Jakie obowiązki nakłada NIS2 na firmy?

Czy wiesz, że…

Pierwsza wersja dyrektywy NIS została przyjęta w 2016 roku, jej zaktualizowaną formę – czyli NIS2 – uruchomiono 16 stycznia 2023 roku. Termin implementacji wyznaczono na 17 października 2024 roku, a dokładny zakres nowych przepisów będzie zależał od decyzji polskiego ustawodawcy.W Polsce w kwietniu br. Ministerstwo Cyfryzacji przedstawiło projekt ustawy o Krajowym Systemie Cyberbezpieczeństwa w odniesieniu do dyrektywy NIS2.

Czego dotyka NIS2?

Dyrektywa NIS2 (Network and Information Systems Directive) ma na celu stworzenie spójnego podejścia do bezpieczeństwa cyfrowego w całej Unii Europejskiej. Wszystko po to, by zwiększyć zdolność państw członkowskich do zapobiegania i reagowania na cyberzagrożenia, a także poprawić współpracę i wymianę informacji na poziomie międzynarodowym.

Aby to osiągnąć, w NIS2 znacząco rozszerzono ilość sektorów gospodarki oraz obowiązków i wymagań. Dyrektywa wskazuje aż 11 sektorów działalności wśród podmiotów kluczowych (czyli tych, które mają szczególne znaczenie dla funkcjonowania gospodarki i społeczeństwa, m.in. energetyka, transport, zdrowie, infrastruktura cyfrowa) i 7 wśród podmiotów ważnych (czyli pełniących istotne funkcje, ale z rolą nie tak krytyczną jak w przypadku podmiotów kluczowych, jak np. usługi cyfrowe, pocztowe i kurierskie, zarządzanie odpadami).

Krok ku cyberbezpieczeństwu

Dyrektywa NIS2 nakłada bardziej rygorystyczne wymagania dot. zarządzania cyberryzykiem, oczekując od organizacji zastosowania zaawansowanych środków bezpieczeństwa i polityk zarządzania ryzykiem.

Wśród obowiązków znalazło się m.in. wdrożenie polityk i procedur rozwoju i utrzymania systemów informatycznych, wdrożenie MFA, plan ciągłości działania i zarządzania kryzysowego, monitorowanie i reagowanie na incydenty, raportowanie ich do odpowiednich organów w ciągu 24 h od wykrycia, a także szkolenia dla pracowników w zakresie cyberbezpieczeństwa.

Co ważne, środki zarządzania ryzykiem mają być proporcjonalne i mają uwzględniać stopień narażenia podmiotu na ryzyko, jego wielkość, prawdopodobieństwo wystąpienia incydentów oraz ich dotkliwość, w tym skutki społeczne i gospodarcze. Odpowiedzialność za wszelkie szkody w zakresie zarządzania cyberryzykiem ponosi zaś kierownictwo wyższego szczebla.

A jeśli nie, to co...?

Warto podkreślić, że dyrektywa NIS2 wprowadza surowe sankcje za niespełnienie wymogów dotyczących bezpieczeństwa sieci i systemów informacyjnych. Organizacje, które nie dostosują się do nowych przepisów, mogą zostać ukarane grzywnami wynoszącymi nawet do 10 milionów euro lub 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa.

Kary te mają na celu zmotywowanie podmiotów do wdrożenia odpowiednich środków ochrony i zarządzania ryzykiem. Ponadto, dyrektywa przewiduje możliwość nałożenia dodatkowych sankcji, takich jak zakaz prowadzenia działalności gospodarczej w określonym sektorze lub konieczność wdrożenia konkretnych środków naprawczych.

Organy nadzoru będą miały również uprawnienia do przeprowadzania audytów i inspekcji, aby upewnić się, że organizacje spełniają wymagania dyrektywy.

Pierwszy krok w stronię NIS2

Aby skutecznie przygotować się do wdrożenia zmian wymaganych przez dyrektywę NIS2, warto rozpocząć od przeprowadzenia kompleksowego audytu. Na początek warto zidentyfikować, czy i w jakim stopniu firma podlega nowym przepisom. Jest to niezbędne do zrozumienia specyficznych obowiązków i przygotowania odpowiedniej strategii dostosowawczej.

- Jak pokazują wyniki badań firmy Dell Technologies, średnio cyberataki kosztowały organizacje 2,61 mln dolarów, odpowiadały za 26 godzin nieplanowanego przestoju i spowodowały stratę 2,45 TB danych. Jednak – pomimo rosnącej liczby zagrożeń – wciąż spotykamy się z sytuacją, iż organizacje nie wiedzą, jak przygotować się do zmiany, a także czy podlegają pod dyrektywę NIS2 i jakie kroki powinny podjąć by dostosować się do jej wymogów. Taka sytuacja jest bardzo ryzykowna – powiedział Rafał Brudnicki z firmy Servers24.pl, wspierającej firmy we wdrażaniu rozwiązań IT, w tym również w zakresie cyberbezpieczeństwa.

- Dlatego ze swojej strony zachęcamy klientów na początek do rozmowy i przeprowadzenia audytu zgodności, który precyzyjnie określa obszary działalności wymagające dostosowania do nowych wymogów, identyfikuje luki i nieprawidłowości w obecnych systemach bezpieczeństwa. Dzięki takiemu podejściu organizacje mogą nie tylko spełnić wymogi dyrektywy, ale przede wszystkim zbudować bardziej odporną na zagrożenia cyfrowe infrastrukturę, zapewniając sobie długoterminową stabilność operacyjną — dodał.

Od audytu do działania

Ważną rolę odgrywają dziś nowoczesne rozwiązania bezpieczeństwa IT oferowane przez wiodących producentów. Firma Servers24.pl we współpracy m.in. z Dell Technologies czy Cisco, jest w stanie pomóc w sprawnym i kompletnym zaprojektowaniu, przetestowaniu (Proof of Concept) oraz wdrożeniu systemu ochrony danych.

Dostępne dziś na rynku produkty tych firm pozwalają na monitorowanie i neutralizację potencjalnych ataków, a także integrację z istniejącymi systemami IT. Dzięki temu firmy uzyskują stabilne i odporne na cyberataki środowisko, które pozwala im osiągnąć długoterminową stabilność biznesową. A o to przede wszystkim w NIS2 chodzi!

Więcej o konkretnych rozwiązaniach Dell Technologies i Cisco w zakresie cyberbezpieczeństwa można dowiedzieć się z webinarów Servers24.pl.