NIS2 – Kogo dotyczy? Aktualizacja Przepisów – Październik 2024

Dyrektywa NIS2 (Network and Information Security) to zbiór przepisów unijnych mających na celu zwiększenie poziomu cyberbezpieczeństwa w całej Unii Europejskiej. W Polsce regulacje te są wdrażane poprzez ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC). Celem tych zmian jest wzmocnienie ochrony kluczowych sektorów gospodarki przed rosnącymi zagrożeniami cybernetycznymi.  

W tym wpisie dowiecie się,  kogo będą dotyczyły NIS2 i KSC w Polsce oraz jak październikowa nowelizacja precyzuje obowiązki firm i instytucji. 

Kogo Dotyczy Dyrektywa NIS2? 

Dyrektywa NIS2 obejmuje średnie i duże firmy oraz instytucje z najważniejszych sektorów gospodarki, które są uznawane za szczególnie narażone na cyberataki. Firmy te muszą wdrożyć odpowiednie procedury i zabezpieczenia, aby spełniać nowe wymogi. Sektory dzielone są na dwie kategorie: kluczowe i ważne. Przepisy dotyczą następujących podmiotów: 

Podmioty kluczowe:

• Energetyka 
• Transport 
• Bankowość 
• Infrastruktura rynków finansowych 
• Opieka zdrowotna 
• Woda pitna 
• Ścieki 
• Zarządzanie usługami ICT (między przedsiębiorstwami): 
  • Dostawcy usług zarządzanych 
  • Dostawcy usług zarządzanych w zakresie bezpieczeństwa 
• Podmioty administracji publicznej
• Przestrzeń kosmiczna 
• Infrastruktura cyfrowa: 
  • Dostawcy punktu wymiany ruchu internetowego 
  • Dostawcy usług DNS, z wyłączeniem operatorów głównych serwerów nazw 
  • Rejestry nazw TLD 
  • Dostawcy usług chmurowych 
  • Dostawcy usług ośrodka przetwarzania danych 
  • Dostawcy sieci dostarczania treści 
  • Dostawcy usług zaufania 
  • Dostawcy publicznych sieci łączności elektronicznej 
  • Dostawcy publicznie dostępnych usług łączności elektroniczne 

Podmioty ważne 

• Usługi pocztowe i kurierskie 
• Gospodarowanie odpadami 
• Dostawcy usług cyfrowych: 
  • Dostawcy internetowych platform handlowych 
  • Dostawcy wyszukiwarek internetowych 
  • Dostawcy platform usług sieci społecznościowych 
• Badania naukowe 
• Produkcja, wytwarzanie i dystrybucja chemikaliów 
• Produkcja, przetwarzanie i dystrybucja żywności 
• Produkcja: 
  • wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro 
  • komputerów, wyrobów elektronicznych i optycznych 
  • produkcja urządzeń elektrycznych 
  • produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana 
  • produkcja pojazdów samochodowych, przyczep i naczep 
  • produkcja pozostałego sprzętu transportowego 

Dodatkowo, regulacjami objęte są firmy działające w łańcuchach dostaw tych sektorów, co oznacza, że nawet jeśli firma nie jest bezpośrednio częścią kluczowej branży, ale świadczy usługi lub dostarcza produkty istotne dla jej funkcjonowania, może podlegać przepisom NIS2. 

Czy Twoja organizacja podlega pod NIS2? 

Wraz z Kancelaria Traple Konarski Podrecki i Wspólnicy pod przewodnictwem mec. Agnieszki Wachowskiej, opracowaliśmy krótki kwestionariusz, który pomoże Ci sprawdzić, czy Twoja organizacja podlega pod dyrektywę NIS2. Zachęcamy do wypełnienia formularza oraz do dalszej konsultacji, aby lepiej zrozumieć swoje obowiązki w zakresie cyberbezpieczeństwa.  

Sprawdź już teraz! 

