W dzisiejszym, coraz bardziej zdigitalizowanym świecie, ochrona przed cyberzagrożeniami staje się priorytetem dla państw, instytucji publicznych oraz firm prywatnych. Dyrektywa NIS2 (Network and Information Security) oraz Ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) w Polsce są kluczowymi elementami prawnymi, mającymi na celu zapewnienie wysokiego poziomu bezpieczeństwa sieci i systemów informacyjnych w całej Europie.
Dyrektywa NIS2, wprowadzona przez Unię Europejską, zaostrza i rozszerza wymagania dotyczące cyberbezpieczeństwa, nakładając obowiązki na nowe sektory i organizacje. Z kolei Ustawa o Krajowym Systemie Cyberbezpieczeństwa dostosowuje te wymogi do polskiego systemu prawnego, stawiając polskie firmy przed nowymi wyzwaniami i obowiązkami. W artykule przybliżymy główne założenia NIS2, omówimy, kogo obejmują te przepisy, oraz jakie kroki należy podjąć, aby zapewnić zgodność z nowymi regulacjami.
Podsumowanie projektu ustawy o KSC z dnia 3 października 2024 r.
I. Kryteria uznawania za podmiot kluczowy i podmiot ważny
- Podmiot kluczowy:
- a) Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE.
- b) Przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi dla średniego przedsiębiorcy.
- c) Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy albo je przewyższa.
- d) Niezależnie od wielkości podmiotu:
– Dostawca usług DNS
– Kwalifikowany dostawca usług zaufania
– Podmiot krytyczny w rozumieniu dyrektywy CER
– Podmiot publiczny
– Podmiot zidentyfikowany jako podmiot kluczowy przez organ właściwy do spraw cyberbezpieczeństwa
– Państwowa osoba prawna zidentyfikowana jako podmiot kluczowy w sektorze podmiotów publicznych
– Podmiot wskazany z nazwy albo rodzaju w załączniku nr 1, niebędący przedsiębiorcą
– Operator obiektu energetyki jądrowej
– Rejestr nazw domen najwyższego poziomu (TLD)
- Podmiot ważny:
- a) Osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 lub nr 2 do ustawy, która spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE oraz nie jest podmiotem kluczowym.
- b) Niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą.
- c) Przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą.
- d) Podmiot zidentyfikowany jako podmiot ważny przez organ właściwy do spraw cyberbezpieczeństwa.
- e) Inwestor obiektu energetyki jądrowej, który uzyskał decyzję zasadniczą.
- f) Podmiot określony w załączniku nr 2 nazwą rodzajową, niebędący przedsiębiorcą.
Nie wiesz jak wdrożyć system wymagania NIS2 i spełnić wymagania Dyrektywy?
Jeżeli tak jest, to dobrze trafiłeś. Przeprowadzimy audyt wstępny, zweryfikujemy Twoje potrzeby w zakresie wymagań, a następnie pomożemy Ci spełnić wdrożyć odpowiednie zabezpieczenia organizacyjne, techniczne i fizyczne, optymalizując koszy całego projektu.
II. Obowiązki podmiotów kluczowych
-
- Wdrożenie systemu zarządzania bezpieczeństwem informacji obejmującego:
- a) Systematyczne szacowanie ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem
- b) Wdrożenie odpowiednich środków technicznych i organizacyjnych, w tym:
– Polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego
– Bezpieczeństwo w procesie nabywania, rozwoju i eksploatacji systemu informacyjnego
– Bezpieczeństwo fizyczne i środowiskowe
– Bezpieczeństwo zasobów ludzkich
– Bezpieczeństwo łańcucha dostaw
– Plany ciągłości działania i odtwarzania
– Monitorowanie systemu informacyjnego
– Polityki oceny skuteczności środków bezpieczeństwa
– Edukację z zakresu cyberbezpieczeństwa
– Podstawowe zasady cyberhigieny
– Polityki kryptografii
– Bezpieczne środki komunikacji elektronicznej
– Zarządzanie aktywami
– Polityki kontroli dostępu
- c) Zbieranie informacji o cyberzagrożeniach i podatnościach
- d) Zarządzanie incydentami
- e) Stosowanie środków zapobiegających i ograniczających wpływ incydentów
- Wyznaczenie kierownika odpowiedzialnego za cyberbezpieczeństwo
- Zapewnienie, że osoby realizujące zadania z zakresu cyberbezpieczeństwa nie były karane za przestępstwa przeciwko ochronie informacji
- Wyznaczenie co najmniej dwóch osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa
- Zapewnienie użytkownikom dostępu do wiedzy o cyberzagrożeniach
- Zgłaszanie incydentów poważnych do CSIRT sektorowego
- Dokumentowanie działań związanych z zarządzaniem ryzykiem i obsługą incydentów
- Przeprowadzanie audytu bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata
- Stosowanie się do poleceń zabezpieczających wydawanych przez ministra właściwego ds. informatyzacji
- Wycofanie produktów, usług i procesów ICT pochodzących od dostawców uznanych za dostawców wysokiego ryzyka
- Uczestnictwo w ćwiczeniach z zakresu cyberbezpieczeństwa organizowanych przez CSIRT
- Przekazywanie organom właściwym informacji niezbędnych do realizacji ich zadań
III. Obowiązki podmiotów ważnych
Podmioty ważne mają w zasadzie takie same obowiązki jak podmioty kluczowe, z następującymi różnicami:
- Mogą wyznaczyć jedną osobę do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (zamiast dwóch)
- Nie mają obowiązku przeprowadzania regularnych audytów bezpieczeństwa (audyt może być zarządzony przez organ właściwy)
- Podlegają uproszczonemu systemowi nadzoru – tylko ex post (w przeciwieństwie do podmiotów kluczowych, które podlegają nadzorowi ex ante i ex post)
- Mają dłuższy termin na wycofanie produktów, usług i procesów ICT od dostawców wysokiego ryzyka (7 lat zamiast 5 lat)
- Podlegają niższym karom finansowym za naruszenia przepisów ustawy
Podsumowując, główna różnica polega na mniej rygorystycznym reżimie nadzorczym wobec podmiotów ważnych, przy zachowaniu większości obowiązków merytorycznych w zakresie cyberbezpieczeństwa.
Kogo dotyczy NIS2
Nowa dyrektywa jest wymogiem dla podmiotów zatrudniających minimum 50 osób, klasyfikowanych jako kluczowe i ważne z 18 sektorów w takich branżach jak:
Podmioty kluczowe wg NIS2 (zgodnie z załącznikiem I dyrektywy):
-
- energetyka,
- transport,
- bankowość,
- infrastruktura rynków finansowych,
- opieka zdrowotna,
- sektor wody pitnej,
- ścieki,
- infrastruktura cyfrowa,
- zarządzanie usługami ICT,
- administracja publiczna,
- przestrzeń kosmiczna.
Podmioty ważne wg NIS2 (zgodnie z załącznikiem II dyrektywy):
-
- usługi pocztowe i kurierskie,
- gospodarowanie odpadami,
- produkcja, przetwarzanie i dystrybucja chemikaliów,
- produkcja, przetwarzanie i dystrybucja żywności,
- produkcja (w szerokim znaczeniu),
- usługi cyfrowe,
- badania naukowe.
