Dyrektywa NIS2 – nowe wymogi dotyczące cyberbezpieczeństwa dla firm w Polsce

Współczesny świat, oparty na cyfryzacji, niesie ze sobą nie tylko nowe możliwości, ale także poważne zagrożenia w postaci cyberataków. Aby sprostać tym wyzwaniom, Unia Europejska przyjęła Dyrektywę NIS2, która wprowadza nowe wymogi dotyczące zarządzania ryzykiem w cyberbezpieczeństwie dla firm działających w kluczowych sektorach gospodarki. Dyrektywa ma na celu poprawę poziomu bezpieczeństwa cyfrowego w państwach członkowskich oraz zapewnienie spójnych standardów w zakresie ochrony infrastruktury krytycznej. Dyrektywa NIS2 obejmuje szeroki zakres obowiązków i procedur, które muszą być przestrzegane przez firmy i instytucje publiczne. W tym artykule przyjrzymy się bliżej kluczowym aspektom nowego rozporządzenia oraz przedstawimy, jak Wazuh, rozwiązanie open-source, może pomóc w spełnieniu wymagań dyrektywy.

Kogo dotyczy dyrektywa NIS2?

Dyrektywa NIS2 obejmuje szeroki zakres podmiotów działających w sektorach kluczowych dla funkcjonowania społeczeństwa i gospodarki Unii Europejskiej. Wymaga ona szczególnej uwagi w zakresie cyberbezpieczeństwa od organizacji, które mają istotny wpływ na bezpieczeństwo publiczne, gospodarcze i zdrowotne. Oto sektory objęte regulacjami:

Energia – w tym systemy produkcji, dystrybucji i przesyłu energii elektrycznej, gazu, wodoru oraz ropy naftowej.
Transport – transport lotniczy, kolejowy, wodny i drogowy.
Bankowość i infrastruktura rynku finansowego – instytucje kredytowe, operatorzy systemów obrotu i partnerzy centralni.
Zdrowie – podmioty świadczące opiekę zdrowotną, producenci podstawowych produktów farmaceutycznych i krytycznych wyrobów medycznych.
Woda pitna – systemy zaopatrzenia w wodę.
Ścieki – zarządzanie systemami odprowadzania ścieków.
Infrastruktura i część usług cyfrowych – dostawcy usług centrów danych, przetwarzania w chmurze, publicznych sieci łączności i usług zaufania, administratorzy sieci i systemów informatycznych.
Administracja publiczna – kluczowe jednostki zapewniające ciągłość działania państwa.
Przestrzeń kosmiczna – sektory związane z eksploracją i wykorzystywaniem przestrzeni kosmicznej.
Chemikalia – produkcja, przechowywanie i dystrybucja substancji chemicznych.
Żywność – produkcja, przetwarzanie i dystrybucja produktów żywnościowych.
Określone dziedziny produkcji – w tym produkcja wyrobów medycznych, elektronicznych, optycznych, maszyn oraz sprzętu transportowego.

Czym jest dyrektywa NIS2?

Dyrektywa NIS2, która weszła w życie 16 stycznia 2023 r., jest unijnym aktem prawnym mającym na celu wzmocnienie wspólnego poziomu cyberbezpieczeństwa w państwach członkowskich UE. Obejmuje kluczowe sektory, takie jak infrastruktura cyfrowa, transport, zdrowie i energia, nakładając na podmioty kluczowe oraz ważne obowiązek wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz zgłaszania incydentów.

Cel i kontekst dyrektywy NIS2

Dyrektywa NIS2 została wprowadzona w odpowiedzi na rosnącą liczbę i zaawansowanie cyberataków, które zagrażają kluczowym sektorom gospodarki oraz bezpieczeństwu publicznemu. Jej głównym celem jest stworzenie jednolitego poziomu ochrony infrastruktury cyfrowej w państwach członkowskich Unii Europejskiej. NIS2 nakłada na przedsiębiorstwa obowiązek wdrożenia skutecznych środków zarządzania ryzykiem oraz mechanizmów reagowania na incydenty cyberbezpieczeństwa. Dyrektywa szczególnie podkreśla znaczenie współpracy między państwami członkowskimi oraz harmonizację działań w zakresie ochrony danych i systemów IT. Poprzez ustanowienie jednolitych standardów, NIS2 ma przeciwdziałać fragmentacji przepisów w różnych krajach UE, co wcześniej utrudniało efektywną ochronę przed zagrożeniami cyfrowymi.

