{"id":66873,"date":"2024-03-28T14:59:56","date_gmt":"2024-03-28T13:59:56","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=66873"},"modified":"2025-06-18T10:25:22","modified_gmt":"2025-06-18T08:25:22","slug":"nadchodzi-nis2-co-musisz-wiedziec-o-nowych-zasadach-w-cyberbezpieczenstwie-czesc-i-regulacje","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/nadchodzi-nis2-co-musisz-wiedziec-o-nowych-zasadach-w-cyberbezpieczenstwie-czesc-i-regulacje","title":{"rendered":"Nadchodzi NIS2: co musisz wiedzie\u0107 o nowych zasadach w cyberbezpiecze\u0144stwie
Cz\u0119\u015b\u0107 I \u2013 regulacje"},"content":{"rendered":"\n\n\n
CZEGO DOWIESZ SI\u0118 Z TEGO ARTYKU\u0141U:<\/span><\/strong>\n
    \n
  1. JAKIE S\u0104 NAJWA\u017bNIEJSZE R\u00d3\u017bNICE ZAPISANE W NIS2 W STOSUNKU DO OBECNIE OBOWI\u0104ZUJ\u0104CEJ DYREKTYWY NIS? <\/strong><\/li>\n
  2. KT\u00d3RE ORGANIZACJE B\u0118D\u0104 PODLEGA\u0106 NOWYM PRZEPISOM? <\/strong><\/li>\n
  3. ILE MAMY CZASU NA DOSTOSOWANIE SI\u0118 DO NOWYCH REGULACJI I SPE\u0141NIENIE ZAPISANYCH W NICH WYMAGA\u0143? <\/strong><\/li>\n
  4. JAKIE S\u0104 NAJWA\u017bNIEJSZE WYZWANIA ZWI\u0104ZANE Z NIS2 NA POZIOMIE PRAWNYM I ORGANIZACYJNYM?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Zagro\u017cenie cyberatakami ro\u015bnie \u2013 zar\u00f3wno w Polsce, jak i w Europie. Wed\u0142ug bada\u0144 KPMG, w 2023 roku a\u017c dwie trzecie firm odnotowa\u0142o incydenty bezpiecze\u0144stwa IT, co stanowi wzrost o 8 proc. w por\u00f3wnaniu z 2022 rokiem. Co wi\u0119cej \u2013 34 proc. firm zanotowa\u0142o wzrost intensywno\u015bci cyberatak\u00f3w, a co dziesi\u0105ta badana firma zarejestrowa\u0142a ponad 30 incydent\u00f3w bezpiecze\u0144stwa[1]<\/a>. Je\u017celi we\u017amiemy pod uwag\u0119 dodatkowe potencjalne zagro\u017cenie sabota\u017cem zwi\u0105zanym z wojn\u0105 na Ukrainie i jednocze\u015bnie coraz szersze zastosowanie technologii cyfrowych w gospodarce, oczywiste stanie si\u0119, \u017ce incydenty bezpiecze\u0144stwa IT \u2013 i ochrona przed nimi \u2013 to jedno z najpowa\u017cniejszych wyzwa\u0144 i dla mened\u017cer\u00f3w ds. bezpiecze\u0144stwa, i dla regulator\u00f3w.<\/p>\n

    Co i kiedy zmieni nowa dyrektywa<\/h2>\n

    NIS2 ma zast\u0105pi\u0107 obowi\u0105zuj\u0105c\u0105 od sze\u015bciu lat dyrektyw\u0119 NIS (Network and Information Systems Directive). Wed\u0142ug narzuconego przez UE planu[2]<\/a> do 17 pa\u017adziernika 2024 wszystkie pa\u0144stwa cz\u0142onkowskie musz\u0105 przyj\u0105\u0107 i przedstawi\u0107 publicznie \u015brodki i dzia\u0142ania niezb\u0119dne do wdro\u017cenia dyrektywy. Te regulacje krajowe maj\u0105 obowi\u0105zywa\u0107 od 18 pa\u017adziernika \u2013 to r\u00f3wnie\u017c dzie\u0144, w kt\u00f3rym przestanie obowi\u0105zywa\u0107 \u201estara\u201d dyrektywa NIS. Czy tak ambitny harmonogram jest mo\u017cliwy do zrealizowania \u2013 o tym za chwil\u0119.<\/p>\n

