Dyrektywa NIS2

Dyrektywa NIS2 (Dyrektywa (UE) 2022/2555) to zaktualizowane unijne przepisy dotyczące cyberbezpieczeństwa, które ustanawiają kompleksowe wymogi w zakresie bezpieczeństwa i raportowania incydentów dla podmiotów kluczowych i ważnych w krytycznych sektorach. Obowiązująca od 18 października 2024 r., NIS2 znacznie rozszerza zakres i egzekwowanie swojego poprzednika (NIS1), obejmując więcej sektorów i nakładając surowsze obowiązki.

Kto musi przestrzegać Dyrektywy NIS2?

NIS2 dotyczy organizacji działających w UE w 18 krytycznych sektorach, podzielonych na kategorie:

Podmioty kluczowe (wyższa krytyczność):

• Energetyka (elektryczność, ropa, gaz, wodór)
• Transport (lotniczy, kolejowy, wodny, drogowy)
• Bankowość i infrastruktura rynków finansowych
• Sektor zdrowia (dostawcy usług medycznych, laboratoria, producenci urządzeń medycznych)
• Woda pitna i ścieki
• Infrastruktura cyfrowa (punkty wymiany ruchu internetowego, dostawcy DNS, usługi chmurowe, centra danych)
• Administracja publiczna
• Przestrzeń kosmiczna

Podmioty ważne (umiarkowana krytyczność):

• Usługi pocztowe i kurierskie
• Gospodarka odpadami
• Produkcja i dystrybucja chemikaliów
• Produkcja i dystrybucja żywności
• Przemysł produkcyjny (urządzenia medyczne, elektronika, maszyny, pojazdy silnikowe)
• Dostawcy usług cyfrowych (platformy internetowe, wyszukiwarki, sieci społecznościowe)
• Organizacje badawcze

Progi wielkości różnią się w zależności od państwa członkowskiego, ale generalnie dotyczą średnich i dużych organizacji (50+ pracowników lub 10 mln euro+ rocznego obrotu). Małe i mikroprzedsiębiorstwa mogą być objęte, jeśli świadczą usługi krytyczne.

Podstawowe wymogi bezpieczeństwa

NIS2 nakłada kompleksowy zestaw środków cyberbezpieczeństwa w dziesięciu domenach:

1. Zarządzanie ryzykiem: Identyfikacja i ocena ryzyka cyberbezpieczeństwa dla systemów sieciowych i informacyjnych
2. Obsługa incydentów: Wykrywanie, reagowanie i odtwarzanie po incydentach bezpieczeństwa
3. Ciągłość działania: Zarządzanie kopiami zapasowymi, odtwarzanie po awarii i zarządzanie kryzysowe
4. Bezpieczeństwo łańcucha dostaw: Ocena i zarządzanie ryzykiem bezpieczeństwa ze strony dostawców i usługodawców
5. Bezpieczeństwo w procesie zakupów: Integracja zabezpieczeń w procesie pozyskiwania systemów i usług
6. Zarządzanie podatnościami: Ocena podatności oraz wdrażanie poprawek i aktualizacji
7. Polityki i procedury: Dokumentowanie polityk bezpieczeństwa dotyczących kontroli dostępu, zarządzania zasobami i uwierzytelniania
8. Kryptografia i szyfrowanie: Ochrona poufności i integralności danych
9. Bezpieczeństwo zasobów ludzkich: Polityki kontroli dostępu, szkolenia i programy uświadamiające
10. Uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja: Wdrażanie silnego uwierzytelniania oraz szyfrowanych systemów komunikacji awaryjnej

Obowiązki raportowania incydentów

NIS2 wprowadza ścisłe terminy raportowania incydentów:

• Wczesne ostrzeżenie (24 godziny): Powiadomienie krajowego CSIRT lub właściwego organu w ciągu 24 godzin od stwierdzenia istotnego incydentu
• Powiadomienie o incydencie (72 godziny): Przesłanie wstępnej oceny, w tym stopnia ważności, wskaźników naruszenia oraz początkowego wpływu
• Raport końcowy (1 miesiąc): Dostarczenie szczegółowego raportu z analizą przyczyn źródłowych, oceną wpływu i środkami zaradczymi

