe, przyczepy i naczepy, oraz inny sprzęt transportowy)
• produkcja i dystrybucja chemikaliów
• produkcja, przetwarzanie i dystrybucja żywności
• dostawcy usług cyfrowych.

Dyrektywa NIS2. Kluczowe branże dotknięte zmianą prawa. Dowiedz się więcej

Obowiązki podmiotów kluczowych i podmiotów ważnych

Dyrektywa NIS2 wprowadza jednakowe obowiązki dla dwóch głównych grup: podmiotów kluczowych i ważnych. Dotychczas obowiązki operatorów usług kluczowych oraz dostawców usług cyfrowych różniły się między sobą. Ww. podmioty będą musiały wprowadzić odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w odniesieniu do zarządzania ryzykiem.

Dyrektywa zwiększa również wymogi w zakresie zarządzania ryzykiem i zgłaszania incydentów bezpieczeństwa komputerowego. Podmioty te są zobowiązane do przeprowadzania ukierunkowanych audytów bezpieczeństwa, wdrażania środków zarządzania ryzykiem, a także szybkiego i skutecznego zgłaszania incydentów do właściwych organów nadzorczych.

Ponadto, NIS2 nakłada na państwa członkowskie obowiązek zaktualizowania wykazu sektorów i podmiotów kluczowych, co umożliwia lepsze dostosowanie przepisów do zmieniających się realiów i zagrożeń w cyberprzestrzeni. Zmiany te mają na celu nie tylko ochronę infrastruktury krytycznej, ale także zapewnienie bezpieczeństwa publicznego poprzez bardziej efektywne egzekwowanie przepisów i zarządzanie ryzykiem w obszarze cyberbezpieczeństwa.

Dyrektywa NIS2 reprezentuje ważny krok w kierunku wzmocnienia cyberbezpieczeństwa w Unii Europejskiej, dostosowując przepisy do szybko rozwijającego się i ewoluującego świata cyfrowego.

Jak legalnie przetwarzać dane osobowe? Rozwiewamy wątpliwości

Środki zarządzania ryzykiem w cyberbezpieczeństwie

Według przepisów dyrektywy NIS2 państwa członkowskie mają zapewnić, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź minimalizowania takiego wpływu.

Oceniając proporcjonalność tych środków, uwzględnia się stopień narażenia podmiotu na ryzyko, wielkość podmiotu i prawdopodobieństwo wystąpienia incydentów oraz ich dotkliwość, w tym ich skutki społeczne i gospodarcze.

Wymienione środki bazują na podejściu uwzględniającym wszystkie zagrożenia i mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami. Obejmują co najmniej następujące elementy:

• politykę analizy ryzyka i bezpieczeństwa systemów informatycznych
• obsługę incydentu
• ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe
• bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami
• bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie
• polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie
• podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa
• polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania
• bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami
• w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.

Analiza LexDigital: Standardowe klauzule umowne (SCC), a umowa powierzenia przetwarzania danych osobowych.

Wdrożenie ISO 27001 - skuteczna recepta na zgodność z NIS2

Norma ISO/IEC 27001:2022 (skrótowo: ISO 27001) to międzynarodowa norma standaryzująca systemy zarządzania bezpieczeństwem informacji (SZBI). Za pomocą tego narzędzia organizacja może zapewnić sobie kompleksowość ochrony informacji, jej rozliczalność oraz przekonanie, że owa ochrona jest adekwatna do zmieniającej się rzeczywistości. ISO 27001 jest też często wymagane przez partnerów biznesowych, którzy oczekują od kontrahentów gwarancji w zakresie cyberbezpieczeństwa.

Kluczowymi elementami zarówno ISO 27001, jak i NIS2 jest podejście do zarządzania ryzykiem. ISO 27001 pozwala na wprowadzenie uporządkowanego podejścia do zarządzania bezpieczeństwem. Wdrażanie odpowiednich mechanizmów ochronnych stanowi solidny fundament dla skutecznego zabezpieczania informacji, co pokrywa się z wymogami NIS2.

Reagowanie na incydenty, będące integralnym elementem normy ISO 27001, jest także nieodzowne dla spełnienia obowiązków raportowania wynikających z NIS2. Dobrze zaprojektowane procedury umożliwiają skuteczne zarządzanie incydentami oraz komunikację z odpowiednimi organami, co jest istotne dla obu tych regulacji.

