pl / en

Dyrektywa NIS2. Nowe wytyczne w zakresie cyberbezpieczeństwa – dyrektywa NIS2

Data publikacji:
Kategoria: Rozwiązania dla administracji Rozwiązania dla firm Rozwiązania dla uczelni
Network and Information Security 2 to nowelizacja dyrektywy NIS opisującej zagadnienia związane z cyberbezpieczeństwem. Choć drugie wydanie weszło już w życie, to każde państwo członkowskie ma czas do 17 października 2024 roku, aby wdrożyć regulację do krajowego porządku prawnego. Oznacza to, że do tej daty pojawi się polska ustawa, zaś od 18 października tego roku będzie obowiązywać nowy standard i strategia cyberbezpieczeństwa w Polsce.

Dyrektywa NIS2 to ważny krok w obszarze cyberbezpieczeństwa, które w ostatnich latach coraz bardziej zyskuje na znaczeniu wobec ewoluujących i wciąż pojawiających się nowych zagrożeń. To właśnie ze względu na nie została przygotowana, mając na celu wzmocnienie ochrony infrastruktury krytycznej, zapewnienie bezpieczeństwa danych i systemów informatycznych. Z założenia ma ujednolicać standardy bezpieczeństwa informatycznego, prowadząc do sprawniejszej reakcji wobec cyberzagrożeń.

Kogo dotyczy NIS2?

Dyrektywa wprost definiuje dwie grupy podmiotów, które mają znaczący wpływ na funkcjonowanie państwa. Są to podmioty kluczowe oraz ważne, zaś przynależność konkretnych podmiotów do grup została szczegółowo określona w dokumencie. W przypadku podmiotów kluczowych mówimy o tych z sektorów zdefiniowanych w Załączniku nr 1, które przekraczają pułap MŚP, a więc o organizacjach z obszarów:

  • energetyka,
  • transport,
  • bankowość,
  • infrastruktura rynków finansowych,
  • opieka zdrowotna,
  • woda pitna,
  • ścieki,
  • infrastruktura cyfrowa,
  • zarządzanie usługami ICTR (między przedsiębiorstwami),
  • podmioty administracji publicznej,
  • przestrzeń kosmiczna.

Ponadto za podmioty kluczowe uznawanie są również:

  • dostawcy usług zaufania i rejestrów nazw domen najwyższego poziomu,
  • dostawcy usług DNS,
  • dostawcy publicznych sieci łączności elektronicznej,
  • dostawcy publicznie dostępnych usług łączności elektronicznej przekraczających pułap MŚP,
  • dodmioty zdefiniowane jako krytyczne w dyrektywie o odporności podmiotów krytycznych (UE) 2022/2557.

Podmioty ważne to te, które zostały określone w Załączniku nr 1, jednak nie przekraczają pułapu MŚP. Lista jest również uzupełniona o sektory zdefiniowane w Załączniku nr 2, a w tym podmioty z branż:

  • usługi pocztowe i kurierskie,
  • gospodarowanie odpadami,
  • produkcja, wytwarzanie i dystrybucja chemikaliów,
  • produkcja, przetwarzanie i dystrybucja żywności,
  • produkcja:
    - wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro,
    - komputerów, wyrobów elektronicznych i optycznych,
    - urządzeń elektrycznych,
    - maszyn i urządzeń, gdzie indziej nieklasyfikowana,
    - pojazdów samochodowych, przyczep i naczep,
    - pozostałego sprzętu transportowego.
  • dostawcy usług cyfrowych,
  • badania naukowe.

Warto zwrócić uwagę na to, że w przypadku krajowej ustawy, grupa podmiotów podlegających nowym przepisom może zostać rozszerzona. Każde państwo członkowskie w terminie do 17 kwietnia 2025 r. ustanowi wykaz wszystkich podmiotów kluczowych i ważnych. Lista może być również aktualizowana maksymalnie co 2 lata.

Stwórz cyberbezpieczne miejsce pracy dla Twojego zespołu. Zbuduj kompleksowy system bezpieczeństwa IT w dobie rosnących zagrożeń świata wirtualnego. Zagwarantuj najwyższy poziom ochrony zasobów w warstwie fizycznej i programowej. Dowiedz się więcej o usłudze cyberbezpieczeństwa

Czego wymaga NIS2?

