NIS2 – co to jest? Kluczowe informacje o dyrektywie

Dyrektywa NIS2 to unijne przepisy, które mają podnieść poziom cyberbezpieczeństwa w 18 sektorach krytycznych i wprost nakładają na firmy obowiązek wdrożenia zarządzania ryzykiem, zgłaszania incydentów oraz stałego nadzoru nad systemami IT. Jeśli działasz w sektorze uznanym za kluczowy lub ważny, w praktyce oznacza to konkretne wymagania, terminy i możliwe kary sięgające 10 mln euro za brak zgodności. Warto przejrzeć najważniejsze założenia NIS2, przepisy krajowe i sprawdzić, czy twoja organizacja jest traktowana jako podmiot kluczowy lub ważny – dokładnie to omawiamy poniżej.

Czym jest dyrektywa NIS2?

16 stycznia 2023 r. weszła w życie Dyrektywa NIS2, czyli zaktualizowane unijne ramy prawne dotyczące bezpieczeństwa sieci i systemów informacyjnych. Zastąpiła ona wcześniejszą dyrektywę NIS1 z 2016 r., która obejmowała głównie kilka sektorów infrastruktury krytycznej i operatorów usług kluczowych. Nowa regulacja ma podnieść wspólny poziom odporności cyfrowej w całej Unii Europejskiej i ujednolicić wymagania wobec przedsiębiorstw w poszczególnych państwach.

NIS2 skupia się na trzech obszarach: obowiązku wdrożenia zarządzania ryzykiem w cyberbezpieczeństwie, zaostrzonej procedurze zgłaszania incydentów oraz wzmocnieniu współpracy międzynarodowej. Dyrektywa wprost określa minimalny katalog środków, jakie muszą stosować podmioty objęte przepisami – od polityk bezpieczeństwa, przez kryptografię, po plany ciągłości działania. Jednocześnie rozszerza odpowiedzialność zarządów firm, które mają być rozliczane z faktycznego wdrożenia środków cyberbezpieczeństwa.

NIS2 obejmuje około 18 sektorów uznanych za krytyczne lub ważne dla funkcjonowania państwa i gospodarki, zamiast 7 sektorów wskazanych w NIS1.

Jak NIS2 zmienia wcześniejszą dyrektywę NIS?

Wersja z 2016 r. koncentrowała się na kilku filarach – powołaniu krajowych instytucji typu CSIRT, współpracy między państwami i obowiązku raportowania incydentów przez operatorów usług kluczowych. W praktyce państwa członkowskie miały sporą swobodę implementacji, co doprowadziło do dużych różnic w nadzorze i poziomie ochrony pomiędzy krajami. NIS2 jest odpowiedzią na te rozbieżności, a także na gwałtowny wzrost cyberataków oraz przyspieszoną cyfryzację po pandemii COVID‑19.

Nowa dyrektywa odchodzi od konstrukcji „operator usług kluczowych / dostawca usług cyfrowych” i wprowadza podział na podmiot kluczowy oraz podmiot ważny. Wyraźnie rozszerza katalog branż objętych nadzorem – obok energii, transportu czy służby zdrowia pojawiają się m.in. produkcja żywności, gospodarka odpadami, usługi pocztowe, część przemysłu wytwórczego i administracja publiczna. Przy okazji zaostrza wymogi dotyczące raportowania incydentów oraz harmonizuje system kar w całej UE.

Najważniejsze nowe obowiązki

NIS2 nakłada na podmioty z listy sektorów m.in. taki zakres obowiązków:

• wdrożenie systemowego zarządzania ryzykiem w cyberbezpieczeństwie (analiza, ocena, mitygacja),
• przygotowanie i utrzymywanie Środków technicznych, organizacyjnych i operacyjnych, adekwatnych do poziomu ryzyka,
• organizację procesu zgłaszania incydentów i krytycznych awarii do właściwych CSIRT,
• dokumentowanie działań bezpieczeństwa oraz prowadzenie dzienników systemowych,
• uwzględnianie bezpieczeństwa łańcucha dostaw ICT oraz oceny dostawców pod kątem ryzyka,
• regularne szkolenia personelu, w tym kadry zarządzającej.

Kogo dotyczą przepisy NIS2?

Zakres podmiotowy jest szerszy niż w NIS1 – dyrektywa mówi o 18 sektorach krytycznych i ważnych. Wśród nich są m.in. energetyka, transport wszystkich rodzajów, bankowość, infrastruktura rynku finansowego, ochrona zdrowia, woda pitna i ścieki, infrastruktura cyfrowa, przestrzeń kosmiczna, produkcja żywności, część przemysłu wytwórczego, usługi pocztowe i kurierskie, a także administracja publiczna na poziomie centralnym i regionalnym.

