Aktualność
Firmy nie są przygotowane na wdrożenie dyrektywy NIS2
Do 17 października 2024 r. państwa członkowskie UE, w tym Polska, powinny wdrożyć unijne regulacje na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (dyrektywa NIS2). Zaskoczeniem dla wielu przedsiębiorców może być fakt, że kierowana przez nich organizacja może podlegać pod dyrektywę NIS2 i powinna przygotować się na wdrożenie środków zarządzania ryzykiem w zakresie cyberbezpieczeństwa.
Cyberbezpieczeństwo w małej i średniej firmie - sprawdź, jak unikać cyberzagrożeń >>>
– Szacuje się, że około 60 proc. organizacji może nie być jeszcze przygotowanych na spełnienie wymogów unijnej dyrektywy NIS2 – mówi Paweł Śmigielski, country manager Stormshield. Mowa o dyrektywie w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej. Akt prawny rozszerza zakres podmiotów objętych regulacją. Niespełnienie wymogów wiąże się z wysokimi karami.
Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (tzw. Dyrektywa NIS2) weszła w życie 16 stycznia 2023 roku. Państwa członkowskie muszą ją wdrożyć do swojego porządku prawnego najpóźniej do 17 października 2024 roku. Jak wynika z ocen ekspertów, ponad połowa podmiotów może nie być gotowa na nowe przepisy.
Wciąż brakuje polskiego aktu prawnego, który wprowadzałby dyrektywę NIS2 do porządku prawnego w Polsce, czyli nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. To jednak nie koniec listy problemów, przed którymi stoją organizacje w Polsce. Pierwszym z nich jest brak specjalistów zajmujących się cyberbezpieczeństwem. Szacuje się, że tylko w 2023 roku w Polsce brakowało od 10 tys. do nawet kilkunastu tysięcy fachowców z tej dziedziny. Do tego dochodzą różne aspekty związane z przygotowaniem się do nowych wymogów w zakresie finansowym.
Zasadniczą różnicą względem wcześniejszego aktu NIS, który uchwalono w połowie poprzedniej dekady, jest szerszy zakres podmiotów, które zostały objęte tą regulacją. Dotyczy m.in. takich obszarów jak bezpieczeństwo łańcuchów dostaw, mechanizmy kontrolne i nadzorcze, obowiązki informacyjne, a także zasady raportowania o zaistniałych incydentach.
– Dyrektywa NIS2 wprowadza kilka zmian w porównaniu do pierwszej części dyrektywy i naszego krajowego aktu, czyli ustawy o krajowym systemie cyberbezpieczeństwa, przede wszystkim pierwszą poważną zmianą jest rozszerzenie listy podmiotów, które będą objęte regulacją. I tu na przykład dyrektywa NIS2 obejmuje swoimi wymaganiami także jednostki administracji publicznej. Są to także przedsiębiorstwa, które zajmują się ściekami i, co jest istotne, szczególnie w świetle ataków, z którymi mamy na co dzień do czynienia, także operatorzy pocztowi i kurierzy zostali objęci nową dyrektywą – mówi Stormshield.
Dyrektywa wprowadza także podział organizacji na podmioty kluczowe oraz ważne. Co istotne, wpływa to na wysokość kar, jakie mogą zostać nałożone w przypadku niespełnienia wymagań.
– Kary w przypadku podmiotów kluczowych mogą być liczone do 10 mln euro lub też 2 proc. rocznego obrotu, natomiast w przypadku operatorów podmiotów ważnych te kary mogą wynieść do 7 mln euro bądź też 1,4 proc. rocznych obrotów – wylicza ekspert.
Dyrektywa NIS2 oznacza obarczenie odpowiedzialnością za niespełnienie wymagań m.in. zarządy spółek czy kadrę kierowniczą. To oznacza, że na konkretne osoby zajmujące czołowe stanowiska mogą być nałożone kary finansowe, a nawet zakaz pełnienia funkcji publicznych. Nowe prawo nakłada również nowe obowiązki.
