Dyrektywa NIS2, czyli unijne przepisy mające na celu podniesienie poziomu cyberbezpieczeństwa w całej Europie, to temat, który spędza sen z powiek niejednemu menedżerowi IT i prawnikowi. Choć jej intencje są szczytne – ochrona infrastruktury krytycznej przed coraz bardziej wyrafinowanymi atakami – to sposób sformułowania przepisów budzi ogromne kontrowersje. Najczęstszym zarzutem jest właśnie ich enigmatyczność. Przedsiębiorcy i eksperci wskazują, że dokument operuje pojęciami tak ogólnymi, że bez konkretnych wytycznych krajowych ich interpretacja przypomina wróżenie z fusów.

Elastyczność czy brak konkretów?

Głównym powodem, dla którego NIS2 jest określana mianem enigmatycznej, jest stosowanie tzw. klauzul generalnych. Zamiast podać listę konkretnych zabezpieczeń technicznych, które firma musi wdrożyć (np. „użyj szyfrowania AES-256”), dyrektywa mówi o stosowaniu środków „właściwych i proporcjonalnych” do istniejącego ryzyka.

Dla ustawodawcy to przejaw elastyczności – technologia zmienia się tak szybko, że sztywne przepisy zdezaktualizowałyby się w ciągu roku. Jednak dla firmy, która musi zainwestować setki tysięcy złotych w systemy bezpieczeństwa, słowo „właściwe” jest skrajnie nieprecyzyjne. Rodzi to obawę, że to, co firma uzna za wystarczające, organ kontrolny podczas audytu oceni jako niedbałość, co może skutkować gigantycznymi karami finansowymi.

Problem z definicją incydentu „poważnego”

Kolejnym punktem zapalnym jest obowiązek raportowania incydentów. NIS2 nakłada na podmioty kluczowe i ważne obowiązek zgłoszenia „poważnego incydentu” w bardzo krótkim czasie (wstępne ostrzeżenie już w ciągu 24 godzin). Problem polega na tym, że definicja tego, co jest „poważne”, pozostawia szerokie pole do interpretacji.

Czy wyciek danych dziesięciu klientów to już incydent poważny? A może staje się on poważny dopiero wtedy, gdy spowoduje przerwę w świadczeniu usług? Brak precyzyjnych progów liczbowych czy jakościowych sprawia, że firmy mogą albo zasypywać organy nadzorcze nieistotnymi zgłoszeniami (tzw. over-reporting), albo – co gorsza – nie zgłosić czegoś, co urzędnik uzna za kluczowe.

Ciekawostka: Kary jak w RODO

Warto wiedzieć, że NIS2 wprowadza system kar wzorowany na RODO. Za nieprzestrzeganie przepisów podmioty kluczowe mogą zostać ukarane grzywną w wysokości do 10 milionów euro lub 2% łącznego rocznego światowego obrotu. Przy tak wysokich stawkach brak precyzji w przepisach staje się dla biznesu ryzykiem egzystencjalnym.

Łańcuch dostaw pod lupą

NIS2 kładzie ogromny nacisk na bezpieczeństwo łańcucha dostaw. Firmy objęte dyrektywą muszą weryfikować swoich dostawców pod kątem cyberbezpieczeństwa. Brzmi to rozsądnie, ale diabeł tkwi w szczegółach. Dyrektywa nie precyzuje, jak głęboko ta weryfikacja ma sięgać ani jakich standardów wymagać od podwykonawców.

W efekcie powstaje sytuacja, w której mała firma dostarczająca oprogramowanie do dużego operatora energetycznego nagle zostaje zasypana skomplikowanymi ankietami bezpieczeństwa, których nie potrafi wypełnić, bo sama dyrektywa nie daje jasnych wzorców. To „rozlewanie się” niejasnych przepisów na mniejsze podmioty, które teoretycznie nie podlegają bezpośrednio pod NIS2, jest jednym z najczęściej krytykowanych aspektów.

Różnice w implementacji krajowej

Dyrektywa to nie rozporządzenie (jak RODO) – musi zostać zaimplementowana do krajowego porządku prawnego przez każde państwo członkowskie z osobna. Enigmatyczność przepisów unijnych sprawia, że poszczególne kraje mogą je zinterpretować w różny sposób.

Dla firm działających międzynarodowo to prawdziwy koszmar logistyczny. Może się okazać, że te same środki bezpieczeństwa, które są akceptowalne w Polsce, zostaną uznane za niewystarczające w Niemczech czy we Francji. Brak harmonizacji na poziomie konkretnych wymagań technicznych przeczy idei wspólnego rynku cyfrowego i tworzy bariery dla przedsiębiorców.

Co to oznacza dla przeciętnej firmy?

Nawet jeśli Twoja firma nie jest gigantem energetycznym, możesz odczuć skutki NIS2. Jeśli świadczysz usługi dla sektora bankowego, medycznego czy transportowego, Twoi klienci prawdopodobnie wkrótce zapukają do drzwi z nowymi umowami, wymagając od Ciebie dowodów na „zachowanie należytej staranności” w obszarze IT.

Podsumowanie wyzwań interpretacyjnych

Krytyka NIS2 za jej enigmatyczność sprowadza się do trzech głównych punktów:

• Brak jasnych standardów technicznych: Firmy nie wiedzą, czy ich zabezpieczenia są „wystarczające” w oczach kontrolerów.
• Subiektywność oceny ryzyka: To, co dla jednej branży jest akceptowalne, dla innej może być błędem krytycznym.
• Niepewność prawna: Wysokie kary w połączeniu z niejasnymi definicjami tworzą klimat strachu zamiast realnej poprawy bezpieczeństwa.

Choć intencją twórców było stworzenie przepisów „odpornych na czas”, w praktyce stworzono dokument, który wymaga armii prawników i konsultantów do poprawnej interpretacji. Ostateczny kształt wymogów poznamy dopiero wtedy, gdy polskie przepisy (nowelizacja Krajowego Systemu Cyberbezpieczeństwa) zostaną w pełni przyjęte i zaczną obowiązywać w praktyce.