Co do zasady regulacje obejmują średnie i duże przedsiębiorstwa działające w tych sektorach – czyli podmioty zatrudniające co najmniej 50 osób i osiągające roczny obrót powyżej 10 mln euro, aż po duże firmy z zatrudnieniem od 250 osób i obrotem powyżej 50 mln euro. Wyjątkowo przepisy mogą objąć również mniejsze organizacje, jeśli ich usługi mają szczególne znaczenie dla gospodarki, bezpieczeństwa państwa lub ciągłości funkcjonowania infrastruktury.

Podmiot kluczowy a podmiot ważny

Dyrektywa rozróżnia dwa typy organizacji – podmioty kluczowe i ważne – które podlegają tym samym wymaganiom merytorycznym, ale innym rygorom nadzorczym. Podmiot kluczowy to zazwyczaj duży przedsiębiorca z sektora krytycznego lub jednostka uznana za strategiczną niezależnie od wielkości (np. operator obiektu energetyki jądrowej czy rejestr domen najwyższego poziomu). Podmioty ważne to z kolei najczęściej średnie firmy z sektorów krytycznych albo średnie i duże przedsiębiorstwa z sektorów ważnych.

Różnica dotyczy głównie sposobu nadzoru. Wobec podmiotów kluczowych stosowany jest stały, aktywny nadzór, z możliwością częstych kontroli i audytów. Firmy uznane za ważne podlegają nadzorowi następczemu, uruchamianemu np. po poważnym incydencie lub stwierdzeniu naruszeń. W obu przypadkach brak spełnienia wymagań NIS2 może prowadzić do dotkliwych sankcji finansowych i konsekwencji dla osób zarządzających.

Dyrektywa NIS2 przewiduje maksymalne kary do 10 mln EUR lub 2% globalnego obrotu za najpoważniejsze naruszenia obowiązków w zakresie cyberbezpieczeństwa.

Jak NIS2 jest wdrażana w Polsce przez ustawę o KSC?

Na poziomie krajowym NIS2 jest implementowana przez Ustawę o KSC – ustawę o krajowym systemie cyberbezpieczeństwa. Nowelizacja tej ustawy przenosi do polskiego prawa zarówno definicje podmiotów kluczowych i ważnych, jak i szczegółowe obowiązki dotyczące systemów informacyjnych, raportowania incydentów czy nadzoru. Dokument wyznacza przy tym konkretne terminy, od kiedy firmy muszą spełniać wymagania oraz w jakim czasie mają zarejestrować się jako podmioty objęte regulacją.

Nowe przepisy mają zacząć obowiązywać od 3 kwietnia 2026 r., a obowiązki wdraża się etapami. Najpierw przedsiębiorca powinien sprawdzić, czy spełnia kryteria uznania za podmiot kluczowy lub ważny i czy działa w jednym z sektorów wymienionych w załącznikach do ustawy. Następnie konieczne jest zgłoszenie do wykazu podmiotów kluczowych i ważnych, a w dalszej kolejności – wdrożenie systemu zarządzania bezpieczeństwem informacji oraz przygotowanie się do audytów i nadzoru.

Wykaz podmiotów kluczowych i ważnych

W Polsce funkcjonuje elektroniczny rejestr – wykaz podmiotów kluczowych i ważnych – prowadzony w systemie S46 przez organy właściwe do spraw cyberbezpieczeństwa. Wpis do tego wykazu potwierdza, że dana organizacja podlega ustawie o KSC, umożliwia komunikację z zespołami reagowania i stanowi podstawę do nadzoru. Firmy, które spełniają przesłanki, mają określony czas na zgłoszenie się do rejestru, a zmiany danych należy aktualizować w ciągu kilkunastu dni.

Dane z wykazu nie są publicznie dostępne – przekazywane są jedynie uprawnionym instytucjom, takim jak organy nadzorcze i krajowe CSIRT. Wpis może nastąpić zarówno na wniosek podmiotu, jak i z urzędu, jeśli organ stwierdzi, że firma spełnia kryteria i nie dopełniła obowiązku samoidentyfikacji.

Jakie środki bezpieczeństwa wymusza NIS2?