    G\u0142\u00f3wnym celem NIS2 jest zapewnienie wy\u017cszego poziomu ochrony danych cyfrowych w przedsi\u0119biorstwach dzia\u0142aj\u0105cych na obszarze Unii Europejskiej. Pa\u0144stwa cz\u0142onkowskie musz\u0105 wdro\u017cy\u0107 m.in. krajow\u0105 strategi\u0119 cyberbezpiecze\u0144stwa oraz przepisy obejmuj\u0105ce wymogi w obszarze zarz\u0105dzania ryzykiem i sprawozdawczo\u015bci organizacji obj\u0119tych dyrektyw\u0105. Ponadto NIS2 ma zapewni\u0107 tzw. minimaln\u0105 harmonizacj\u0119 dzia\u0142a\u0144 w pa\u0144stwach cz\u0142onkowskich \u2013 musz\u0105 one wprowadzi\u0107 w \u017cycie procedury i zasady zawarte w dyrektywie, ale mog\u0105 stosowa\u0107 r\u00f3wnie\u017c w\u0142asne, pod warunkiem, \u017ce s\u0105 one bardziej rygorystyczne.<\/p>\n

    Nak\u0142ada ona na europejskie firmy m.in. obowi\u0105zek opracowania koncepcji w zakresie analizy ryzyka i bezpiecze\u0144stwa IT, zarz\u0105dzania incydentami, posiadania w\u0142asnego systemu zarz\u0105dzania ci\u0105g\u0142o\u015bci\u0105 dzia\u0142ania oraz gotowo\u015bci do jego weryfikacji przez odpowiednie instytucje. Zasady te dotycz\u0105 r\u00f3wnie\u017c bezpiecze\u0144stwa \u0142a\u0144cucha dostaw produkt\u00f3w i us\u0142ug \u2013 co prze\u0142o\u017cy si\u0119 na konieczno\u015b\u0107 dostosowania do NIS2 r\u00f3wnie\u017c firm b\u0119d\u0105cych partnerami organizacji obj\u0119tych co do zasady now\u0105 dyrektyw\u0105.<\/p>\n

    Kto musi stosowa\u0107 nowe przepisy<\/h2>\n

    Najwa\u017cniejsze zmiany, jakie wprowadza nowa regulacja \u2013 opr\u00f3cz cz\u0119sto wspominanych drako\u0144skich kar (w przypadku podmiot\u00f3w kluczowych nawet do 2 proc. \u0142\u0105cznego obrotu lub 10 mln euro \u2013 w zale\u017cno\u015bci od tego, kt\u00f3ra kwota jest wi\u0119ksza) \u2013 to znacz\u0105ce poszerzenie katalogu firm i instytucji podlegaj\u0105cych przepisom[3]<\/a>. Dotychczas (w dyrektywie NIS) istnia\u0142y dwie kategorie podmiot\u00f3w obj\u0119tych regulacjami \u2013 operatorzy us\u0142ug kluczowych oraz dostawcy us\u0142ug cyfrowych, natomiast polska ustawa o krajowym systemie cyberbezpiecze\u0144stwa (UoKSC implementuj\u0105ca postanowienia dyrektywy do polskiego systemu prawnego) wprowadzi\u0142a dodatkow\u0105 kategori\u0119 podmiot\u00f3w publicznych.<\/p>\n

