W SKRÓCIE
Dyrektywa NIS2 wprowadza podział na podmioty kluczowe i ważne, rozszerzając obowiązki o nowe sektory i nakładając na kierownictwo osobistą odpowiedzialność oraz ryzyko wysokich kar finansowych. Kluczowym wymogiem jest samoocena oraz audyt łańcucha dostaw, co zmusza firmy do weryfikacji bezpieczeństwa u swoich dostawców ICT. Organizacje muszą wdrożyć systemy zarządzania ryzykiem i procedury raportowania incydentów poważnych. W modelu chmurowym zgodność opiera się na współdzielonej odpowiedzialności oraz zapewnieniu ciągłości działania poprzez Disaster Recovery i redundancję zasobów. Skuteczne spełnienie wymogów monitorowania ułatwiają usługi SOC as a Service, a proaktywną ochronę wspierają procesy Cyber Threat Intelligence.
W erze rosnącej zależności biznesu od technologii, bezpieczeństwo danych i systemów staje się priorytetem dla firm na całym świecie. W szczególności dotyczy to przedsiębiorstw z państw członkowskich Unii Europejskiej, które – w związku z wprowadzeniem dyrektywy NIS2 – muszą sprostać nowym wyzwaniom. W tym artykule wyjaśniamy, czym dokładnie jest NIS2 i jakie podmioty obejmuje. Wskazujemy także kilka istotnych aspektów, na które warto zwrócić uwagę, by dalej bezpiecznie korzystać z usług chmury obliczeniowej i jednocześnie zapewnić swojej organizacji zgodność z nowymi wymogami.
NIS2 w pigułce, czyli co musisz wiedzieć o nowej dyrektywie
Co to jest dyrektywa NIS2?
NIS2 (Network and Information Systems Directive 2) to dyrektywa unijna, której głównym celem jest zapewnienie wysokiego poziomu cyberbezpieczeństwa państw członkowskich UE poprzez wprowadzenie nowych obowiązków dla firm z kolejnych, kluczowych sektorów gospodarki.
NIS2 dotyczy podmiotów określanych jako świadczące usługi kluczowe i ważne dla gospodarki i społeczeństwa Unii Europejskiej. W praktyce oznacza to, że firmy, które działają w tych sektorach, muszą wdrożyć bardziej rygorystyczne niż dotychczas środki bezpieczeństwa, aby chronić swoje systemy przed cyberzagrożeniami i spełniać nowe wymogi prawne. W związku z koniecznością implementacji dyrektywy NIS2 znowelizowano polską ustawę o krajowym systemie cyberbezpieczeństwa (uKSC). Nowa ustawa weszła w życie 3 kwietnia 2026 roku, dostosowując krajowy system cyberbezpieczeństwa do aktualnych wymogów unijnych.
Grafika 1: Cele NIS2
Kto podlega dyrektywie NIS2 i jak określa obowiązki firm?
Ustalając, czy i w jakim zakresie Twoja organizacja podlega wymogom NIS2, zwróć uwagę na kilka istotnych zmian.
1. Nowe zasady klasyfikacji podmiotów i obszary gospodarki objęte przepisami
Dotychczasowy podział na operatorów usług kluczowych i dostawców usług cyfrowych został zastąpiony podziałem na podmioty kluczowe oraz podmioty ważne. Nowością jest wprowadzenie obszarów, takich jak m.in.
- podmioty publiczne,
- przestrzeń kosmiczna,
- usługi pocztowe i kurierskie,
- gospodarowanie odpadami,
- produkcja, wytwarzanie i dystrybucja chemikaliów,
- produkcja, wytwarzanie i dystrybucja żywności,
- produkcja wyrobów medycznych, w tym do diagnostyki in vitro,
- produkcja komputerów,
- produkcja wyrobów elektronicznych i optycznych,
- produkcja urządzeń elektrycznych,
- produkcja pojazdów samochodowych, przyczep i naczep,
- badania naukowe.
