W obliczu rosnących zagrożeń cybernetycznych Unia Europejska podjęła decyzję o wzmocnieniu przepisów dotyczących cyberbezpieczeństwa, wprowadzając dyrektywę NIS2. Jest to odpowiedź na potrzebę zwiększenia odporności cyfrowej państw członkowskich i zapewnienia wysokiego poziomu ochrony sieci oraz systemów informatycznych w kluczowych sektorach gospodarki i usługach cyfrowych. W porównaniu do NIS1 z 2016 r., nowa ustawa znacząco poszerza zakres podmiotów objętych regulacją. Jakie są cele dyrektywy, jej zakres, zasięg, wymagania, terminy, odpowiedzialności oraz w jaki sposób LOG Plus może pomóc we wdrożeniu wymogów ustawy? Zapraszamy do zapoznania się z artykułem, w którym staramy się odpowiedzieć, na wszelkie kluczowe pytania dotyczące nowej ustawy.

Cel dyrektywy NIS2

Dyrektywa NIS2 intensyfikuje działania na rzecz cyberbezpieczeństwa w Uni Europejskiej, rozszerzając wymogi zarządzania ryzykiem i zgłaszania incydentów na różne nowe sektory, od energetyki do bankowości, oraz dostawców usług cyfrowych. Ma to na celu podniesienie ogólnego poziomu ochrony wobec rosnących zagrożeń cybernetycznych, zapewniając jednocześnie jednolite ramy działania dla wszystkich państw członkowskich.

Zakres i zasięg dyrektywy NIS2

Dyrektywa NIS2 znacząco poszerza obszar cyberbezpieczeństwa w Unii Europejskiej, wykraczając poza ochronę krytycznej infrastruktury i obejmując rozległe spektrum sektorów. Ma na celu wzmacnianie ochrony przed cyberzagrożeniami w kluczowych obszarach gospodarki oraz w nowo rozwijających się technologiach cyfrowych, stanowiąc fundament dla bezpiecznej nowoczesnej gospodarki i społeczeństwa.

Sektory objęte dyrektywą NIS2 zostały podzielone na dwie główne kategorie: podmioty kluczowe i podmioty ważne, zgodnie z załącznikami dyrektywy:

Podmioty kluczowe wg NIS2:

• Energetyka
• Transport
• Bankowość
• Infrastruktura rynków finansowych
• Opieka zdrowotna
• Sektor wody pitnej
• Ścieki
• Infrastruktura cyfrowa
• Zarządzanie usługami ICT
• Administracja publiczna
• Przestrzeń kosmiczna

Podmioty ważne wg NIS2:

• Usługi pocztowe i kurierskie
• Gospodarowanie odpadami
• Produkcja, przetwarzanie i dystrybucja chemikaliów
• Produkcja, przetwarzanie i dystrybucja żywności
• Produkcja (w szerokim znaczeniu)
• Usługi cyfrowe
• Badania naukowe

Tym samym, dyrektywa NIS2 nakłada na szerokie grono podmiotów obowiązek wdrożenia zaawansowanych środków ochrony, podkreślając rolę zarządzania ryzykiem cybernetycznym i potrzebę ciągłego dostosowywania się do ewoluującego środowiska zagrożeń.

Wymagania dyrektywy NIS2

Dyrektywa NIS2 wprowadza dla organizacji szereg obowiązków mających na celu wzmocnienie cyberbezpieczeństwa. Wymaga od nich m.in, by:

• przeprowadzały regularne szkolenia dla kadry kierowniczej i pracowników,
• stosowały certyfikowane produkty i usługi ICT,
• oraz informowały odbiorców usług o poważnych incydentach i środkach zaradczych.

Podmioty muszą także zgłaszać poważne incydenty do właściwych organów, takich jak CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego), i stosować proporcjonalne środki zarządzania ryzykiem w cyberbezpieczeństwie. A to obejmuje np.:

• analizę ryzyka,
• bezpieczeństwo łańcucha dostaw,
• praktyki cyberhigieny,
• obsługę incydentów,
• bezpieczeństwo w procesie nabywania, rozwijania i utrzymywania systemów informatycznych,
• a także stosowanie kryptografii i w odpowiednich przypadkach - szyfrowania.

Wymienione sektory powinny również zastosować się do procedur zarządzania aktywami i kontroli dostępu, a także zapewnić ciągłość działania poprzez zarządzanie kopiami zapasowymi i planami przywracania systemów po awarii. Wdrożenie tych środków nie tylko pomoże w spełnieniu wymogów NIS2, ale również znacząco wzmocni odporność organizacji na cyberataki, minimalizując wpływ potencjalnych incydentów na działalność firm i ich klientów. Co istotne, w przypadku stwierdzenia niezgodności z wymaganiami organizacje zobowiązane są do bezzwłocznego wdrożenia środków naprawczych, co podkreśla znaczenie odpowiedzialnego podejścia do zarządzania cyberbezpieczeństwem​.

Terminy wdrożenia NIS2

Aby być zgodnym z dyrektywą, firmy muszą mieć świadomość kluczowych dat i terminów wdrożenia wymaganych środków. Chociaż konkretny harmonogram może się różnić w zależności od państwa członkowskiego, istotne jest, aby każda organizacja monitorowała ogłoszenia krajowych organów nadzorczych dotyczące ostatecznych terminów na wdrożenie określonych aspektów dyrektywy. Fazy te mogą obejmować aktualizację polityk bezpieczeństwa, wdrożenie procedur zarządzania incydentami, przeprowadzanie audytów oraz szkolenia personelu.

