NIS2 to nowa dyrektywa Unii Europejskiej dotycząca zwiększenia poziomu cyberbezpieczeństwa w krajach członkowskich. Jej głównym celem jest zapewnienie spójnych regulacji oraz wzmocnienie ochrony infrastruktury krytycznej i usług kluczowych, takich jak energetyka, finanse, zdrowie czy transport.
Dyrektywa NIS2 wprowadza nowe obowiązki dla przedsiębiorstw działających w sektorach kluczowych lub ważnych i usługach cyfrowych, mające na celu wzmocnienie ich odporności na cyberzagrożenia.
Kluczowe obowiązki przedsiębiorstw
Dyrektywa NIS2 wprowadza nowe obowiązki dla przedsiębiorstw działających w sektorach kluczowych lub ważnych i usługach cyfrowych, mające na celu wzmocnienie ich odporności na cyberzagrożenia.
Obieg informacji
Obieg informacji
Kogo dotyczy NIS2?
Podmioty kluczowe
Próg wielkości różni się w zależności od sektora, ale generalnie 250 pracowników, roczny obrót 50 milionów euro lub bilans 43 milionów euro.
- Energetyka
- Transport
- Bankowość i infrastruktura rynku finansowego
- Administracja publiczna
Podmioty ważne
Próg wielkości różni się w zależności od sektora, ale zazwyczaj jest to 50 pracowników, roczny obrót 10 milionów euro lub bilans 10 milionów euro.
- Usługi pocztowe i kurierskie
- Gospodarowanie odpadami
- Przemysł chemiczny
- Badania naukowe
Podmiot może w dalszym ciągu zostać uznany za kluczowy lub ważny, nawet jeśli nie spełnia kryteriów wielkości. Ma to miejsce w szczególnych przypadkach, np. gdy jest jedynym dostawcą usługi krytycznej na potrzeby działalności społecznej lub gospodarczej w państwie członkowskim.
Jeśli Twoja firma dostarcza usługi kluczowe dla powyższych sektorów, takie jak:
- Chmura obliczeniowa
- Infrastruktura IT
- Telekomunikacja
- Outsourcing usług IT i cyfrowych
Wtedy również możesz podlegać wymogom NIS2, nawet jeśli nie jesteś bezpośrednio w branży kluczowej.
Jak się przygotować?
Obowiązki kierownictwa
Ostateczną odpowiedzialność za zarządzanie ryzykiem cyberbezpieczeństwa w podmiotach kluczowych i ważnych ponosi kierownictwo wyższego szczebla. Niedopełnienie przez kierownictwo wymogów NIS2 może prowadzić do poważnych konsekwencji, takich jak tymczasowe zakazy działalności oraz grzywny administracyjne, zgodnie z przepisami krajowymi wykonawczymi.
Obowiązki kierownictwa
Ostateczną odpowiedzialność za zarządzanie ryzykiem cyberbezpieczeństwa w podmiotach kluczowych i ważnych ponosi kierownictwo wyższego szczebla. Niedopełnienie przez kierownictwo wymogów NIS2 może prowadzić do poważnych konsekwencji, takich jak tymczasowe zakazy działalności oraz grzywny administracyjne, zgodnie z przepisami krajowymi wykonawczymi.
Kary za naruszenie wymogów NIS2
Podmioty kluczowe i ważne mogą zostać ukarane za:
- Niespełnienie wymogów bezpieczeństwa
- Niezgłoszenie incydentów
Kary mogą zostać nałożone na podmioty kluczowe oraz podmioty ważne za naruszenia takie jak niespełnienie wymogów bezpieczeństwa i niezgłoszenie incydentów. Konkretne kary będą się różnić w zależności od państwa członkowskiego, ale dyrektywa ustanawia minimalny wykaz sankcji administracyjnych za naruszenie obowiązków w zakresie zarządzania ryzykiem cybernetycznym i raportowania.
Rodzaje kar:
- Środki niepieniężne
- Kary administracyjne
- Kary finansowe
- Dla podmiotów kluczowych: Kary od 10 000 000 EUR lub 2% rocznego dochodu – w zależności, która kwota jest wyższa.
- Dla podmiotów ważnych: Kary do 7 000 000 EUR lub 1,4% rocznego dochodu – w zależności, która kwota jest wyższa.
Sankcje karne dla kadry kierowniczej
Próbując zmniejszyć presję wywieraną na działy IT, aby samodzielnie zapewniały bezpieczeństwo organizacji i zmienić poczucie odpowiedzialności za cyberbezpieczeństwo, NIS2 zawiera nowe środki mające na celu pociągnięcie najwyższego kierownictwa do osobistej odpowiedzialności za rażące zaniedbanie w przypadku incydentu związanego z bezpieczeństwem.
W szczególności NIS2 umożliwia organom państw członkowskich pociągnięcie menedżerów organizacji do osobistej odpowiedzialności w przypadku udowodnienia rażącego zaniedbania po incydencie cybernetycznym poprzez m.in.:
- Nakazanie organizacjom upubliczniania naruszeń zgodności.
- Składanie publicznych oświadczeń identyfikujących osobę fizyczną i prawną odpowiedzialną za naruszenie oraz jego charakter.
- Jeśli organizacja jest podmiotem kluczowym, w przypadku powtarzających się naruszeń poprzez tymczasowy zakaz dla danej osoby pełnienia stanowisk kierowniczych.
