Dyrektywa NIS 2 – nowe obowiązki w zakresie cyberbezpieczeństwa

Dyrektywa NIS 2 (UE 2022/2555) to unijne regulacje, których celem jest znaczące podniesienie poziomu cyberbezpieczeństwa w organizacjach kluczowych dla funkcjonowania gospodarki i społeczeństwa. Zastępuje ona wcześniejszą dyrektywę NIS, rozszerzając zarówno zakres podmiotów objętych regulacją, jak i katalog obowiązków.

NIS 2 wprowadza jednolite standardy zarządzania bezpieczeństwem informacji oraz reagowania na incydenty cybernetyczne we wszystkich państwach UE.

Kogo dotyczy NIS 2?

Dyrektywa obejmuje znacznie szersze grono organizacji niż dotychczas, w tym m.in.:

• energetykę, transport, bankowość i infrastrukturę finansową,
• ochronę zdrowia i farmację,
• dostawców usług cyfrowych i IT,
• telekomunikację, wodociągi i gospodarkę odpadami,
• produkcję przemysłową, logistykę i sektor spożywczy.

Kluczowe znaczenie ma nie tylko branża, ale również wielkość organizacji oraz jej rola w łańcuchach dostaw.

Najważniejsze obowiązki wynikające z NIS 2

Organizacje objęte NIS 2 muszą wdrożyć m.in.:

• systemowe zarządzanie ryzykiem cyberbezpieczeństwa,
• odpowiednie środki techniczne i organizacyjne,
• procedury reagowania na incydenty i ciągłości działania,
• obowiązek zgłaszania incydentów w ściśle określonych terminach,
• nadzór zarządczy nad cyberbezpieczeństwem (odpowiedzialność kadry kierowniczej).

Dyrektywa kładzie silny nacisk na odpowiedzialność zarządu oraz realną egzekwowalność przepisów.

Sankcje za brak zgodności

Niezastosowanie się do wymagań NIS 2 może skutkować:

• wysokimi karami finansowymi,
• sankcjami administracyjnymi,
• odpowiedzialnością osobistą członków kierownictwa,
• utratą zaufania klientów i partnerów biznesowych.