2. Kryterium wielkościowe
Co do zasady, do stosowania NIS2 zobowiązane są przedsiębiorstwa, które kwalifikują się jako średnie (tj. podmioty, które zatrudniają co najmniej 50 pracowników oraz mają obrót lub całkowity bilans roczny przekraczający 10 mln EUR) lub też te, które przekraczają pułapy właściwe dla średnich przedsiębiorstw. Istnieją jednak wyjątki, w ramach których nowymi przepisami mogą zostać objęci nawet mali i mikroprzedsiębiorcy (np. w przypadku, w którym zakłócenie świadczenia przez nich usługi mogłoby mieć znaczący wpływ na porządek, bezpieczeństwo lub zdrowie publiczne), a także podmioty z sektora publicznego (co zostało uwzględnione w znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa, uKSC).
3. Tożsamość obowiązków
Fundamentalne obowiązki dla podmiotów kluczowych i ważnych są bardzo podobne – w odróżnieniu do wcześniej obowiązujących przepisów, w ramach których tzw. dostawcy usług cyfrowych zobowiązani byli do wdrożenia wymagań w obszarze cyberbezpieczeństwa w dosyć ograniczonym zakresie.
4. Zasada samooceny
Dyrektywa NIS2 zmienia sposób określania, czy dany podmiot objęty jest zakresem jej stosowania, wprowadzając ogólną zasadę samooceny (ang. self-assessment). W efekcie podmioty, które działają w wyżej wymienionych sektorach mają (co do zasady) obowiązek samodzielnie zweryfikować, czy podlegają jej wymaganiom, a następnie zarejestrować się w wykazie podmiotów kluczowych i ważnych.
W Polsce 3 października 2026 r. mija termin na wpis do wykazu dla podmiotów, które w dniu wejścia w życie ustawy spełniały przesłanki uznania za podmiot kluczowy lub ważny.
5. Efekt domina
Nawet jeśli dany podmiot nie podlega bezpośrednio pod dyrektywę, może znajdować się w łańcuchu dostaw podmiotów, które są objęte jej zakresem. Z tego względu również powinien zadbać o zgodność z wymogami. Jest to informacja kluczowa właśnie w kontekście podmiotów korzystających z usług chmurowych, o których piszemy w kolejnym rozdziale.
6. Zarządzanie ryzykiem
Analiza przepisów dyrektywy nie dostarcza szczegółowej, jednoznacznej informacji, jakie konkretnie środki bezpieczeństwa powinna wdrożyć organizacja. Wskazuje jedynie szereg elementów, które należy wziąć pod uwagę przy przestrzeganiu środków zarządzania ryzykiem w cyberbezpieczeństwie. Wymagania przewidziane w NIS2 zostały jednak częściowo doprecyzowane w treści znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Nakłada ona na podmioty kluczowe i ważne obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji w procesach, które wpływają na świadczenie usług oraz wskazuje elementy, które taki system powinien zapewniać. Jednym z podstawowych, a także “wyjściowym”, obowiązkiem jest także prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu oraz zarządzanie tym ryzykiem.
7. Sankcje
Za niewdrożenie wymagań przewidziane są wysokie sankcje finansowe. Ustawa o krajowym systemie cyberbezpieczeństwa (uKSC), podobnie jak NIS2, przewiduje nie tylko nałożenie kar administracyjnych, które sięgają nawet 10 mln euro lub 2% łącznego rocznego obrotu (podmioty kluczowe) oraz 7 mln euro lub 1,4% łącznego rocznego obrotu (podmioty ważne), ale także kar na osoby fizyczne. W projekcie uKSC przewidziano możliwość nałożenia kar na kierownika podmiotu w wysokości do 300% otrzymywanego przez ukaranego wynagrodzenia.
Wdrażanie kluczowych wymagań – od czego zacząć?
Liczba procesów i zakres narzędzi, które powinna wdrożyć organizacja, zależeć będzie przede wszystkim od tego:
- czy dany podmiot był wcześniej objęty dotychczas obowiązującymi przepisami uKSC (sprzed nowelizacji),
- czy i w jakim zakresie wdrożył system zarządzania bezpieczeństwem informacji i ciągłości działania,
- jaki reprezentuje poziom dojrzałości w obszarze cyberbezpieczeństwa.