>>> https://tally.so/r/wLG7J2

Październikowe Aktualizacje Ustawy o KSC 

W październiku 2024 roku zaprezentowano nowy projekt nowelizacji ustawy o KSC, dostosowując ją do wymogów dyrektywy NIS2 i uwzględniając liczne uwagi zgłoszone podczas konsultacji. Kluczowe zmiany obejmują: 

• Wprowadzenie obowiązku stosowania wytycznych Komisji Europejskiej, co ma na celu ujednolicenie procedur w całej UE.  
• Zmodyfikowanie zasad identyfikacji podmiotów kluczowych i ważnych, co ma na celu lepsze określenie podmiotów odpowiedzialnych za kluczową infrastrukturę. 
• Wydłużenie terminów audytów: firmy muszą przeprowadzić pierwszy audyt cyberbezpieczeństwa w ciągu 24 miesięcy od uzyskania statusu podmiotu kluczowego (wcześniej 12 miesięcy), a jego ważność zostaje przedłużona z 2 do 3 lat.  
• Usunięcie przepisów dotyczących norm ISO i związanych z nimi domniemań zgodności. 
• Wydłużenie terminów na wdrożenie środków bezpieczeństwa: podmioty kluczowe mają teraz 12 miesięcy na realizację obowiązków wynikających z nowelizacji, co daje im więcej czasu na dostosowanie się do wymogów. 
• Zmiany w definicjach dotyczących dostawców usług chmurowych, platform internetowych oraz zarządzanych usług cyberbezpieczeństwa, aby lepiej dostosować przepisy do realiów rynkowych.  
• Uregulowanie sytuacji podmiotów wchodzących w skład grup kapitałowych oraz rozszerzenie katalogu przesłanek umożliwiających nałożenie kar pieniężnych, zwłaszcza wobec kierownictwa podmiotów kluczowych. 

^{(source: Wachowska, Agnieszka. (07.10.2024). LinkedIn. www.linkedin.com/posts/agnieszka-wachowska_uksc-ksc-nis2-activity-7249072216418508800-PC4q)} 

Kary za Niewdrożenie NIS2 

Niewdrożenie wymogów wynikających z dyrektywy NIS2 może wiązać się z poważnymi sankcjami finansowymi. Unia Europejska wprowadziła kary sięgające 10 milionów euro lub 2% światowych obrotów dla podmiotów kluczowych, które nie spełnią wymagań dotyczących cyberbezpieczeństwa. Kary te mają na celu promowanie przestrzegania zasad cyberbezpieczeństwa na najwyższym poziomie. Oprócz odpowiedzialności finansowej, osoby zarządzające podmiotami mogą ponosić osobistą odpowiedzialność, co dodatkowo powinno mobilizować kierownictwo do dbałości o przestrzeganie przepisów. 

Co Dalej? 

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa wciąż jest w fazie prac legislacyjnych. Przewiduje się, że do końca 2024 roku ustawa zostanie przyjęta przez Radę Ministrów, a następnie trafi do Sejmu na początku 2025 roku. Celem tej nowelizacji jest nie tylko dostosowanie polskich przepisów do wymogów NIS2, ale również wzmocnienie odporności polskiej infrastruktury na cyberataki. 

Podsumowując, NIS2 oraz nowelizacja KSC są istotnym krokiem w stronę zwiększenia bezpieczeństwa kluczowych sektorów gospodarki. Przedsiębiorstwa i instytucje objęte nowymi regulacjami muszą dokładnie przeanalizować, czy podlegają nowym wymogom i jakie kroki powinni podjąć, aby spełnić wymogi prawne oraz uniknąć wysokich kar. 

Jesteś gotowy na NIS2? Upewnij się!  

Już 23.10.2024 zapraszamy na nasze spotkanie, na którym szerzej omówimy kwestie NIS2 i KSC! 

Zapisz się >>> https://k3system.com.pl/blog/wydarzenia/zrozumiec-nis2-badz-na-biezaco/

Regularnie też prowadzimy szkolenia dla działów IT dotyczące Dyrektywy NIS2 i DORA w ramach naszego programu K3/Akademia.
Informacje o najbliższych wydarzeniach znajdą Państwo na naszej stronie: https://k3system.com.pl/blog/wydarzenia/