Firmy nie są przygotowane na wdrożenie dyrektywy NIS2

Do 17 października 2024 r. państwa członkowskie UE, w tym Polska, powinny wdrożyć unijne regulacje na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (dyrektywa NIS2). Zaskoczeniem dla wielu przedsiębiorców może być fakt, że kierowana przez nich organizacja może podlegać pod dyrektywę NIS2 i powinna przygotować się na wdrożenie środków zarządzania ryzykiem w zakresie cyberbezpieczeństwa.

Cyberbezpieczeństwo w małej i średniej firmie - sprawdź, jak unikać cyberzagrożeń >>>

Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (tzw. Dyrektywa NIS2) weszła w życie 16 stycznia 2023 roku. Państwa członkowskie muszą ją wdrożyć do swojego porządku prawnego najpóźniej do 17 października 2024 roku. Jak wynika z ocen ekspertów, ponad połowa podmiotów może nie być gotowa na nowe przepisy.

Wciąż brakuje polskiego aktu prawnego, który wprowadzałby dyrektywę NIS2 do porządku prawnego w Polsce, czyli nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. To jednak nie koniec listy problemów, przed którymi stoją organizacje w Polsce. Pierwszym z nich jest brak specjalistów zajmujących się cyberbezpieczeństwem. Szacuje się, że tylko w 2023 roku w Polsce brakowało od 10 tys. do nawet kilkunastu tysięcy fachowców z tej dziedziny. Do tego dochodzą różne aspekty związane z przygotowaniem się do nowych wymogów w zakresie finansowym.

Zasadniczą różnicą względem wcześniejszego aktu NIS, który uchwalono w połowie poprzedniej dekady, jest szerszy zakres podmiotów, które zostały objęte tą regulacją. Dotyczy m.in. takich obszarów jak bezpieczeństwo łańcuchów dostaw, mechanizmy kontrolne i nadzorcze, obowiązki informacyjne, a także zasady raportowania o zaistniałych incydentach.

Dyrektywa wprowadza także podział organizacji na podmioty kluczowe oraz ważne. Co istotne, wpływa to na wysokość kar, jakie mogą zostać nałożone w przypadku niespełnienia wymagań.

– Kary w przypadku podmiotów kluczowych mogą być liczone do 10 mln euro lub też 2 proc. rocznego obrotu, natomiast w przypadku operatorów podmiotów ważnych te kary mogą wynieść do 7 mln euro bądź też 1,4 proc. rocznych obrotów – wylicza ekspert.

Dyrektywa NIS2 oznacza obarczenie odpowiedzialnością za niespełnienie wymagań m.in. zarządy spółek czy kadrę kierowniczą. To oznacza, że na konkretne osoby zajmujące czołowe stanowiska mogą być nałożone kary finansowe, a nawet zakaz pełnienia funkcji publicznych. Nowe prawo nakłada również nowe obowiązki.

W praktyce oznacza to przede wszystkim zapewnienie środków technicznych i organizacyjnych, które mają się przełożyć na podniesienie poziomu bezpieczeństwa w danym podmiocie. Ekspert tłumaczy, że te przepisy nie będą de facto dotyczyły samego przedsiębiorstwa, ale także jego otoczenia.

Dyrektywa NIS2 wprowadza także wymóg szkoleń, w których udział powinni brać również członkowie zarządów oraz kadra kierownicza. W przypadku szeregowych pracowników mówi się także o zachowaniu zasad cyberhigieny.

Zaskoczeniem dla wielu przedsiębiorców może być fakt, że kierowana przez nich organizacja może podlegać pod dyrektywę NIS2. Z jednej strony nowe prawo należy uważać za uzupełnienie ustawy z 5 lipca 2018 roku o krajowym systemie bezpieczeństwa (ustawa o KSC). Jej zapisami według szacunków było dotąd objętych kilkaset podmiotów. Tymczasem NIS2 może dotyczyć nawet kilku tysięcy organizacji.

Szacuje się, że 1/4 firm w Polsce nawet nie wie, że powinny być objęte dyrektywą NIS2. Tak że to już stanowi dość duże wyzwanie na samym początku, bo przypomnijmy, że czas, który został nałożony, to jest październik 2024 roku na przystosowanie naszych organizacji do wymogów dyrektywy NIS2 – mówi Paweł Śmigielski.

Firma doradcza EY wskazuje, że nowa unijna dyrektywa to rewolucja w kwestii budowania cybernetycznej odporności dla wielu sektorów gospodarki. 36 proc. ankietowanych nie analizowało jeszcze tej dyrektywy. 30 proc. przyjrzało się temu zagadnieniu, ale nie odnotowało istotnego wpływu na realizowany sposób działania. To może oznaczać, że nie wszystkie organizacje zdają sobie w pełni sprawę, jakie następstwa niesie NIS2. Mowa o takich aspektach jak np. raportowanie zagrożeń czy obowiązek szyfrowania.

W ostatnim czasie doszło do kilku groźnych incydentów w obszarze cyberbezpieczeństwa. Zdaniem ekspertów oprócz głośnych przypadków związanych z jednym z laboratorium czy platformami dostawców takie zdarzenia dzieją się każdego tygodnia. Niestety liczba podobnych zdarzeń cały czas rośnie.

W tym przypadku kluczowe jest „nauczenie się życia z takim incydentem” i odpowiednia reakcja nałożona literalnie przez przepisy NIS2. W zależności od zdarzenia podmioty mają 24 i 72 godz. na przekazanie informacji o zdarzeniu do odpowiednich organów. Z drugiej strony dyrektywę należy traktować jak drogowskaz co do koniecznych zmian w samej organizacji.

Źródło: Newseria

Zobacz również: Nowe obowiązki dla firm w zakresie cyberbezpieczeństwa - dyrektywa NIS2 >>>