Przejście z dyrektywy NIS1 na NIS2 to nie tylko kosmetyczna zmiana numeracji, ale prawdziwa rewolucja w podejściu do cyberbezpieczeństwa. Nowe przepisy znacząco rozszerzają listę sektorów objętych regulacjami i nakładają na firmy konkretne, surowe obowiązki. Jeśli Twoja organizacja dotychczas funkcjonowała w reżimie NIS1 lub właśnie wpada w zakres NIS2, musisz przygotować się na konkretną listę kroków, które pozwolą dostosować stare procedury do nowych, unijnych standardów.

Krok 1: Ponowna klasyfikacja i określenie statusu podmiotu

Pierwszym i najważniejszym krokiem jest ustalenie, czy Twoja firma jest „podmiotem kluczowym” (essential), czy „podmiotem ważnym” (important). W NIS1 podział był nieco bardziej rozmyty, teraz decydują konkretne kryteria wielkościowe (liczba pracowników, obrót) oraz sektor, w którym działasz.

Warto wiedzieć, że NIS2 obejmuje teraz sektory, które wcześniej były poza radarem, takie jak produkcja żywności, gospodarka odpadami, usługi pocztowe czy produkcja wyrobów medycznych. Jeśli Twoja firma zatrudnia co najmniej 50 pracowników lub osiąga roczny obrót powyżej 10 mln euro i działa w jednym z wymienionych sektorów, gratulacje – musisz wdrożyć NIS2.

Krok 2: Analiza luk (gap analysis)

Zanim zaczniesz pisać nowe procedury, sprawdź, co już masz. NIS1 kładł nacisk na bezpieczeństwo sieci i systemów informatycznych, ale NIS2 idzie znacznie dalej. Musisz porównać obecne zabezpieczenia z listą dziesięciu kluczowych środków zarządzania ryzykiem wymienionych w art. 21 dyrektywy.

W ramach analizy luk zwróć uwagę na:

• Polityki analizy ryzyka i bezpieczeństwa systemów informatycznych.
• Procedury obsługi incydentów.
• Plany ciągłości działania (BCP) i zarządzanie kryzysowe.
• Bezpieczeństwo łańcucha dostaw.

Krok 3: Zaangażowanie zarządu i odpowiedzialność osobista

To jeden z najbardziej „gorących” punktów NIS2. W przeciwieństwie do NIS1, nowa dyrektywa nakłada bezpośrednią odpowiedzialność na kadrę kierowniczą. Członkowie zarządu muszą nie tylko zatwierdzać środki zarządzania ryzykiem, ale także przechodzić regularne szkolenia z zakresu cyberbezpieczeństwa.

W ramach aktualizacji procedur należy wprowadzić zapisy dotyczące odpowiedzialności organów zarządzających oraz harmonogram ich obowiązkowych szkoleń. Ignorowanie tego punktu może skutkować bardzo wysokimi karami finansowymi, a nawet czasowym zakazem pełnienia funkcji kierowniczych przez osoby odpowiedzialne.

Krok 4: Aktualizacja procedur zgłaszania incydentów

NIS2 wprowadza bardzo rygorystyczne ramy czasowe na raportowanie incydentów, których nie było w NIS1. Twoje dotychczasowe procedury muszą zostać zaktualizowane o model „etapowy”:

1. Wczesne ostrzeżenie: Masz tylko 24 godziny od wykrycia incydentu na wysłanie pierwszego sygnału do organu nadzorczego (CSIRT).
2. Zgłoszenie incydentu: Pełne zgłoszenie z oceną sytuacji musi nastąpić w ciągu 72 godzin.
3. Raport końcowy: Miesiąc później musisz przedstawić szczegółową analizę tego, co się stało i jak zareagowano.

Stare procedury typu „zgłosimy, jak będziemy wiedzieć wszystko” muszą odejść do lamusa. Liczy się szybkość i transparentność.

Krok 5: Audyt i zabezpieczenie łańcucha dostaw

W NIS1 skupialiśmy się głównie na własnym podwórku. NIS2 wymaga, abyś spojrzał szerzej – na swoich dostawców i partnerów biznesowych. Musisz ocenić poziom bezpieczeństwa każdego podmiotu, który ma dostęp do Twoich danych lub systemów.

W praktyce oznacza to konieczność:

• Wprowadzenia klauzul dotyczących cyberbezpieczeństwa do umów z dostawcami.
• Przeprowadzania regularnych audytów u kluczowych kontrahentów.
• Weryfikacji, jak Twoi dostawcy zarządzają podatnościami w swoim oprogramowaniu.

Krok 6: Wdrożenie zaawansowanych środków technicznych

Jeśli Twoje dotychczasowe procedury opierały się na podstawowym antywirusie i firewallu, czas na aktualizację. NIS2 kładzie duży nacisk na:

• Kryptografię i szyfrowanie: Muszą stać się standardem, a nie opcją.
• Uwierzytelnianie wieloskładnikowe (MFA): Tam, gdzie to możliwe, musi być wymuszane systemowo.
• Bezpieczeństwo zasobów ludzkich: Procedury kontroli dostępu, polityki „czystego biurka” i regularne testy socjotechniczne dla pracowników.

Ciekawostka: Dlaczego NIS2 jest tak surowy?

Wiele osób zastanawia się, skąd ten nagły skok wymagań. Powód jest prosty – cyberataki na infrastrukturę krytyczną (np. rurociągi, szpitale czy sieci energetyczne) stały się elementem współczesnych konfliktów hybrydowych. Unia Europejska chce stworzyć „cybernetyczną tarczę”, w której najsłabsze ogniwo (np. mały dostawca usług IT dla dużej elektrowni) nie będzie już furtką dla hakerów.

Podsumowanie działań wdrożeniowych

Proces przejścia z NIS1 na NIS2 to maraton, a nie sprint. Wymaga on ścisłej współpracy działów IT, prawnych oraz zarządu. Kluczem do sukcesu jest odejście od traktowania cyberbezpieczeństwa jako kosztu, a zaczęcie postrzegania go jako fundamentu stabilności biznesowej. Pamiętaj, że państwa członkowskie mają czas na implementację dyrektywy do krajowych porządków prawnych (w Polsce będzie to nowelizacja Krajowego Systemu Cyberbezpieczeństwa), ale przygotowania warto zacząć już teraz, by uniknąć chaosu w ostatniej chwili.