Rewizja i rozszerzenie poprzednich regulacji, czyli nowe obowiązki

NIS2 to rozwinięcie i aktualizacja pierwszej dyrektywy NIS, przyjętej w 2016 roku. Nowe przepisy wprowadzają bardziej rygorystyczne wymagania dla sektora publicznego i prywatnego, uwzględniając zmieniający się krajobraz technologiczny i zagrożenia cybernetyczne. Zakres dyrektywy został znacząco rozszerzony, obejmując nowe sektory, takie jak infrastruktura wodna, dostawcy usług chmurowych, a także firmy świadczące usługi pocztowe i kurierskie. Jednym z najważniejszych elementów rewizji jest większa odpowiedzialność zarządów firm za wdrażanie polityki cyberbezpieczeństwa. Organizacje muszą również dostosować swoje procedury do bardziej szczegółowych wytycznych dotyczących bezpieczeństwa łańcucha dostaw oraz zarządzania incydentami.

Termin implementacji i postęp prac

Dyrektywa NIS2 weszła w życie 16 stycznia 2023 roku, a państwa członkowskie miały czas do października 2024 roku na implementację przepisów do krajowego porządku prawnego. W Polsce trwają intensywne prace legislacyjne, aby dostosować krajowe przepisy do nowych wymagań. Ustawa wdrażająca NIS2 określi szczegółowe obowiązki dla przedsiębiorstw oraz zasady działania rejestrów podmiotów kluczowych i ważnych. Będzie ona obowiązywała dopiero po nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa, która wedle zapowiedzi Ministerstwa Cyfryzacji, ma wejść w życie w 2025r.

Cyberbezpieczeństwo w dyrektywie NIS2

Zakres dyrektywy NIS2: sektory krytyczne i podmioty

Sektory krytyczne pod dyrektywą NIS2

Dyrektywa NIS2 obejmuje sektory newralgiczne dla funkcjonowania społeczeństwa i gospodarki, takie jak energia, zdrowie, transport czy infrastruktura cyfrowa. W szczególności są to sektory dostarczające niezbędne usługi, których zakłócenie mogłoby mieć istotne skutki dla bezpieczeństwa publicznego lub gospodarki. Na przykład w sektorze energetycznym dyrektywa obejmuje firmy zajmujące się produkcją i przesyłem energii elektrycznej oraz operatorów punktów ładowania pojazdów elektrycznych. Dyrektywa dotyczy również nowych obszarów, takich jak gospodarka wodna i ściekowa, dostawcy usług chmurowych oraz przedsiębiorstwa z branży chemicznej i żywnościowej. Włączenie tych sektorów wynika z ich rosnącego znaczenia w kontekście cyfrowym i globalnych wyzwań związanych z bezpieczeństwem.

Kluczowe podmioty: ścisłe wymogi i odpowiedzialność

Podmioty kluczowe to jednostki, które mają największy wpływ na stabilność infrastruktury państwa i bezpieczeństwo społeczeństwa. Są to organizacje działające w sektorach uznanych za kluczowe dla funkcjonowania kraju, takich jak:

Energetyka – obejmuje elektrownie, operatorów przesyłowych i dystrybucyjnych, które muszą wdrożyć systemy monitorujące zagrożenia i raportować każdy incydent, aby zapobiec przerwom w dostawach energii.
Opieka zdrowotna – szpitale i dostawcy usług medycznych są zobowiązani do ochrony danych pacjentów oraz systemów diagnostycznych przed atakami, które mogłyby zagrozić zdrowiu i życiu.
Transport – zarządzający lotniskami, portami, sieciami kolejowymi i drogowymi muszą zabezpieczyć systemy logistyczne przed zakłóceniami.
Infrastruktura cyfrowa – centra danych, dostawcy usług w chmurze oraz operatorzy kluczowych węzłów sieciowych muszą wdrożyć systemy zapobiegające atakom typu ransomware, które mogłyby zablokować dostępność usług online.