Procesy, takie jak identyfikacja, analiza i ocena ryzyka, zaprojektowane w ramach tego standardu, mogą być z powodzeniem wykorzystywane do realizacji wymagań dyrektywy NIS2, co ułatwia organizacjom dostosowanie się do obu regulacji.

Obowiązki podmiotów przetwarzających i podmiotów dalszego powierzenia - omówienie opinii EROD

ISO 27001 - sposób na uniknięcie kar?

Wprowadzenie dyrektywy NIS2 wiąże się z surowymi konsekwencjami finansowymi dla tych, którzy nie spełnią jej wymagań. Podmioty kluczowe, które nie przestrzegają zasad zarządzania ryzykiem lub nie zgłaszają incydentów, mogą zostać ukarane wysokimi karami administracyjnymi wynoszącymi nawet 10 mln euro lub 2% ich rocznego obrotu, przy czym zastosowanie ma kwota wyższa. Z kolei podmioty ważne mogą podlegać grzywnom do 7 mln euro lub 1,4% ich rocznego obrotu.

Dlatego wdrożenie ISO 27001 może zredukować ryzyko i niepotrzebny stres związany z karami administracyjnymi.

Standard zawiera szczegółowe wytyczne dotyczące zabezpieczeń i strategii ochrony, które są zgodne z założeniami NIS2 w obszarze bezpieczeństwa infrastruktury informatycznej i sieciowej. Wdrożenie tych praktyk umożliwia organizacjom spełnienie wymogów dyrektywy, szczególnie w odniesieniu do ochrony kluczowych systemów i usług cyfrowych.

Ponadto, obie regulacje – ISO/IEC 27001 i NIS2 – kładą nacisk na prowadzenie rzetelnej dokumentacji oraz raportowanie. Zastosowanie standardu ISO/IEC 27001 pozwala organizacjom na efektywne dokumentowanie działań w obszarze bezpieczeństwa informacji, co w pełni odpowiada wymaganiom dyrektywy NIS2 w tym zakresie.

Dane osobowe: Kompletny przewodnik po RODO na 2025 rok

Wdrożenie wymagań ISO 27001, 22301 z LexDigital sp. z o. o.

Zastanawiasz się, czy Twoja organizacja jest gotowa na wdrożenie systemu zarządzania bezpieczeństwem informacji wg ISO 27001 by spełnić wymagania NIS2? Może rozpocząłeś już działania związane z zapewnieniem bezpieczeństwa informacji, ale potrzebujesz wsparcia w zakresie spełnienia wymagań normy ISO 27001?

Ze względu na dość skomplikowany proces wdrażania systemów ISO w firmie, warto rozważyć pomoc podmiotu wyspecjalizowanego w zakresie systemu zarządzania bezpieczeństwem informacji.

W LexDigital zajmiemy się profesjonalnym przeprowadzeniem Twojej firmy przez cały proces wdrożenia wymagań systemowych oraz przygotowaniem do ewentualnej certyfikacji wdrożonego systemu. W miarę potrzeby zapewnimy także bezpośrednią asystę podczas audytu certyfikującego. Działamy w oparciu o ustalone wskaźniki raportowania postępu naszych prac, dzięki harmonogramowi opracowanemu we wstępnej fazie wykonania projektu.

Do każdego klienta podchodzimy indywidualnie, a działania realizowane w ramach systemów zarządzania łączymy z optymalizacją procesów Twojej firmy. Budowany przez nas system zarządzania będzie dopasowany do specyfiki Twojej działalności.

Potrzebujesz pomocy z wdrożeniem ISO w swojej firmie? Nasi eksperci pomogą Ci przejść przez cały skomplikowany proces. Napisz maila pod adres: biuro@lexdigital.pl lub zadzwoń: +48 500 214 942.

Zobacz, jak wdrożyliśmy ISO 27001 w Trafford IT! Dowiedz się więcej

NIS2. Wdrożenie ISO 27001 - ile to kosztuje?

Koszt naszej usługi jest zawsze zależny od:

• wielkości organizacji i skali jej działalności
• standardu ISO, który został wybrany przez Klienta
• poziomu skomplikowania projektu i procesów wewnętrznych
• zaangażowania czasowego naszego zespołu
• dostępności i zaangażowania Zespołu Klienta.

Poznaj naszą pełną ofertę dotyczącą wdrożeń ISO