    Przepisy NIS2 dotycz\u0105 z za\u0142o\u017cenia firm \u015brednich i du\u017cych \u2013 zatrudniaj\u0105cych powy\u017cej 50 os\u00f3b i kt\u00f3rych roczny obr\u00f3t i\/lub suma bilansowa przekracza 10 mln euro. Ale uwaga \u2013 mog\u0105 one obejmowa\u0107 r\u00f3wnie\u017c firmy mniejsze, kt\u00f3re pe\u0142ni\u0105 kluczow\u0105 funkcj\u0119 dla spo\u0142ecze\u0144stwa i dzia\u0142aj\u0105 w okre\u015blonych sektorach gospodarki. Takimi firmami b\u0119d\u0105 np. dostawcy cyfrowych us\u0142ug zaufania czy us\u0142ug DNS. Pod NIS2 podlega\u0107 b\u0119d\u0105 r\u00f3wnie\u017c dostawcy us\u0142ug \u0142\u0105czno\u015bci elektronicznej, monopole krajowe i jednostki prowadz\u0105ce dzia\u0142alno\u015b\u0107 transgraniczn\u0105.<\/p>\n

    Nowa dyrektywa wprowadza r\u00f3wnie\u017c istotne rozr\u00f3\u017cnienie \u2013 na podmioty kluczowe oraz podmioty wa\u017cne. Podmioty kluczowe to takie, kt\u00f3re dostarczaj\u0105 us\u0142ugi niezb\u0119dne do funkcjonowania gospodarki i spo\u0142ecze\u0144stwa. Dyrektywa wprost wymienia sektory gospodarki, w kt\u00f3rych dzia\u0142aj\u0105 podmioty kluczowe: energetyka, transport, bankowo\u015b\u0107 i finanse, kosmos, woda pitna, \u015bcieki, ochrona zdrowia, infrastruktura cyfrowa i zarz\u0105dzania us\u0142ugami ICT oraz administracja publiczna. Z za\u0142o\u017cenia podmioty dzia\u0142aj\u0105ce w tych sektorach b\u0119d\u0105 uznane za kluczowe, je\u017celi s\u0105 wystarczaj\u0105co du\u017ce (pod wzgl\u0119dem zatrudnienia i obrot\u00f3w \u2013 ponad 250 os\u00f3b i 50 mln euro obrotu).<\/p>\n

    Organizacje \u015brednie dzia\u0142aj\u0105ce w tych sektorach uznane zostan\u0105 za wa\u017cne, je\u017celi ich dzia\u0142alno\u015b\u0107 ma istotny wp\u0142yw na gospodark\u0119 Unii. Ale w tej kategorii znalaz\u0142y si\u0119 r\u00f3wnie\u017c podmioty \u015brednie i du\u017ce dzia\u0142aj\u0105ce w innych sektorach \u2013 \u015bwiadcz\u0105ce us\u0142ugi kurierskie i pocztowe, gospodaruj\u0105ce odpadami, produkuj\u0105ce lub dystrybuuj\u0105ce chemikalia oraz \u017cywno\u015b\u0107, firmy produkcyjne i instytucje naukowe. Dok\u0142adny opis poszczeg\u00f3lnych kategorii i sektor\u00f3w znajduje si\u0119 w za\u0142\u0105cznikach do g\u0142\u00f3wnego tekstu dyrektywy NIS2[4]<\/a>.<\/p>\n

    Ale tu pojawia si\u0119 pewna pu\u0142apka. O ile wed\u0142ug \u201estarej\u201d NIS operator\u00f3w us\u0142ug kluczowych identyfikowa\u0142y odpowiednie organy pa\u0144stw cz\u0142onkowskich, o tyle NIS2 przyjmuje zasad\u0119, \u017ce to same firmy i instytucje b\u0119d\u0105 okre\u015bla\u0142y, czy spe\u0142niaj\u0105 warunki okre\u015blone w nowej regulacji. To za\u015b mo\u017ce prowadzi\u0107 do b\u0142\u0119d\u00f3w i odmiennych interpretacja \u2013 a w rezultacie do\u2026 kar finansowych.<\/p>\n

    Wed\u0142ug obowi\u0105zuj\u0105cych jeszcze zasad, w Polsce jest 397 operator\u00f3w us\u0142ug kluczowych (z czego najwi\u0119cej w ochronie zdrowia \u2013 266)[5]<\/a>. A jak si\u0119 to przek\u0142ada na liczb\u0119 podmiot\u00f3w wa\u017cnych wskazanych w nowej dyrektywie?<\/p>\n