Wdrażania wymagań warto rozpocząć od analizy luk/audytu zgodności, w ramach których należy zwrócić szczególną uwagę na procesy i aktywa niezbędne do świadczenia usług.
W przypadku podmiotów, które znajdują się w łańcuchu dostaw (na przykład firm korzystających z usług chmury obliczeniowej), kluczowe będą postanowienia zawarte w kontraktach. Podmioty objęte NIS2 będą oczekiwać od swoich dostawców nie tylko wdrożenia konkretnych zabezpieczeń, ale także odpowiednich gwarancji w zakresie możliwości realizacji uprawnień audytowych.
Istotne jest także zaangażowanie w proces wdrożenia osób decyzyjnych, a także zapewnienie odpowiednich zasobów, w tym kompetencji i finansowania. Nowe przepisy nie zawierają gotowej checklisty zabezpieczeń wymagających wdrożenia – ich wybór będzie w głównej mierze uzależniony od wyników analizy ryzyka oraz konieczności realizacji obowiązków prawnych, w szczególności w zakresie zarządzania incydentami.
NIS2 a usługi chmury obliczeniowej
W kontekście korzystania z usług chmury obliczeniowej, szczególnie istotnych jest kilka wymogów. Zwróć uwagę na:
1. Wdrożenie polityk szacowania ryzyka
Tworząc polityki szacowania ryzyka, a następnie identyfikując i oceniając ryzyka dla procesów realizowanych z wykorzystywaniem usług chmury obliczeniowej, weź pod uwagę ich charakterystykę oraz specyficzne rodzaje zagrożeń.
Grafika 2: Najczęściej występujące rodzaje zagrożeń dla procesów realizowanych z wykorzystaniem usług chmury obliczeniowej
Kluczową kwestią jest tutaj identyfikacja ryzyk z uwzględnieniem zasad współdzielonej odpowiedzialności. Zakres obszarów, za które odpowiada odpowiednio klient i dostawca chmury jest uzależniony od modelu świadczonej usługi (najczęściej: IaaS, PaaS i SaaS). To właśnie ten podział powinien stanowić dla Ciebie punkt wyjścia. Więcej o modelu współdzielonej odpowiedzialności piszemy w artykule pt. Odpowiedzialność dostawcy chmury - jakie modele funkcjonują na rynku?
Pamiętaj też, że proces analizy ryzyka powinien być procesem ciągłym. Zarówno jego wyniki, jak i polityki zarządzania ryzykiem powinny być odpowiednio dokumentowane, regularnie weryfikowane i aktualizowane. Przedmiotem analizy mogą być nie tylko ryzyka, które wynikają z wykorzystywania danych systemów czy technologii, ale również te, które obejmują kwestie procesowe (np. te dotyczące zapewnienia odpowiednich kompetencji, kluczowego personelu czy łańcucha dostaw).
2. Bezpieczeństwo i ciągłość łańcucha dostaw
W swojej prognozie cyberzagrożeń na 2030 rok ENISA przewiduje, że naruszenia bezpieczeństwa łańcucha dostaw będą w ciągu najbliższych lat jednym z najbardziej prawdopodobnych cyberzagrożeń. Nowe regulacje wychodzą naprzeciw tym przewidywaniom i zobowiązują podmioty do zarządzania ryzykiem związanym z dostawcami produktów, usług oraz procesów ICT, od których zależy świadczenie usługi.
Jednym ze sposobów odpowiadania na tego rodzaju wymogi jest wprowadzenie polityki bezpieczeństwa łańcucha dostaw, która obejmuje kryteria wyboru, weryfikacji i monitoringu dostawców. W przypadku oceny dostawców usług chmury obliczeniowej warto wziąć pod uwagę zarówno ich reputację, jak i elementy, takie jak gwarancje przewidziane w treści umowy (np. SLA, prawo do audytu, zasady korzystania z podwykonawców, raportowanie awarii i incydentów, możliwość rezerwacji pojemności), a także wdrożone przez dostawcę standardy bezpieczeństwa, w tym posiadane certyfikaty zgodności z międzynarodowymi normami i ich zakres.