Dyrektywa nie narzuca jednego, gotowego zestawu rozwiązań technicznych, ale wymaga, aby każda organizacja objęta przepisami wdrożyła kompleksowy system zarządzania bezpieczeństwem informacji. Chodzi o spójne podejście – od analizy ryzyka, przez dobór środków, aż po testowanie i doskonalenie. Wariant „papierowego bezpieczeństwa” bez realnych działań nie spełni wymagań ani NIS2, ani ustawy o KSC.

W ramach minimalnego katalogu środków ustawa wymienia m.in.: polityki szacowania ryzyka, zabezpieczenia fizyczne i logiczne, kontrolę dostępu, szyfrowanie, mechanizmy aktualizacji i zarządzania podatnościami, monitoring systemów oraz plany ciągłości działania. Wymagane jest także uwzględnienie ryzyk w łańcuchu dostaw – w relacjach z dostawcami usług i rozwiązań ICT oraz ich podwykonawcami.

System zarządzania bezpieczeństwem informacji

Podmioty kluczowe i ważne mają obowiązek wdrożyć system zarządzania bezpieczeństwem informacji obejmujący cały cykl życia systemów IT używanych do świadczenia usług. Taki system powinien zapewniać identyfikację zagrożeń, ocenę ich prawdopodobieństwa i skutków, a następnie dobór środków mitygujących. W praktyce często oznacza to zbliżenie organizacji do standardów typu ISO/IEC 27001, ale przepisy nie narzucają jednego konkretnego modelu certyfikacji.

Istotna jest także dokumentacja – zarówno normatywna (polityki, procedury, plany), jak i operacyjna (logi, rejestry incydentów, zapisy z audytów). Musi być utrzymywana w sposób zapewniający integralność, dostęp tylko dla upoważnionych osób i możliwość odtworzenia przebiegu zdarzeń. Minimalny okres przechowywania takich informacji to co najmniej 2 lata po zakończeniu korzystania z danego systemu lub usługi.

Rola zespołów CSIRT i ENISA

Na poziomie krajowym kluczowym elementem systemu są zespoły reagowania na incydenty – CSIRT – działające np. przy NASK, administracji rządowej czy MON. Odpowiadają one za przyjmowanie zgłoszeń, analizę poważnych incydentów i wsparcie techniczne dla organizacji. Na poziomie unijnym dyrektywa umacnia rolę ENISA, czyli Agencji UE ds. Cyberbezpieczeństwa, która koordynuje współpracę, przygotowuje wytyczne i rekomendacje oraz wspiera proces wdrażania NIS2 w państwach członkowskich.

Jednym z narzędzi współpracy jest europejska sieć organizacji łącznikowych ds. kryzysów cybernetycznych (EU‑CyCLONe), odpowiedzialna za zarządzanie cyberkryzysami na dużą skalę i wymianę informacji między krajami. Równolegle działa grupa współpracy ds. bezpieczeństwa sieci i informacji, w której uczestniczą przedstawiciele państw członkowskich, Komisji Europejskiej i ENISA.

Jak wygląda zgłaszanie incydentów i jakie są kary?

NIS2 znacząco doprecyzowuje zasady raportowania incydentów. Podmiot kluczowy lub ważny, który doświadczy poważnego zdarzenia cybernetycznego wpływającego na ciągłość usług, ma obowiązek przekazać do właściwego CSIRT wczesne ostrzeżenie w ciągu 24 godzin i pełne zgłoszenie w ciągu 72 godzin. Następnie przygotowuje sprawozdanie końcowe opisujące przebieg incydentu, skutki oraz wdrożone środki naprawcze.

Incydent uznaje się za poważny, jeśli powoduje znaczące zakłócenia świadczonej usługi, poważne straty finansowe lub istotną szkodę materialną bądź niematerialną dla innych podmiotów. W przypadku incydentów krytycznych – o dużej skali i wpływie na bezpieczeństwo publiczne – przepisy przewidują możliwość wydania poleceń zabezpieczających nakazujących np. wprowadzenie określonych łatek, zmian konfiguracji czy nawet wycofanie z użycia produktów uznanego dostawcy wysokiego ryzyka.

Ustawa o KSC przewiduje ponadto możliwość nakładania sankcji bezpośrednio na osoby zarządzające, gdy nie zapewnią one wdrożenia wymaganych środków bezpieczeństwa. Odpowiedzialność zarządu nie znika nawet wtedy, gdy część zadań zostanie formalnie powierzona innym osobom – liczy się realny nadzór nad cyberbezpieczeństwem.

W polskim systemie krajowym górna granica sankcji administracyjnych może sięgnąć nawet 100 mln zł, jeśli naruszenia mają szczególnie poważny charakter.