Dyrektywa NIS2 stała się w ostatnim czasie jednym z najgorętszych tematów w świecie IT i biznesu, ale dla wielu przedsiębiorców wciąż brzmi jak skomplikowana zagadka. Choć jej celem jest wzmocnienie cyberbezpieczeństwa w całej Unii Europejskiej, czytając jej zapisy, można odnieść wrażenie, że są one celowo niejasne. Ta "enigmatyczność" nie wynika jednak z chęci utrudnienia życia firmom, lecz z samej natury europejskiego prawa i dynamiki technologii.

Dyrektywa to nie rozporządzenie – tu leży pies pogrzebany

Kluczem do zrozumienia, dlaczego NIS2 wydaje się mało konkretna, jest rozróżnienie między dyrektywą a rozporządzeniem (takim jak np. RODO). Rozporządzenie obowiązuje bezpośrednio i w identyczny sposób w każdym kraju UE. Dyrektywa natomiast jest jedynie wyznacznikiem celu, jaki państwa członkowskie muszą osiągnąć.

Oznacza to, że Unia mówi: "Chcemy, aby te sektory były bezpieczne", ale to każde państwo z osobna (w Polsce poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa – KSC) decyduje, jak dokładnie te przepisy wprowadzić w życie. Dopóki polskie przepisy nie zostaną ostatecznie uchwalone, poruszamy się w sferze ogólnych wytycznych unijnych, co potęguje uczucie niepewności.

Magiczne słowa: "adekwatne i proporcjonalne"

W tekście NIS2 często pojawiają się sformułowania typu „środki techniczne, operacyjne i organizacyjne, które są odpowiednie i proporcjonalne do stopnia narażenia na ryzyko”. Dla inżyniera czy menedżera bezpieczeństwa to czysta abstrakcja. Co to właściwie znaczy?

Unia Europejska celowo unika podawania konkretnych marek firewalli czy liczby znaków w haśle. Gdyby dyrektywa była zbyt szczegółowa, zdezaktualizowałaby się w ciągu roku, bo hakerzy rozwijają się szybciej niż biurokracja. "Adekwatność" oznacza, że mała firma wodociągowa nie musi mieć takich samych systemów jak gigant energetyczny, ale obie muszą realnie zarządzać swoim ryzykiem. Ta elastyczność jest z jednej strony darem (pozwala dopasować koszty), a z drugiej przekleństwem (bo nie ma gotowej listy kontrolnej "od-do").

Ciekawostka: Kogo dotyczy NIS2?

W przeciwieństwie do poprzedniej wersji (NIS1), nowa dyrektywa drastycznie rozszerza listę podmiotów. Teraz na celowniku są nie tylko banki czy szpitale, ale też firmy kurierskie, producenci żywności, a nawet firmy zajmujące się wywozem odpadów. Szacuje się, że w samej Polsce liczba organizacji objętych nowymi przepisami wzrośnie z kilkuset do kilkunastu tysięcy.

Podejście oparte na ryzyku – to Ty decydujesz

NIS2 przesuwa odpowiedzialność na zarządy firm. To nie jest już tylko "problem działu IT". Enigmatyczność przepisów wymusza na organizacjach przeprowadzenie rzetelnej analizy ryzyka. Zamiast czekać na gotowe wytyczne, firmy muszą same odpowiedzieć sobie na pytanie: "Co się stanie, jeśli nasze systemy zostaną zablokowane na tydzień?".

To podejście sprawia, że dyrektywa wydaje się mglista, ponieważ nie daje gotowych odpowiedzi. Wymusza za to proces myślowy i audyt własnych zasobów. Dla wielu organizacji, które do tej pory traktowały cyberbezpieczeństwo po macoszemu, taki brak konkretnej "instrukcji obsługi" jest po prostu przerażający.

Łańcuch dostaw, czyli wielka niewiadoma

Kolejnym elementem budującym aurę tajemniczości jest nacisk na bezpieczeństwo łańcucha dostaw. NIS2 mówi, że musisz dbać o bezpieczeństwo nie tylko u siebie, ale też sprawdzać swoich dostawców. Jak głęboko trzeba sięgać? Czy musisz audytować dostawcę oprogramowania biurowego, czy tylko firmę serwisującą serwery?

Brak sztywnych granic w tym zakresie powoduje, że firmy obawiają się efektu domina. Wiele przedsiębiorstw czeka na konkretne standardy certyfikacji, które mają się pojawić w przyszłości, ale na ten moment muszą polegać na własnych zapisach umownych i weryfikacji partnerów biznesowych.

Jak przetrwać w tej mgle informacyjnej?

Mimo że NIS2 wydaje się enigmatyczna, istnieją sprawdzone ramy, na których można się oprzeć, czekając na finalne polskie przepisy. Eksperci zalecają skupienie się na kilku fundamentach:

Zarządzanie incydentami

Musisz wiedzieć, co zrobisz, gdy dojdzie do ataku. Kto kogo powiadomi? Jakie są procedury odzyskiwania danych? NIS2 kładzie ogromny nacisk na raportowanie incydentów w bardzo krótkim czasie (nawet do 24 godzin na wstępne ostrzeżenie).

Higiena cyfrowa i szkolenia

Większość ataków zaczyna się od błędu człowieka. Regularne szkolenia pracowników i wprowadzenie podstawowych zasad, takich jak uwierzytelnianie dwuskładnikowe (MFA), to działania, które "na pewno" wpiszą się w wymogi dyrektywy, niezależnie od jej ostatecznego brzmienia w polskiej ustawie.

Ciągłość działania

Zadaj sobie pytanie, czy Twoja firma jest w stanie funkcjonować bez dostępu do sieci. Opracowanie planów ciągłości działania (Business Continuity Plan) to jeden z konkretnych wymogów, który przebija się przez ogólnikowość dyrektywy.

Choć NIS2 na pierwszy rzut oka wygląda na zbiór niejasnych życzeń, w rzeczywistości jest sygnałem, że cyberbezpieczeństwo staje się elementem higieny biznesowej. Zamiast czekać na moment, gdy przepisy staną się "jasne" (co może nastąpić dopiero w sali sądowej podczas nakładania kar), warto już teraz zacząć od podstawowych audytów i porządkowania procesów wewnętrznych.