W przypadku dostawców usług chmurowych te ostatnie dokumenty są najczęściej udostępniane publicznie. Na przykład, informacje o certyfikatach OChK możesz znaleźć tutaj.
Obecnie coraz bardziej istotnym kryterium staje się także poziom suwerenności usługi chmury obliczeniowej. Jest on szczególnie istotny dla podmiotów, które mają zamiar wykorzystywać chmurę publiczną przy realizacji usług kluczowych lub migrować do niej najbardziej wrażliwe informacje biznesowe.
Jeśli chcesz dowiedzieć się więcej o tym, czym jest suwerenna chmura, jak definiuje ją Cloud Sovereignty Framework – dokument opracowany przez Komisję Europejską, a także jakie kryteria przyjęła, przejdź do tego artykułu.
3. Zapewnienie ciągłości działania
Obszar bezpieczeństwa łańcucha dostaw jest ściśle powiązany z wymogami NIS2, które dotyczą zapewnienia ciągłości działania.
W przypadku chmury obliczeniowej weź pod uwagę zarówno awarię pojedynczego sprzętu, jak i konkretnej strefy dostępności (zony) lub całego regionu. Plany awaryjne powinny uwzględniać możliwość utraty kontroli nad przetwarzanymi informacjami oraz możliwość przerwania ciągłości ich działania. Zgodnie z dobrymi praktykami, podmioty, które korzystają z usług chmurowych, powinny opracować także plan wyjścia tj. dokument zawierający plan organizacji na wycofanie swojego zaangażowania z usługi lub systemu, zarówno w sytuacjach planowanych, jak również w przypadku nieoczekiwanej sytuacji kryzysowej.
Jednym z podstawowych narzędzi, które wspierają zapewnienie ciągłości działania, jest oczywiście odpowiednie wykonywanie i zarządzanie kopiami zapasowymi. Plany powinny uwzględniać w tym zakresie: odpowiednie parametry RTO i RPO, zapewnienie, że kopie zapasowe są kompletne i dokładne, przechowywanie kopii w bezpiecznych i odseparowanych lokalizacjach, odpowiednie kontrole dostępu fizycznego i logicznego, procedury przywracania kopii oraz ustalenie prawidłowych okresów ich retencji. Odzyskiwanie kopii zapasowych i ich nadmiarowość powinny być także regularnie testowane i dokumentowane. Więcej informacji o tym, jak prawidłowo skonfigurować backup, znajdziesz w artykule pt. Jak skonfigurować backup, żeby uchronić się przed katastrofą?
Wykorzystanie usług chmury obliczeniowej pozwala znacznie zminimalizować ryzyka związane z utratą ciągłości działania. Infrastruktura chmurowa umożliwia korzystanie z wielu odseparowanych geograficznie regionów, zaś skonfigurowanie kilku zon w ramach jednego z nich gwarantuje bezprzerwowe działanie regionu nawet w przypadku utraty jednej (tj. całego centrum danych). Możliwe jest także wdrożenie architektury, która pozwalałaby na uodpornienie rozwiązań w przypadku niedostępności całego regionu – plany awaryjne mogą zakładać konieczność zapewnienia awaryjnego środowiska produkcyjnego. Więcej o Data Recovery Center dowiesz się z tej strony.
4. Monitoring bezpieczeństwa
Jednym z podstawowych wymagań przewidzianych w NIS2 jest zapewnienie odpowiedniego procesu zarządzania incydentami, którego zadaniem jest wykrywanie incydentów oraz minimalizowanie ich skutków i wpływu na odbiorców. Jednym z podstawowych wymagań ustawy o krajowym systemie cyberbezpieczeństwa (uKSC) jest obowiązek objęcia systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym.
W praktyce oznacza to konieczność wdrożenia mechanizmów i narzędzi, które pozwolą zapobiegać i natychmiast reagować na zaistniałe zdarzenia. Zadania te mogą być realizowane przez zespół świadczący usługi cyberbezpieczeństwa tj. Security Operations Center w ramach SOC as a Service, który w trybie 24/7 prowadzi monitoring zasobów oraz środowisk IT.
