Cyberbezpieczeństwo w Unii Europejskiej przeszło w ostatnich latach ogromną ewolucję. Kiedy w 2016 roku wprowadzano dyrektywę NIS (Network and Information Systems), świat cyfrowy wyglądał zupełnie inaczej. Dziś, w dobie coraz bardziej wyrafinowanych cyberataków i postępującej cyfryzacji, stara dyrektywa przestała wystarczać. Tak narodziła się dyrektywa NIS2, która nie jest tylko drobną aktualizacją, ale prawdziwą rewolucją w podejściu do ochrony danych i infrastruktury krytycznej.

Rozszerzenie zakresu, czyli kto teraz musi uważać

Jedną z najbardziej rzucających się w oczy różnic między NIS1 a NIS2 jest liczba podmiotów objętych nowymi przepisami. Dyrektywa NIS1 skupiała się głównie na tzw. Operatorach Usług Kluczowych (OUK), takich jak banki, dostawcy energii czy szpitale, oraz na Dostawcach Usług Cyfrowych.

NIS2 idzie o wiele dalej. Nowe przepisy dzielą podmioty na dwie kategorie: kluczowe i ważne. Do listy sektorów dopisano m.in.:

• produkcję żywności,
• gospodarkę odpadami,
• usługi pocztowe i kurierskie,
• produkcję wyrobów medycznych, chemikaliów i maszyn,
• administrację publiczną (na poziomie centralnym i regionalnym),
• sektor kosmiczny.

Co istotne, NIS2 eliminuje dowolność państw członkowskich w wyznaczaniu konkretnych firm. Teraz o tym, czy podlegasz pod dyrektywę, decyduje przede wszystkim wielkość przedsiębiorstwa (zasada progu wielkości). Jeśli firma zatrudnia co najmniej 50 pracowników lub osiąga roczny obrót powyżej 10 milionów euro i działa w wymienionym sektorze, automatycznie wpada w ramy NIS2.

Odpowiedzialność zarządu – koniec z „nie wiedziałem”

W czasach NIS1 kwestie cyberbezpieczeństwa często spychano na barki działów IT. NIS2 kładzie kres takiemu podejściu. Nowa dyrektywa wprowadza bezpośrednią odpowiedzialność osobistą kadry kierowniczej za naruszenia przepisów.

Oznacza to, że zarządy firm muszą nie tylko zatwierdzać środki zarządzania ryzykiem, ale także przechodzić regularne szkolenia z zakresu cyberbezpieczeństwa. Jeśli dojdzie do poważnego incydentu, a okaże się, że kierownictwo zaniedbało swoje obowiązki, mogą zostać nałożone na nich dotkliwe kary finansowe, a w skrajnych przypadkach nawet tymczasowy zakaz pełnienia funkcji kierowniczych.

Bezpieczeństwo łańcucha dostaw

To absolutna nowość i jedna z najważniejszych zmian. NIS2 zauważa, że hakerzy często nie atakują bezpośrednio dużej korporacji, lecz jej mniejszego, gorzej zabezpieczonego dostawcę. Dlatego nowa dyrektywa nakłada na firmy obowiązek dbania o cyberbezpieczeństwo w całym łańcuchu dostaw.

Przedsiębiorstwa będą musiały weryfikować swoich partnerów biznesowych i dostawców usług pod kątem ich standardów bezpieczeństwa. Jeśli Twój dostawca oprogramowania lub usług chmurowych nie spełnia wymogów, Ty również możesz mieć problem z organami nadzorczymi.

Zaostrzenie raportowania incydentów

W NIS1 zasady zgłaszania incydentów były dość ogólne, co prowadziło do opóźnień. NIS2 wprowadza rygorystyczny, wieloetapowy proces raportowania:

1. Wczesne ostrzeżenie: W ciągu 24 godzin od wykrycia incydentu.
2. Zgłoszenie incydentu: Pełna ocena w ciągu 72 godzin.
3. Raport końcowy: Miesiąc po wystąpieniu zdarzenia.

Celem jest szybka wymiana informacji między państwami członkowskimi, aby zapobiec rozprzestrzenianiu się ataków na inne kraje lub sektory.

Kary finansowe, które bolą

Jeśli NIS1 był „prośbą” o dbanie o bezpieczeństwo, to NIS2 jest „nakazem” popartym potężnymi sankcjami. Nowe kary są wzorowane na tych znanych z RODO. Za nieprzestrzeganie przepisów grożą:

• Dla podmiotów kluczowych: do 10 mln euro lub 2% łącznego rocznego światowego obrotu.
• Dla podmiotów ważnych: do 7 mln euro lub 1,4% łącznego rocznego światowego obrotu.

Ciekawostka: Dlaczego NIS2 jest tak ważna dla gospodarki?

Badania wykazują, że średni koszt jednego ataku typu ransomware dla średniej wielkości firmy może przekroczyć jej roczny zysk. NIS2 ma za zadanie nie tylko chronić dane, ale przede wszystkim zapewnić ciągłość działania gospodarki. W dobie „just-in-time”, gdzie każda godzina przestoju w fabryce lub porcie generuje milionowe straty, odporność cyfrowa staje się fundamentem stabilności ekonomicznej.

Podsumowanie kluczowych różnic

Wprowadzenie NIS2 to jasny sygnał od Unii Europejskiej: cyberbezpieczeństwo to nie jest już opcja, to konieczność. Firmy muszą przestać traktować IT jako koszt, a zacząć postrzegać je jako kluczowy element zarządzania ryzykiem biznesowym. Czas na dostosowanie się do nowych przepisów mija szybko, a proces wdrażania odpowiednich procedur w dużych organizacjach może trwać wiele miesięcy.