Przez lata przepisy o cyberbezpieczeństwie dotyczyły głównie infrastruktury krytycznej: energetyki, banków, szpitali. Dyrektywa NIS2 znacząco poszerza ten krąg i wciąga do niego wiele firm, które nigdy nie myślały o sobie jako o podmiocie regulowanym. Co ważne, obowiązki spływają też w dół łańcucha dostaw, więc dotkną również dostawców takich podmiotów.

Czym jest NIS2

NIS2 to unijna dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa, zastępująca wcześniejszą dyrektywę NIS. Dyrektywa sama w sobie nie obowiązuje firm bezpośrednio, działa przez przepisy krajowe, w Polsce przez ustawę o krajowym systemie cyberbezpieczeństwa i jej nowelizację. Dla firmy oznacza to jedno: obowiązki wynikają z ustawy krajowej, a dyrektywa wyznacza ich zakres i poziom minimalny.

Kogo obejmuje

Zakres wyznaczają dwa kryteria naraz: sektor działalności oraz wielkość firmy. Sektory obejmują między innymi energię, transport, bankowość, zdrowie, wodę, infrastrukturę cyfrową, administrację publiczną, a w grupie ważnych także gospodarkę odpadami, produkcję, żywność i usługi pocztowe. Co do wielkości, reguła kieruje przepisy zasadniczo do podmiotów średnich i większych, choć są wyjątki, w których wielkość nie ma znaczenia.

Praktyczny wniosek dla małej firmy jest taki: nawet jeśli nie podlegasz wprost, możesz odczuć NIS2 przez kontrahenta. Podmioty objęte przepisami muszą zarządzać ryzykiem w łańcuchu dostaw, więc zaczną wymagać od dostawców deklaracji, ankiet bezpieczeństwa i konkretnych zabezpieczeń. To już się dzieje w przetargach.

Co konkretnie trzeba mieć

Katalog środków zarządzania ryzykiem sprowadza się do rzeczy, które i tak są rozsądne:

• analiza ryzyka i polityka bezpieczeństwa informacji, spisana, nie w głowie prezesa,
• obsługa incydentów, czyli kto co robi, gdy coś się stanie,
• ciągłość działania i kopie zapasowe, w tym testy odtwarzania, o czym piszemy w tekście Backup 3-2-1 w małej firmie,
• bezpieczeństwo łańcucha dostaw, w tym ocena dostawców usług chmurowych,
• kontrola dostępu i zarządzanie uprawnieniami, opisane w poradniku Uprawnienia do plików w firmie,
• uwierzytelnianie wieloskładnikowe, czyli 2FA, wymienione wprost,
• kryptografia i szyfrowanie, opisane w tekście Szyfrowanie plików w chmurze,
• szkolenia z cyberhigieny dla pracowników i kierownictwa.

Zgłaszanie incydentów

NIS2 wprowadza etapowe raportowanie poważnych incydentów: najpierw wczesne ostrzeżenie w ciągu doby, potem właściwe zgłoszenie w ciągu 72 godzin, a na końcu raport końcowy w ciągu miesiąca. Dla firmy oznacza to konieczność posiadania procedury i osoby odpowiedzialnej, bo w praktyce pierwsze godziny incydentu to chaos, a zegar tyka od momentu wykrycia.

Odpowiedzialność zarządu

To zmiana, która robi największe wrażenie na kierownictwie. Za zatwierdzenie i wdrożenie środków zarządzania ryzykiem odpowiadają organy zarządzające, a przepisy przewidują ich odpowiedzialność oraz obowiązek odbycia szkoleń. Cyberbezpieczeństwo przestaje być tematem wyłącznie działu IT.

Co zrobić już teraz, niezależnie od statusu

1. Ustal, czy Twój sektor i wielkość firmy mieszczą się w zakresie, oraz czy Twoi klienci podlegają przepisom, bo wtedy wymagania spłyną na Ciebie umową.
2. Spisz, gdzie leżą dane firmy i kto ma do nich dostęp. Zaskakująco wiele firm nie potrafi tego wymienić z pamięci.
3. Włącz 2FA i uporządkuj uprawnienia. To dwa najtańsze punkty z całej listy.
4. Sprawdź kopie zapasowe przez faktyczne odtworzenie pliku, a nie przez sprawdzenie, czy zadanie się wykonało.
5. Zbierz dokumentację od dostawców chmury: gdzie są dane, jakie mają certyfikaty, jak zgłaszają incydenty.

Jak to działa w eDysko

eDysko nie zwalnia z obowiązków, ale pokrywa kilka pozycji z listy technicznej: szyfrowanie danych, kontrola dostępu per użytkownik, dwuskładnikowe logowanie, historia wersji, kosz z retencją i redundancja rozproszona jako element ciągłości działania. Dane leżą w infrastrukturze w Unii Europejskiej, a do umowy dołączamy zapisy o powierzeniu przetwarzania. Zobacz plany albo przetestuj 14 dni za darmo.

Najczęstsze pytania

Mam mikrofirmę. Czy NIS2 mnie dotyczy?

Zasadniczo przepisy kierowane są do podmiotów średnich i większych w wskazanych sektorach, z wyjątkami, w których wielkość nie chroni. Najczęstszą drogą, którą NIS2 dociera do mikrofirmy, jest umowa z większym klientem, który przenosi na dostawców własne wymagania bezpieczeństwa.

Jakie są kary?

Dyrektywa przewiduje dotkliwe kary administracyjne, liczone jako określony procent rocznego obrotu albo kwota maksymalna, w zależności od tego, czy podmiot jest kluczowy czy ważny. Szczegóły i tryb nakładania określa prawo krajowe.

Czy to nie to samo co RODO?

Nie. RODO chroni dane osobowe, NIS2 chroni ciągłość i bezpieczeństwo usług. Zakresy się przecinają, bo oba wymagają zabezpieczeń technicznych, ale obowiązki raportowe i adresaci są inne. Jedno nie zastępuje drugiego.