– Jest określone w dyrektywie, że dana organizacja w ciągu 24 godz. powinna poinformować odpowiednie organy o incydencie, który miał miejsce, natomiast w ciągu 72 godz. powinna zostać wysłana bardziej szczegółowa informacja o tym incydencie. Natomiast kolejny obowiązek, na który zwracam uwagę, to zapewnienie odpowiednich środków proporcjonalnych do szacowanego ryzyka – mówi Paweł Śmigielski.
W praktyce oznacza to przede wszystkim zapewnienie środków technicznych i organizacyjnych, które mają się przełożyć na podniesienie poziomu bezpieczeństwa w danym podmiocie. Ekspert tłumaczy, że te przepisy nie będą de facto dotyczyły samego przedsiębiorstwa, ale także jego otoczenia.
– Organizacja, oprócz tego, że musi zadbać o bezpieczeństwo swoich systemów teleinformatycznych, powinna także zwrócić uwagę i sprawdzać, jak wygląda stopień bezpieczeństwa czy stopień spełniania dyrektywy NIS2 u swoich dostawców i podwykonawców. To jest dość duża zmiana i z punktu widzenia specjalistów zajmujących się cyberbezpieczeństwem dość istotna – podkreśla.
Dyrektywa NIS2 wprowadza także wymóg szkoleń, w których udział powinni brać również członkowie zarządów oraz kadra kierownicza. W przypadku szeregowych pracowników mówi się także o zachowaniu zasad cyberhigieny.
Zaskoczeniem dla wielu przedsiębiorców może być fakt, że kierowana przez nich organizacja może podlegać pod dyrektywę NIS2. Z jednej strony nowe prawo należy uważać za uzupełnienie ustawy z 5 lipca 2018 roku o krajowym systemie bezpieczeństwa (ustawa o KSC). Jej zapisami według szacunków było dotąd objętych kilkaset podmiotów. Tymczasem NIS2 może dotyczyć nawet kilku tysięcy organizacji.
Szacuje się, że 1/4 firm w Polsce nawet nie wie, że powinny być objęte dyrektywą NIS2. Tak że to już stanowi dość duże wyzwanie na samym początku, bo przypomnijmy, że czas, który został nałożony, to jest październik 2024 roku na przystosowanie naszych organizacji do wymogów dyrektywy NIS2 – mówi Paweł Śmigielski.
Firma doradcza EY wskazuje, że nowa unijna dyrektywa to rewolucja w kwestii budowania cybernetycznej odporności dla wielu sektorów gospodarki. 36 proc. ankietowanych nie analizowało jeszcze tej dyrektywy. 30 proc. przyjrzało się temu zagadnieniu, ale nie odnotowało istotnego wpływu na realizowany sposób działania. To może oznaczać, że nie wszystkie organizacje zdają sobie w pełni sprawę, jakie następstwa niesie NIS2. Mowa o takich aspektach jak np. raportowanie zagrożeń czy obowiązek szyfrowania.
W ostatnim czasie doszło do kilku groźnych incydentów w obszarze cyberbezpieczeństwa. Zdaniem ekspertów oprócz głośnych przypadków związanych z jednym z laboratorium czy platformami dostawców takie zdarzenia dzieją się każdego tygodnia. Niestety liczba podobnych zdarzeń cały czas rośnie.
W tym przypadku kluczowe jest „nauczenie się życia z takim incydentem” i odpowiednia reakcja nałożona literalnie przez przepisy NIS2. W zależności od zdarzenia podmioty mają 24 i 72 godz. na przekazanie informacji o zdarzeniu do odpowiednich organów. Z drugiej strony dyrektywę należy traktować jak drogowskaz co do koniecznych zmian w samej organizacji.
Źródło: Newseria
Zobacz również: Nowe obowiązki dla firm w zakresie cyberbezpieczeństwa - dyrektywa NIS2 >>>
-
keyboard_arrow_right
-
keyboard_arrow_right
-
keyboard_arrow_right
-
keyboard_arrow_right
-
keyboard_arrow_right