    \u2013 Na podstawie naszych analiz uwzgl\u0119dniaj\u0105cych profil dzia\u0142alno\u015bci, wielko\u015b\u0107 i szacunkowe przychody, ustalili\u015bmy, i\u017c liczba przedsi\u0119biorstw klasyfikowanych jako podmioty wa\u017cne przez NIS2 to blisko 4 tys. firm. W ramach tych analiz nie brali\u015bmy jednak pod uwag\u0119 \u0142a\u0144cucha dostaw badanych podmiot\u00f3w, bo to wymaga bardzo indywidualnego podej\u015bcia. Najwa\u017cniejszy wniosek jest jednak taki, \u017ce ten katalog jest znacznie szerszy ni\u017c w przypadku wcze\u015bniejszej dyrektywy NIS \u2013 m\u00f3wi Tomasz Ciepli\u0144ski, Head of Presales \/ Leader ICT Architect w T-Mobile.<\/p>\n

    W Polsce (na razie) cisza<\/h2>\n

    I tu dochodzimy do najwa\u017cniejszego problemu z NIS2, jakim jest brak jednoznacznych wytycznych w zakresie identyfikowania podmiot\u00f3w podlegaj\u0105cych nowym przepisom, brak akt\u00f3w wykonawczych (te s\u0105 zapowiadane przez UE na po\u0142ow\u0119 2025 roku) oraz brak nowelizacji ustawy o KSC, kt\u00f3ra implementowa\u0142aby postanowienia dyrektywy do polskiego porz\u0105dku prawnego.<\/p>\n

    \u2013 Prawdopodobie\u0144stwo, \u017ce rz\u0105d zd\u0105\u017cy przygotowa\u0107 now\u0105 ustaw\u0119 przed terminem 17 pa\u017adziernika, jest niewielkie. A bez tych przepis\u00f3w dyrektywa na razie b\u0119dzie martwa \u2013 ocenia Tomasz Ciepli\u0144ski. \u2013 By\u0107 mo\u017ce konieczne b\u0119dzie jednak zaostrzenie niekt\u00f3rych rozwi\u0105za\u0144 po przeniesieniu ich do polskiego prawa ze wzgl\u0119du na trwaj\u0105c\u0105 na Ukrainie wojn\u0119, a tym samym du\u017co wi\u0119ksz\u0105 ekspozycj\u0119 na zagro\u017cenia w obszarze cyberbezpiecze\u0144stwa. Je\u017celi uwzgl\u0119dnimy czas zwi\u0105zany ze \u015bcie\u017ck\u0105 legislacyjn\u0105 nowelizacji UoKSC oraz prawdopodobne sze\u015bciomiesi\u0119czne vacatio legis mo\u017ce si\u0119 okaza\u0107, \u017ce realny termin obowi\u0105zywania NIS2 przesunie si\u0119 na wiosn\u0119 2025 roku.<\/p>\n

    Na najistotniejsze wyzwania prawne wynikaj\u0105ce z konieczno\u015bci wdro\u017cenia NIS2 wskazuj\u0105 r\u00f3wnie\u017c mened\u017cerowie ds. bezpiecze\u0144stwa (CISO) ankietowani na potrzeby raportu CSO Council, EY i TrendMicro \u201eW oczekiwaniu na NIS2: stan przygotowa\u0144\u201d[6]<\/a>. Z badania wynika, \u017ce dla mened\u017cer\u00f3w najwi\u0119kszym problemem jest brak informacji o sposobie implementacji regulacji w polskim prawie (60 proc.) oraz niejasno\u015bci co do \u201ebycia zgodnym\u201d z NIS2 (45 proc.). W dw\u00f3ch trzecich firm nie ma przekonania czy czas pozosta\u0142y do wdro\u017cenia dyrektywy jest wystarczaj\u0105cy \u2013 bo to zale\u017cy od zapis\u00f3w krajowych.<\/p>\n

