Projekt ustawy implementującej NIS 2 został przyjęty przez Radę Ministrów 29 kwietnia 2025 r. i skierowany do Sejmu 5 maja 2025 r..
Czym jest NIS 2 i dlaczego ma tak duże znaczenie?
Dyrektywa NIS 2 (UE 2022/2555) zastępuje dotychczasową dyrektywę NIS, wprowadzając jednolite, znacznie ostrzejsze standardy cyberbezpieczeństwa w całej Unii Europejskiej. Jej celem jest zwiększenie odporności państw, gospodarki i społeczeństwa na cyberataki.
W odróżnieniu od poprzednich regulacji, NIS 2:
- ✓ obejmuje znacznie szerszy katalog sektorów i podmiotów,
- ✓ wprowadza odpowiedzialność kadry zarządzającej,
- ✓ wymaga realnych, a nie deklaratywnych środków bezpieczeństwa,
- ✓ przewiduje wysokie kary finansowe za brak zgodności.
Podmioty kluczowe i podmioty ważne – nowy podział
NIS 2 oraz projekt ustawy o KSC wprowadzają dwa podstawowe typy podmiotów:
Podmioty kluczowe
Są to podmioty, których zakłócenie działania może mieć istotny wpływ na bezpieczeństwo państwa, zdrowie publiczne lub gospodarkę. Obejmują m.in.:
- ✓ energetykę, gaz, paliwa, wodociągi,
- ✓ transport i infrastrukturę krytyczną,
- ✓ ochronę zdrowia i systemy medyczne,
- ✓ administrację publiczną i usługi cyfrowe państwa.
Podmioty ważne
To podmioty o istotnym znaczeniu gospodarczym lub społecznym, których zakłócenie działalności może powodować poważne skutki pośrednie. Należą do nich m.in.:
- ✓ usługi IT i centra danych,
- ✓ platformy cyfrowe i dostawcy chmury,
- ✓ producenci kluczowych komponentów ICT,
- ✓ operatorzy usług B2B o znaczeniu systemowym.
Nowe obowiązki – co się zmienia?
Zarówno podmioty kluczowe, jak i ważne będą musiały wdrożyć kompleksowy system zarządzania cyberbezpieczeństwem, obejmujący m.in.:
- ✓ analizę i zarządzanie ryzykiem cybernetycznym,
- ✓ procedury reagowania na incydenty,
- ✓ ciągłość działania i plany awaryjne,
- ✓ bezpieczeństwo łańcucha dostaw,
- ✓ regularne audyty, testy i szkolenia personelu.
Nowością jest również obowiązek osobistego nadzoru zarządu oraz możliwość nałożenia sankcji nie tylko na podmiot, ale również na osoby pełniące funkcje kierownicze.
Przykłady praktyczne – jak to może wyglądać w rzeczywistości?
Szpital jako podmiot kluczowy będzie musiał zapewnić nieprzerwaną dostępność systemów EDM, wdrożyć segmentację sieci, monitorowanie zagrożeń i procedury reagowania na ransomware.
Firma IT świadcząca usługi chmurowe jako podmiot ważny będzie zobowiązana do audytów bezpieczeństwa, kontroli dostawców, raportowania incydentów oraz utrzymywania wysokich standardów ochrony danych klientów.
Kiedy przepisy wejdą w życie?
Po uchwaleniu ustawy przez Sejm i podpisie Prezydenta przepisy implementujące NIS 2 mają wejść w życie w 2025 r., z krótkimi okresami przejściowymi na wdrożenie obowiązków.
Jak się przygotować już teraz?
- ✓ zidentyfikować, czy jesteś podmiotem kluczowym lub ważnym,
- ✓ przeprowadzić audyt cyberbezpieczeństwa,
- ✓ wdrożyć zarządzanie ryzykiem i procedury incydentowe,
- ✓ przeszkolić zarząd i kluczowych pracowników,
- ✓ przygotować się na kontrole i raportowanie.
Podsumowanie
NIS 2 i nowy KSC to nie jest kolejna formalność. To systemowa zmiana podejścia do cyberbezpieczeństwa, w której brak przygotowania może oznaczać realne ryzyko prawne, finansowe i reputacyjne. Im wcześniej organizacja zacznie działania, tym mniejsze koszty i większa odporność w przyszłości.