W Polsce, terminy dotyczące wdrożenia dyrektywy NIS2 są już wyraźnie określone. Polska zobowiązana jest wdrożyć przepisy dyrektywy do swojego krajowego porządku prawnego do 17 października 2024 roku. Oznacza to, że do tego czasu firmy i organizacje muszą dostosować swoje systemy, procedury i polityki bezpieczeństwa, aby spełnić nowe wymogi dotyczące cyberbezpieczeństwa określone w dyrektywie. W tym czasie ważne jest także, aby organizacje przeprowadziły dokładną analizę swoich obecnych mechanizmów obronnych i procesów zarządzania ryzykiem, a także zaktualizowały swoje procedury zgłaszania incydentów zgodnie z nowymi regulacjami. Wszelkie szczegóły dotyczące obowiązujących terminów można znaleźć na stronie rządowej.

Odpowiedzialności i kary

Niedostosowanie się do dyrektywy wiąże się z poważnymi konsekwencjami dla podmiotów, które nie wdrożą wymaganych środków bezpieczeństwa. Organ zarządczy podmiotów kluczowych może zostać obarczony karą do 10 milionów EUR lub 2% łącznego światowego obrotu z poprzedniego roku, podczas gdy dla podmiotów ważnych kary mogą wynieść do 7 milionów EUR lub 1,4% łącznego obrotu. Wybór kwoty kar opiera się na tym, która z nich jest wyższa. Wprowadzenie takich sankcji finansowych podkreśla znaczenie wdrożenia skutecznych i proporcjonalnych środków zarządzania ryzykiem w cyberbezpieczeństwie, zapewniających ochronę sieci oraz systemów informatycznych wykorzystywanych do prowadzenia działalności lub świadczenia usług.

Jakie kroki powinna teraz podjąć Twoja firma?

W związku z wprowadzeniem dyrektywy NIS2 Twoja firma powinna podjąć konkretne kroki, aby zapewnić zgodność z nowymi wymogami. Pierwszym krokiem jest sprawdzenie, czy dyrektywa ma zastosowanie do Twojej organizacji i w jakim stopniu obecne praktyki już spełniają jej wymagania. Następnie, ważne jest, aby śledzić zmiany legislacyjne, zwłaszcza te dotyczące ustawy o krajowym systemie cyberbezpieczeństwa, oraz rozpocząć analizę ryzyka w celu identyfikacji i wdrożenia brakujących elementów. Nie czekaj na ostatnią chwilę; przygotowania do spełnienia wymogów NIS2 powinny rozpocząć się jak najszybciej. Działania te są niezbędne nie tylko ze względu na uniknięcie kar za niezgodność, ale przede wszystkim dla zapewnienia ciągłości działania Twojej organizacji.

Jak LOG Plus wspiera zgodność z NIS2

LOG Plus, zaawansowane narzędzie do zarządzania zasobami IT, odgrywa kluczową rolę w strategii cyberbezpieczeństwa, wspierając organizacje w identyfikacji, zarządzaniu i ochronie aktywów IT. Dzięki możliwościom takim jak szczegółowa inwentaryzacja zasobów, zarządzanie licencjami, monitorowanie dostępu i bezpieczeństwa danych, LOG Plus jest nieocenionym wsparciem w spełnianiu wymogów dyrektywy, oferując rozwiązania ułatwiające przestrzeganie regulacji i minimalizację ryzyka cybernetycznego.

Przygotowanie do zgodności z NIS2 to kompleksowe zadanie wymagające zaangażowania na wielu poziomach organizacji. Wdrażając LOG Plus, organizacje mogą nie tylko spełnić wymogi dyrektywy, ale również podnieść ogólny poziom cyberbezpieczeństwa, zapewniając ciągłość działania krytycznych usług i ochronę przed coraz bardziej zaawansowanymi cyberzagrożeniami. W tym artykule rozwiewamy wszelkie obawy dotyczące wdrażania systemów IT.

PODSUMOWANIE:

• Dyrektywa NIS2 stanowi kluczową odpowiedź Unii Europejskiej na rosnące zagrożenia cybernetyczne, mając na celu zwiększenie odporności cyfrowej państw członkowskich poprzez wprowadzenie rozszerzonych wymogów dotyczących cyberbezpieczeństwa.
• Skierowana jest do szerokiego spektrum podmiotów, w tym krytycznej infrastruktury oraz dostawców usług cyfrowych, rozszerzając obowiązki dotyczące zarządzania ryzykiem i zgłaszania incydentów na nowe sektory, od energetyki po bankowość.
• Podmioty te są podzielone na kluczowe i ważne, obejmujące różnorodne branże, od energetyki i transportu, po usługi pocztowe i gospodarowanie odpadami.
• Dyrektywa nakłada na organizacje szereg obowiązków, takich jak przeprowadzanie regularnych szkoleń, stosowanie certyfikowanych produktów ICT, oraz informowanie odbiorców o poważnych incydentach.
• Terminy wdrożenia dyrektywy są wyraźnie określone, z koniecznością monitorowania lokalnych przepisów i dostosowywania się do nich.
• Niedostosowanie się do NIS2 wiąże się z ryzykiem nałożenia znaczących kar finansowych.