Dyrektywa NIS 2, a obowiązki przedsiębiorstw – kto musi się dostosować?

Bezpieczeństwo w świecie cyfrowym staje się coraz ważniejsze, a nowe regulacje prawne, takie jak Dyrektywa NIS 2 mają strategiczne znaczenie dla ochrony infrastruktury krytycznej w Europie. Co to dokładnie oznacza dla przedsiębiorstw? Czy każda firma musi się dostosować do nowych wymogów? Czytaj dalej, aby dowiedzieć się, NIS 2, kogo dotyczy? Jakie przynosi zmiany i od kiedy wchodzi w życie? 

Czym jest dyrektywa NIS 2 i jakie podmioty obejmuje?

Dyrektywa NIS2, co to jest? Jest to nowa regulacja prawna, przyjęta przez Unię Europejską w 2022 roku, ma na celu zwiększenie odporności na cyberzagrożenia. Jej zapisy odnoszą się zarówno do sektora publicznego, jak i prywatnego, ale nie dotyczy każdego przedsiębiorstwa w równym stopniu. Przepisy dzielą podmioty na dwie grupy: kluczowe i ważne.

Podmioty kluczowe to głównie duże przedsiębiorstwa działające w sektorach krytycznych, takich jak: energetyka, transport, infrastruktura cyfrowa, czy zdrowie publiczne. Natomiast podmioty ważne obejmują mikro, małe i średnie przedsiębiorstwa, jeśli ich działalność ma strategiczne znaczenie dla danego sektora.

Dyrektywa NIS 2 wprowadza jasne kryteria, które pozwalają określić, czy firma musi dostosować się do nowych wymogów. Na przykład dostawcy publicznych sieci łączności elektronicznej oraz usług centrów danych są automatycznie kwalifikowani jako podmioty kluczowe.

Jakie kryteria decydują o objęciu przedsiębiorstwa dyrektywą NIS 2?

Dyrektywa NIS 2 tworzy precyzyjny podział przedsiębiorstw na dwie kategorie: podmioty kluczowe i podmioty ważne. To rozróżnienie odgrywa istotną rolę w określaniu, jakie obowiązki muszą spełniać firmy w zakresie cyberbezpieczeństwa oraz jak rygorystyczny nadzór będą miały ze strony organów krajowych.

Podmioty kluczowe – to głównie duże przedsiębiorstwa, które działają w sektorach krytycznych dla funkcjonowania społeczeństwa i gospodarki. Dotyczy to m.in.:

• operatorów infrastruktury energetycznej, takich jak producenci energii elektrycznej, czy gazu,
• dostawców usług telekomunikacyjnych,
• instytucji finansowych, takich jak banki i operatorzy systemów płatniczych.

Charakterystyczny dla tych podmiotów jest bardziej rygorystyczny nadzór oraz dotkliwe kary za naruszenia. Na przykład, za nieprzestrzeganie przepisów wynikających z Dyrektywy NIS 2 podmioty kluczowe mogą zapłacić karę nawet do 10 milionów euro lub 2% globalnego rocznego obrotu firmy, w zależności od tego, która wartość jest wyższa.

Podmioty ważne – obejmują głównie mikro, małe i średnie przedsiębiorstwa MŚP, które również prowadzą działalność w sektorach krytycznych, ale ich rola jest mniej ważna dla bezpieczeństwa publicznego. Choć nadzór nad nimi jest mniejszy, nadal muszą one spełniać określone wymagania w zakresie cyberbezpieczeństwa. Maksymalna kara dla tej grupy wynosi 7 milionów euro lub 1,4% globalnego obrotu.

Dzięki tym kryteriom Dyrektywa NIS 2 zapewnia większą elastyczność i możliwość dostosowania regulacji do specyficznych potrzeb każdego kraju członkowskiego.

Czy mikroprzedsiębiorstwa i małe firmy są objęte dyrektywą NIS 2?

Większość mikro i małych firm nie musi się obawiać Dyrektywy NIS 2, ponieważ regulacja nie obejmuje ich automatycznie. NIS 2, kogo więc dotyczy? Wyjątkiem są przedsiębiorstwa świadczące usługi cyfrowe w sektorach kluczowych, takich jak:

• infrastruktura cyfrowa,
• usługi DNS i TLD (top-level domain),
• usługi zaufania, takie jak kwalifikowana pieczęć elektroniczna, czy podpis elektroniczny.

Dla takich firm regulacje mogą być nie mniej rygorystyczne niż dla dużych przedsiębiorstw. Co więcej, mikro i małe przedsiębiorstwa mogą zostać zakwalifikowane jako podmioty ważne lub kluczowe, jeśli ich działalność zostanie uznana za krytyczną dla bezpieczeństwa narodowego.

Istotną częścią Dyrektywy NIS 2 jest mechanizm samoidentyfikacji, to właśnie na przedsiębiorstwach spoczywa obowiązek oceny, czy ich działalność wpisuje się w ramy regulacji. Jeśli firma uzna, że spełnia kryteria, musi zgłosić się do rejestru prowadzonego przez Ministerstwo Cyfryzacji, tel. 48 222 455 703; e-mail: sekretariat.dc@mc.gov.pl. Szczegółowe informacje znajdują się na stronie https://www.gov.pl/web/cyfryzacja 

Jakie nowe sektory zostały dodane w dyrektywie NIS 2?

Dyrektywa NIS 2 rozszerza zakres w porównaniu do poprzedniczki. W nowej wersji uwzględniono sektory, które wcześniej były pomijane, ale obecnie są uznawane za kluczowe dla bezpieczeństwa ogólnoeuropejskiego. Jak więc wyglądają NIS 2 zmiany?

Do nowych sektorów zaliczają się m.in. gospodarka odpadami, produkcja chemikaliów, a także usługi pocztowe i kurierskie. W dyrektywie znalazły się także sektory związane z produkcją żywności, sprzętu medycznego oraz maszyn i urządzeń elektronicznych. Dlaczego te zmiany są ważne? Nowe sektory zostały wybrane ze względu na ich rosnące znaczenie w gospodarce i infrastrukturze. Na przykład zakłócenie usług kurierskich mogłoby sparaliżować handel elektroniczny, a cyberatak na fabrykę chemikaliów mógłby mieć katastrofalne skutki. Dlatego objęcie ich regulacjami NIS 2 to milowy krok w stronę europejskiego bezpieczeństwa.

Jakie są kluczowe terminy wdrożenia dyrektywy NIS 2?

Dyrektywa NIS2, od kiedy obowiązuje? Została przyjęta już w 2022 roku, ale państwa członkowskie Unii Europejskiej mają czas na jej wdrożenie do prawa krajowego do października 2024 roku. Firmy działające w sektorach krytycznych powinny zatem jak najszybciej rozpocząć proces dostosowywania się do nowych wymogów i na jej wejście w życie.  

Jeśli Twoja firma działa w jednym z sektorów objętych Dyrektywą, nie czekaj na ostatnią chwilę, lepiej wcześniej przygotować się na nadchodzące zmiany.

Dyrektywa NIS 2 wprowadza szereg zmian mających na celu zwiększenie bezpieczeństwa w sektorach krytycznych. Chociaż większość mikro i małych firm jest wyłączona spod jej obowiązywania, to przedsiębiorstwa działające w strategicznych branżach powinny dokładnie przeanalizować, czy nie podlegają nowym regulacjom. Sprawdź, czy Twoja firma musi dostosować się do Dyrektywy NIS 2. Jeśli potrzebujesz pomocy w tej kwestii, zapraszamy do kontaktu.