    Raport ilustruje jednak znacznie powa\u017cniejszy problem na polskim rynku: jedna czwarta organizacji obj\u0119tych nowymi przepisami nie ma \u015bwiadomo\u015bci, \u017ce konieczne jest podj\u0119cie dodatkowych dzia\u0142a\u0144. Uwa\u017caj\u0105, \u017ce NIS2 ich nie dotyczy albo nie wiedz\u0105, czy ich dotyczy, mimo \u017ce w\u015br\u00f3d tej grupy znajdowali si\u0119 przedstawiciele podmiot\u00f3w kluczowych. Najwi\u0119ksza \u015bwiadomo\u015b\u0107 co do nadchodz\u0105cych zmian panuje w sektorach ju\u017c teraz obj\u0119tych regulacjami, takich jak telekomunikacja i IT, finanse i bankowo\u015b\u0107 czy energetyka. Firmy z innych bran\u017c \u2013 handel i e-handel, sektor produkcyjny oraz transport i logistyka \u2013 prawdopodobnie jeszcze nie u\u015bwiadamiaj\u0105 sobie skali wyzwa\u0144 wi\u0105\u017c\u0105cych si\u0119 z wdro\u017ceniem NIS2.<\/p>\n

    Warto tu podkre\u015bli\u0107, \u017ce NIS2 mo\u017ce obejmowa\u0107 r\u00f3wnie\u017c firmy mniejsze \u2013 na przyk\u0142ad takie, w kt\u00f3rych nie ma nawet odpowiednika roli CISO, a zatem obecnie ca\u0142kowicie nie\u015bwiadome nadchodz\u0105cych problem\u00f3w. Na to nak\u0142ada si\u0119 r\u00f3wnie\u017c niezmienna od lat trudna sytuacja na rynku specjalist\u00f3w ds. cyberbezpiecze\u0144stwa.<\/p>\n

    Ponadto \u2013 jak zauwa\u017ca Tomasz Ciepli\u0144ski \u2013 zagro\u017cenie bardzo wysokimi karami za niedostosowanie organizacji do wymog\u00f3w NIS2 oraz za niew\u0142a\u015bciwe raportowanie incydent\u00f3w bezpiecze\u0144stwa mo\u017ce zmotywowa\u0107 do dzia\u0142ania przest\u0119pc\u00f3w. Firmy zaatakowane ransomware mog\u0105 rozwa\u017ca\u0107 negocjacje z hakerami i utrzymanie incydentu w tajemnicy, zamiast ryzykowa\u0107 kary finansowe przewidziane w nowej dyrektywie, kt\u00f3re dla niekt\u00f3rych przedsi\u0119biorstw mo\u017ce oznacza\u0107 by\u0107 albo nie by\u0107 na rynku.<\/p>\n

    Podsumowanie<\/h2>\n

    Termin obowi\u0105zywania dyrektywy NIS2 nieuchronnie si\u0119 zbli\u017ca. Niezale\u017cnie od tego, czy przyjmiemy dat\u0119 pa\u017adziernikow\u0105, czy kilka miesi\u0119cy p\u00f3\u017aniejsz\u0105 ze wzgl\u0119du na konieczno\u015b\u0107 nowelizacji ustawy o KSC, czasu na przygotowanie si\u0119 do nowych regulacji jest bardzo ma\u0142o. Sytuacja jest alarmuj\u0105ca, poniewa\u017c wiele firm, kt\u00f3re b\u0119d\u0105 podlega\u0142y nowym przepisom, nie ma tego \u015bwiadomo\u015bci i nie podejmuje obecnie \u017cadnych dzia\u0142a\u0144. Bior\u0105c pod uwag\u0119 potencjaln\u0105 liczb\u0119 podmiot\u00f3w wa\u017cnych, szacowan\u0105 na ok. 4 tys., pozostawienie spraw \u201ena ostatni\u0105 chwil\u0119\u201d spowoduje spi\u0119trzenie zam\u00f3wie\u0144 na us\u0142ugi zwi\u0105zane z wdra\u017caniem NIS2.<\/p>\n

    Mened\u017cerowie odpowiadaj\u0105cy za cyberbezpiecze\u0144stwo powinni zatem \u2013 je\u015bli jeszcze tego nie zrobili \u2013 jak najszybciej:<\/p>\n