Dyrektywa NIS 2

Dyrektywa NIS 2 (pełna nazwa: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148)^[1] – dyrektywa unijna mająca na celu zwiększenie ogólnego poziomu cyberbezpieczeństwa w Unii Europejskiej^[1]. Skrót NIS pochodzi od angielskich słów network and information systems.

Dyrektywa NIS, czyli Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii^[2] była pierwszym europejskim aktem prawnym w zakresie cyberbezpieczeństwa. Jej głównym celem było zapewnienie wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych w całej Unii Europejskiej.

Z biegiem lat ewolucja zagrożeń cyberbezpieczeństwa oraz sytuacja geopolityczna skłoniły Unię do aktualizacji przepisów. Nowa wersja dyrektywy, nazwana NIS 2, weszła w życie w 2023 r. i była jednym z elementów reakcji Unii Europejskiej na wojnę rosyjsko-ukraińską^[3]. Rozszerzając zakres przepisów dotyczących cyberbezpieczeństwa na nowe sektory i podmioty, ma zwiększyć odporność i zdolność reagowania na incydenty podmiotów publicznych i prywatnych, właściwych organów i całej UE^[4].

NIS 2 wymaga wprowadzenia odpowiednich rozwiązań ustawodawczych w celu zapewnienia cyberbezpieczeństwa kluczowym, krytycznym branżom, a tym samym również całym państwom. Od 18 października 2024 r. wszystkie kraje członkowskie Unii Europejskiej są zobowiązane do zmiany wewnętrznych przepisów w taki sposób, żeby były zgodne z nową dyrektywą^[5]. W Polsce zgodność z NIS 2 ma zostać osiągnięte poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Dyrektywa NIS 2 przekształca dotychczasowe ramy systemu cyberbezpieczeństwa w Unii Europejskiej. Wprowadza m.in. nowe zadania dla państw członkowskich, rozszerza zakres podmiotów objętych obowiązkami z zakresu cyberbezpieczeństwa oraz redefiniuje kompetencje organów UE^[6].

NIS 2 przewiduje środki prawne mające na celu zwiększenie ogólnego poziomu cyberbezpieczeństwa w UE poprzez zapewnienie gotowości państw członkowskich do reagowania na incydenty^[7], kooperacji między wszystkimi państwami członkowskimi poprzez utworzenie grupy współpracy^[8] oraz zwiększenie kultury bezpieczeństwa w sektorach, które mają zasadnicze znaczenie dla gospodarki i społeczeństwa, takich jak energia, transport, woda, bankowość, infrastruktura rynku finansowego, opieka zdrowotna i infrastruktura cyfrowa^[7]. W praktyce oznacza to, że tysiące podmiotów prywatnych oraz publicznych będzie zobowiązanych do spełnienia szeregu nowych wymagań z zakresu cyberbezpieczeństwa^[9][10]. Bardziej rygorystyczne zasady obejmą m.in. usługi transportowe, energetykę czy sektor finansowy^[11][12].

Dyrektywa NIS2 wprowadza jednakowe obowiązki dla dwóch głównych grup: podmiotów kluczowych i ważnych. W poprzedniej wersji dyrektywy obowiązki operatorów usług kluczowych oraz dostawców usług cyfrowych różniły się między sobą^[13].

Według NIS2 za podmioty kluczowe są uznawane podmioty z następujących sektorów^[1]:

1. energetyka (w podsektorach: energia elektryczna, system ciepłowniczy lub chłodniczy, ropa naftowa, gaz, wodór),
2. transport (lotniczy, kolejowy, wodny, drogowy),
3. bankowość (instytucje kredytowe),
4. infrastruktura rynków finansowych (operatorzy systemów obrotu i kontrahenci centralni),
5. opieka zdrowotna (m.in. świadczeniodawcy, laboratoria referencyjne, podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych, producenci podstawowych leków i wyrobów medycznych uznanych za krytyczne),
6. woda pitna (dostawcy i dystrybutorzy wody przeznaczonej do spożycia przez ludzi),
7. ścieki (przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, bytowe lub przemysłowe),
8. infrastruktura cyfrowa (m.in. IXP, DNS i TLD),
9. zarządzanie usługami sektora teleinformatycznego (między przedsiębiorstwami – dostawcy usług zarządzanych),
10. administracja publiczna (na szczeblach centralnym i regionalnym zdefiniowanych przez państwo członkowskie zgodnie z prawem krajowym),
11. przestrzeń kosmiczna (operatorzy infrastruktury naziemnej wspierającej świadczenie usług kosmicznych).

Do podmiotów ważnych zalicza się^[1]:

1. usługi pocztowe i kurierskie,
2. gospodarowanie odpadami,
3. wytwarzanie, produkcja i dystrybucja chemikaliów,
4. produkcja, przetwórstwo i dystrybucja żywności,
5. produkcja (w tym wyroby medyczne, produkty komputerowe, elektroniczne i optyczne, sprzęt elektryczny, maszyny i wyposażenie, pojazdy samochodowe, przyczepy i naczepy oraz inny sprzęt transportowy),
6. dostawców usług cyfrowych,
7. instytucje badawcze.

Podmioty kluczowe i ważne różnią się poziomem nadzoru, tym, w jaki sposób są egzekwowane wymagania z zakresu cyberbezpieczeństwa, oraz wysokością ewentualnych kar. Podmiot kluczowy za naruszenie wymagań dyrektywy NIS2 może ponieść karę pieniężną w maksymalnej wysokości 10 mln euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa^[14]. Maksymalna kara, którą można nałożyć na podmiot ważny, wynosi 7 mln euro^[15] lub 1,4 % obrotu.

Jednym z kluczowych aspektów dyrektywy NIS 2 są obowiązki związane z cyberbezpieczeństwem, nakładane na podmioty działające w sektorach krytycznych. Państwa członkowskie mają zapewnić, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź minimalizowania takiego wpływu^[13].

Wymienione środki bazują na podejściu uwzględniającym wszystkie zagrożenia i mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami. Obejmują co najmniej następujące elementy:

• politykę analizy ryzyka i bezpieczeństwa systemów informatycznych
• obsługę incydentu
• ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe
• bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami
• bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie
• polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie
• podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa
• polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania
• bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami
• w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.