NIS2 poszerza definicję oraz zmienia kryteria klasyfikacji incydentu poważnego. Oznacza to, że nawet organizacje, które wdrożyły procesy zarządzania incydentami zgodne z poprzednio obowiązującą ustawą, powinny dostosować swoje procesy oraz procedury do nowych regulacji.
5. Zbieranie informacji o cyberzagrożeniach i podatnościach na incydenty
Nowoczesna strategia zarządzania bezpieczeństwem cyfrowym powinna obejmować także procesy, które umożliwiają proaktywne podejście do pojawiających się w otoczeniu zewnętrznym zagrożeń. Odpowiedzią na to zalecenie jest wdrożenie procesu Cyber Threat Intelligence, który polega na gromadzeniu i przekazaniu odpowiednim interesariuszom aktualnych informacji dotyczących zagrożeń, ataków oraz potencjalnych adwersarzy. Istotne jest przy tym nie tylko samo zbieranie informacji o cyberzagrożeniach, ale również ich odpowiednia analiza, a następnie uwzględnienie ryzyk związanych z ich potencjalnym zmaterializowaniem.
Nowe regulacje wprowadzają nie tylko wymagania w zakresie monitorowania cyberzagrożeń, ale także przewidują stosowanie właściwych kanałów wymiany informacji w celu zwiększenia świadomości na ich temat. Podmioty kluczowe i ważne są także zobowiązane do informowania swoich użytkowników o tzw. poważnych cyberzagrożeniach oraz możliwych środkach zapobiegawczych, które tacy użytkownicy mogą podjąć. Konieczne jest zatem wdrożenie procesów, które umożliwiają przeprowadzanie odpowiedniej klasyfikacji i analizy zagrożeń cybernetycznych, wraz z uwzględnieniem koniecznych planów i procedur komunikacji.
Kluczowe terminy NIS2 i uKSC – harmonogram 2026–2028
3 października 2026 r.
Ostateczny termin złożenia wniosku o wpis do wykazu dla podmiotów kluczowych lub ważnych (do tego czasu podmiot powinien dokonać samooceny, a także skompletować dane potrzebne do rejestracji np. wyznaczyć osoby kontaktowe oraz administratora konta podmiotu w systemie S46)1. Wniosek należy złożyć za pośrednictwem strony https://wykaz-ksc.gov.pl/.
3 kwietnia 2027 r.
Ostateczny termin wdrożenia zdecydowanej większości obowiązków, o których mowa w uKSC przez podmioty kluczowe i ważne (takich jak: szacowanie ryzyka, wdrożenie odpowiednich i proporcjonalnych środków technicznych i organizacyjnych, zbieranie informacji o cyberzagrożeniach i podatnościach czy zarządzanie incydentami). To także deadline na obowiązkowe rozpoczęcie operacyjnego korzystania z systemu teleinformatycznego S46 do celów komunikacji i raportowania.
3 kwietnia 2028 r.
Ostateczny termin przeprowadzenia pierwszego obowiązkowego audytu dla podmiotów kluczowych (audyt powinien być powtarzany co najmniej raz na 3 lata, a kopia raportu ma być przedstawiana organowi właściwemu do spraw cyberbezpieczeństwa).
Podsumowanie
Przygotowanie firmy na zmiany, które wprowadza dyrektywa NIS2 implementowana przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (uKSC), jest kluczowe dla utrzymania wysokiego poziomu cyberbezpieczeństwa, a także zapewnienia ciągłości operacyjnej i ochrony danych organizacji, które należą do kluczowych sektorów gospodarki. Nowe wyzwania, które stawia przed nami Unia Europejska, obejmuje także firmy, które korzystają z usług chmury obliczeniowej. Aby im sprostać, muszą one podjąć konkretne kroki w celu wzmocnienia swoich systemów informacyjnych.
Właściwa odpowiedź na wdrożenie nowych przepisów może wydawać się wyzwaniem. Jednak odpowiednie zorganizowanie koniecznych działań i proaktywne podejście mogą przynieść korzyści nie tylko w postaci zgodności z regulacjami, ale także zwiększonego zaufania klientów, wzmocnionej ochrony danych w chmurze oraz stabilności operacyjnej, co w dłuższej perspektywie może przyczynić się do wzrostu firmy.