Zarządzanie i odpowiedzialność

NIS2 podkreśla odpowiedzialność organów zarządzających:

• Odpowiedzialność na poziomie zarządu: Organy zarządzające muszą zatwierdzać środki cyberbezpieczeństwa i nadzorować ich wdrażanie
• Odpowiedzialność osobista: Zarząd może ponosić osobistą odpowiedzialność za niezgodność
• Wymogi szkoleniowe: Zarząd musi uczestniczyć w szkoleniach z zakresu cyberbezpieczeństwa
• Organ nadzoru: Władze krajowe mogą przeprowadzać kontrole i audyty na miejscu

Kary i egzekwowanie

NIS2 wprowadza zharmonizowane kary w całej UE:

• Podmioty kluczowe: Do 10 mln euro lub 2% globalnego rocznego obrotu (w zależności od tego, która kwota jest wyższa)
• Podmioty ważne: Do 7 mln euro lub 1,4% globalnego rocznego obrotu (w zależności od tego, która kwota jest wyższa)

Kary mogą być nakładane za brak wdrożenia środków bezpieczeństwa, naruszenia obowiązków raportowania lub brak współpracy z organami.

Jak ISMS Copilot pomaga

ISMS Copilot zapewnia kompleksowe wsparcie w zakresie zgodności z NIS2:

• Wskazówki dotyczące ram: Zadawaj pytania dotyczące konkretnych artykułów NIS2, środków bezpieczeństwa lub obowiązków raportowania
• Generowanie polityk: Twórz polityki gotowe do audytu, obejmujące wszystkie dziesięć domen cyberbezpieczeństwa
• Analiza luk: Prześlij istniejące dokumenty dotyczące bezpieczeństwa, aby zidentyfikować luki w stosunku do wymogów NIS2
• Oceny ryzyka: Generuj oceny ryzyka zgodne z NIS2 dla systemów i relacji w łańcuchu dostaw
• Planowanie reakcji na incydenty: Opracuj schematy klasyfikacji incydentów i przepływy pracy raportowania zgodne z terminami NIS2
• Mapy drogowe zgodności: Poproś o wskazówki dotyczące wdrożenia na podstawie typu organizacji i sektora
• Organizacja przestrzeni roboczej: Zarządzaj projektami NIS2 oddzielnie od innych inicjatyw zgodności

AI posiada bezpośrednią wiedzę na temat struktury i wymogów NIS2, więc możesz odnosić się do konkretnych artykułów lub środków bezpieczeństwa w swoich zapytaniach.

Rozpoczęcie pracy

Aby rozpocząć prace nad zgodnością z NIS2 w ISMS Copilot:

1. Utwórz dedykowaną przestrzeń roboczą dla zgodności z NIS2
2. Zapytaj AI, czy Twoja organizacja kwalifikuje się jako podmiot kluczowy czy ważny
3. Wygeneruj podstawowe polityki dla dziesięciu domen cyberbezpieczeństwa
4. Prześlij istniejące polityki cyberbezpieczeństwa do analizy luk
5. Opracuj plan reakcji na incydenty z przepływami pracy raportowania zgodnymi z NIS2
6. Stwórz proces oceny bezpieczeństwa łańcucha dostaw

Implementacja przez państwa członkowskie

Chociaż NIS2 określa minimalne wymogi, poszczególne państwa członkowskie UE mogą nałożyć dodatkowe obowiązki poprzez krajowe przepisy implementacyjne. Sprawdź wytyczne krajowego organu ds. cyberbezpieczeństwa w celu uzyskania wymogów specyficznych dla danego kraju.

Powiązane zasoby

• Oficjalny tekst Dyrektywy NIS2: EUR-Lex
• Wytyczne i zasoby ENISA (Europejska Agencja ds. Cyberbezpieczeństwa)
• Kontakty do krajowych CSIRT i właściwych organów