Dyrektywa wprowadza szereg zmian oraz obowiązków jakie zarówno państwa, jak i podmioty nią objęte muszą spełnić.
Kluczowym obowiązkiem członków UE jest utworzenie i przyjęcie krajowej strategii cyberbezpieczeństwa oraz powołanie organów (tzw. CSIRT), których zadaniem będzie zarządzanie systemem ochrony przestrzeni wirtualnej w kraju, komunikacja z odpowiednikami z innych państw oraz obsługa incydentów ujawnionych w podmiotach. Należy pamiętać, że powołane instytucje nie mają na celu jedynie nadzorować i karać, zaś ich nadrzędnym celem jest wsparcie organizacji w podnoszeniu swojego standardu ochrony, a także szczegółowa analiza zgłoszonych incydentów. Te mogą zgłaszać również podmioty, które nie podlegają pod NIS2, zaś potrzebują wsparcia w rozwiązaniu powstałych wskutek ataku problemów. W Polsce takie organy już powstały.

Każdy z podmiotów objętych dyrektywą musi zadbać o swój system bezpieczeństwa warstwy IT oraz OT, tak, aby zagwarantować infrastrukturze odpowiednie zabezpieczenia w obszarach wskazanych w dyrektywie, a w tym zapewniające co najmniej:

  • politykę analizy ryzyka i bezpieczeństwa systemów informatycznych,
  • obsługę incydentu,
  • ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej i zarządzanie kryzysowe,
  • bezpieczeństwo łańcucha dostaw w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem, a jego bezpośrednimi dostawcami lub usługodawcami,
  • bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie,
  • politykę i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie,
  • podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa,
  • politykę i procedury stosowania kryptografii i w stosownych przypadkach szyfrowania,
  • bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami.

Sprawdź, jak za pomocą nowoczesnych rozwiązań podnieść bezpieczeństwo IT i przenieść je na wyższy poziom oraz jakie narzędzia wybrać, aby spełnić wymagania NIS2.

Weź udział w konferencji dotyczącej dyrektywy NIS2
Zarejestruj się teraz!

Jak postępować według NIS2?

Właściwie skomponowane środowisko powinno zagwarantować ochronę przed cyberzagrożeniami, a tym samym pozwolić uniknąć incydentu. Gdyby jednak do takiego doszło, konieczna będzie właściwa jego obsługa. Oznacza to obowiązek zgłoszenia zdarzenia do właściwego organu w określonym ustawowo czasie, współpracę z nim i wspólne dążenie do minimalizacji negatywnych skutków. Każdy z podmiotów objętych przepisami będzie mógł również podlegać kontroli posiadanych zabezpieczeń. Szczegółowe zasady postępowania zostały określone w dyrektywie i będą również szczegółowo opisane w ustawie.

  • dla podmiotów kluczowych – 10 000 000 EUR lub co najmniej 2% łącznego rocznego światowego obrotu w poprzednim roku obrotowym,
  • dla podmiotów ważnych – 7 000 000 EUR lub 1,4% łącznego rocznego światowego obrotu w poprzednim roku obrotowym.

Ponadto, nieprzestrzeganie przepisów może prowadzić do zawieszenia uprawnień do prowadzenia działalności bądź nałożenie tymczasowego zakazu pełnienia funkcji zarządczych w podmiocie przez osobę fizyczną na stanowisku dyrektora generalnego lub przedstawiciela prawnego.

Podsumowanie

Nowelizacja dyrektywy sprawia, że organizacje, które są nią objęte powinny przeanalizować swoje środowisko oraz stosowane rozwiązania. Ustawodawca nie wskazuje wprost standardu wymaganych narzędzi, sygnalizuje jedynie, że powinny być one proporcjonalne do stopnia narażenia na ryzyko, jego wielkości i prawdopodobieństwa wystąpienia incydentu oraz jego dotkliwościć. Na podstawie przedstawionych wytycznych łatwo zbudować jednak pulę technologii, których wdrożenie znacząco uprości nie tylko zarządzanie bezpieczeństwem, ale również obsługę incydentów.

Powiązane wpisy

Powrót
Skontaktuj się z naszym specjalistą

Prosimy o zapoznanie się z Informacjami o przetwarzaniu danych osobowych przez OPTeam S.A., które dostępne są TUTAJ.

Poczta elektroniczna - wyrażam zgodę na otrzymywanie od OPTeam S.A. z siedzibą w Tajęcinie treści marketingowych dotyczących produktów oraz usług oferowanych przez OPTeam, za pośrednictwem poczty elektronicznej.
Kontakt telefoniczny - wyrażam zgodę na otrzymywanie od OPTeam S.A. z siedzibą w Tajęcinie treści marketingowych dotyczących produktów oraz usług oferowanych przez OPTeam, za pośrednictwem telefonu.
* - pola wymagane
Firma