NIS2

NIS2 (ang. Network and Information Systems Directive 2) to zaktualizowana wersja dyrektywy Unii Europejskiej w sprawie bezpieczeństwa sieci i systemów informacyjnych, przyjęta w 2022 roku i zastępująca pierwotną dyrektywę NIS z 2016 roku. Celem NIS2 jest podniesienie poziomu cyberbezpieczeństwa w UE, rozszerzenie zakresu podmiotów objętych regulacją oraz wprowadzenie bardziej jednolitych wymogów i sankcji.

Historia i kontekst

W odpowiedzi na rosnącą liczbę incydentów cybernetycznych oraz potrzeby zwiększenia spójności przepisów w całej Unii Europejskiej, Komisja Europejska podjęła w 2020 roku prace nad nową wersją dyrektywy. Konsultacje publiczne i dialog z sektorem prywatnym zakończyły się przyjęciem tekstu w 2022 roku. Państwa członkowskie zobowiązane są do implementacji dyrektywy w swoich systemach prawnych najpóźniej do 2024 roku.

Główne postanowienia

Rozszerzenie definicji „operatora istotnych usług” (OIS) oraz wprowadzenie pojęcia „istotnych podmiotów cyfrowych” (IPD).
Obowiązek zarządzania ryzykiem oraz raportowania incydentów w terminie nie dłuższym niż 24 godziny od ich wykrycia.
Stworzenie krajowych zespołów ds. cyberbezpieczeństwa i wyznaczenie jednostek koordynujących na szczeblu UE (ENISA).
Wprowadzenie jednolitych kar finansowych, sięgających do 10 % rocznego globalnego obrotu firmy.
Wzrost wymogów dotyczących bezpieczeństwa danych i ochrony infrastruktury krytycznej.

Podmioty objęte dyrektywą

Dyrektywa objęła szerszy wachlarz podmiotów niż pierwotna NIS, w tym:

Operatorów usług kluczowych (np. energetyka, transport, zdrowie, bankowość).
Firme cyfrowe świadczące usługi online (platformy e‑commerce, media społecznościowe).
Dostawców usług chmurowych oraz dostawców usług zarządzania IT.
Podmioty publiczne o krytycznym znaczeniu dla funkcjonowania państwa.

Obowiązki i sankcje

Podmioty objęte NIS2 muszą:

Wdrożyć politykę bezpieczeństwa zgodną z wytycznymi UE.
Przeprowadzać regularne oceny ryzyka i testy penetracyjne.
Zgłaszać poważne incydenty cybernetyczne właściwym organom w wyznaczonym terminie.
Utrzymywać i aktualizować rejestry zasobów oraz procedury reagowania na incydenty.

Nieprzestrzeganie wymogów może skutkować karą pieniężną, a w skrajnych przypadkach – zakazem prowadzenia działalności w UE.

Implementacja w państwach członkowskich

Każde państwo członkowskie przyjęło własne akty prawne, które adaptują NIS2 do krajowego kontekstu. Przykładowe działania:

Polska – ustawa z 2023 roku o zwiększonym bezpieczeństwie sieci i systemów informacyjnych.
Niemcy – Krajowy Plan Cyberbezpieczeństwa (KKB) aktualizowany w 2023 roku.
Francja – rozbudowa ANSSI oraz nowe przepisy dotyczące krytycznej infrastruktury.

Znaczenie i krytyka

Wspólnota uważa NIS2 za kluczowy krok w kierunku zwiększenia odporności cyfrowej Europy. Raporty wskazują, że od momentu wdrożenia liczba nieodnotowanych incydentów spadła, a świadomość ryzyka w sektorach objętych dyrektywą się podniosła.

Jednak nie brak jest krytyki: niektóre organizacje podnoszą kwestie zwiększonego obciążenia administracyjnego, a mniejsze firmy obawiają się, że wysokie kary mogą zagrozić ich płynności finansowej.