NIS 2

Czym dokładnie jest NIS 2 i dlaczego ma tak duże znaczenie?

Prawidłowe wdrożenie w życie Dyrektywy NIS 2 staje się jeszcze bardziej istotne, ze względu na fakt, że w związku z napiętą sytuacją geopolityczną w naszym regionie Polska stała się najczęściej atakowanym przez hakerów krajem spośród państw członkowskich NATO.

Zatem nawet jeśli firma wdrożyła już pewne zabezpieczenia w zakresie bezpieczeństwa sieci i informacji, to musi je dostosować do nowej rzeczywistości.

Z pełnym tekstem Dyrektywy można zapoznać się na stronie Dziennika Urzędowego Unii Europejskiej.

Poznaj bliżej

Główne cele dyrektywy NIS 2

Kogo dotyczy dyrektywa NIS 2?

Nowa dyrektywa NIS 2 obowiązuje podmioty kluczowe i ważne, zastępując dotychczasowy podział na operatorów usług kluczowych, dostawców usług cyfrowych i podmioty publiczne. Dyrektywa określa obowiązki dla tych podmiotów, które zostaną wdrożone na poziomie krajowym nie później niż na przełomie września i października 2024 roku.

Podmioty kluczowe są to podmioty, które dostarczają usługi niezbędne do funkcjonowania społeczeństwa i gospodarki. Podmioty kluczowe są integralnym elementem infrastruktury krytycznej Unii Europejskiej, a ich działalność ma bezpośredni wpływ na stabilność i bezpieczeństwo społeczne i gospodarcze. Od tych podmiotów oczekuje się, że będą one przestrzegać najwyższych standardów bezpieczeństwa.

Proces ustanowienia wykazu podmiotów kluczowych i ważnych będzie należał do obowiązków państw członkowskich, które będą odpowiedzialne za identyfikację tych podmiotów na swoim terytorium. Państwa członkowskie będą musiały określić kryteria i procedury identyfikacji, aby uwzględnić specyfikę swojego własnego rynku i sektorów. Ostateczne wykazy będą musiały zostać zgłoszone do Komisji Europejskiej.

Wyznaczone podmioty będą odpowiedzialne za podejmowanie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych w celu zarządzania ryzykami związanymi z sieciami i systemami, które są wykorzystywane do świadczenia usług. Szacuje się, że w Polsce lista ta obejmie kilka tysięcy firm.

Prowadzenie działalności w sektorze kluczowym nie jest jedynym kryterium uznania za podmiot kluczowy.

Drugim kryterium jest wielkość podmiotu. Podmiotami kluczowymi będą, często podmioty duże, czyli zatrudniające więcej niż 250 osób, oraz których obroty roczne przekraczają 50 mln euro.

Wyjątkiem od tego są między innymi kwalifikowani dostawcy usług zaufania, dostawcy usług DNS czy rejestratorzy nazw domen najwyższego poziomu – będą oni uznawani za podmioty kluczowe niezależnie od wielkości

Warto podkreślić, że konkretne kategorie podmiotów objętych dyrektywą NIS 2 mogą różnić się w zależności od państwa członkowskiego, ponieważ dyrektywa wymaga implementacji na poziomie krajowym.

Obowiązki podmiotów kluczowych i ważnych w świetle dyrektywy NIS 2

Odpowiedzialność i skutki nieprzestrzegania dyrektywy NIS 2

Dyrektywa NIS 2 nadaje właściwym organom krajowym nowe środki kontrolne i nadzorcze. Na przykład, organy te będą miały możliwość przeprowadzania doraźnych kontroli wobec podmiotów kluczowych. Będą również uprawnione do nakładania administracyjnych kar pieniężnych na podmioty kluczowe i ważne w przypadku naruszenia przepisów.

NIS 2 wprowadza zasadę odpowiedzialności indywidualnej. Osoby fizyczne, które są odpowiedzialne za podmioty kluczowe lub ważne, lub działają w charakterze przedstawicieli prawnych tych podmiotów, mogą ponieść odpowiedzialność za niewywiązanie się z obowiązku zapewnienia przestrzegania dyrektywy. Oznacza to, że osoby te mogą być pociągnięte do odpowiedzialności za nieprzestrzeganie wymogów dotyczących cyberbezpieczeństwa.

Konsekwencjami mogą być dość dotkliwe kary finansowe, sięgające maksymalnej wysokości co najmniej 10 mln euro lub co najmniej 2% łącznego światowego obrotu w przypadku podmiotów kluczowych. Podmioty ważne mogą liczyć się z karą do 7 mln EUR lub 1,4% łącznego światowego obrotu w poprzednim roku.

Dlaczego już teraz warto zainteresować się dyrektywą NIS 2?