Specyficzne wymagania dla podmiotów kluczowych

Podmioty kluczowe muszą spełniać ścisłe wymagania regulacyjne, w tym:

Proaktywne raportowanie incydentów: Każdy poważny incydent musi być zgłoszony w ciągu 24 godzin od wykrycia, a szczegółowe raporty wymagane są w ciągu 72 godzin.
Systemy monitorowania i wykrywania zagrożeń: Firmy te muszą posiadać zaawansowane narzędzia, takie jak Wazuh, które umożliwiają bieżące monitorowanie infrastruktury i identyfikację zagrożeń w czasie rzeczywistym.
Audyt i ocena ryzyka: Regularne audyty muszą identyfikować podatności, a wdrożenie polityk zarządzania ryzykiem jest obowiązkowe.
Plan reagowania na incydenty: Obowiązek posiadania szczegółowych procedur postępowania w przypadku cyberataków.

Ważne podmioty: mniej surowe wymagania, ale pdpowiedzialność pozostaje

Podmioty ważne również podlegają regulacjom NIS2, ale w nieco łagodniejszym zakresie. Do tej grupy zaliczają się organizacje o istotnym znaczeniu, ale których działalność nie ma bezpośredniego wpływu na bezpieczeństwo państwa. Przykłady sektorów:

Przemysł spożywczy – np. zakłady przetwórstwa żywności, które nie są kluczowe dla infrastruktury krytycznej, ale mogą wpłynąć na stabilność rynku.
Handel detaliczny i hurtowy – sieci handlowe odpowiedzialne za dostawy produktów, szczególnie w sytuacjach kryzysowych.
Małe przedsiębiorstwa technologiczne – dostawcy lokalnych usług IT i aplikacji cyfrowych, którzy muszą zachować podstawowe standardy bezpieczeństwa.

Specyficzne wymagania dla podmiotów ważnych

Wymagania dla podmiotów ważnych są mniej rygorystyczne:

Raportowanie incydentów: Incydenty są zgłaszane post factum (po wystąpieniu), o ile mają potencjalny wpływ na kluczowe sektory.
Minimalna kontrola regulacyjna: Podmioty te nie podlegają regularnym audytom, chyba że doszło do poważnych incydentów.
Elastyczne zarządzanie ryzykiem: Wdrażanie zabezpieczeń pozostaje bardziej elastyczne, co pozwala na dostosowanie do ich mniejszych budżetów i zasobów.

Obowiązki i wyjątki dla firm (małych i średnich przedsiębiorstw) wynikające z dyrektywy NIS2

Małe i średnie przedsiębiorstwa (MŚP) są objęte dyrektywą w przypadku, gdy działają w sektorach krytycznych lub zostały zaklasyfikowane jako kluczowe przez właściwe organy krajowe. NIS2 wymaga od nich wdrożenia proporcjonalnych środków bezpieczeństwa, uwzględniających specyfikę ich działalności. Niektóre MŚP, takie jak firmy działające wyłącznie w sektorach o niskim ryzyku, mogą być wyłączone z obowiązków wynikających z dyrektywy. Jednak firmy będące częścią łańcucha dostaw większych podmiotów często muszą dostosować swoje procedury, aby sprostać wymogom kontrahentów.

Różnice między podmiotami kluczowymi i ważnymi

Kryterium	Podmioty Kluczowe	Podmioty Ważne
Zakres regulacji	Pełne wymagania NIS2	Częściowe wymagania
Obowiązek raportowania	24 godziny na zgłoszenie incydentu, 72 godziny na pełny raport	Raportowanie po wystąpieniu incydentu
Audyt i monitoring	Regularne kontrole i audyty	Brak regularnych audytów
Sektory objęte	Energetyka, zdrowie, transport, infrastruktura cyfrowa	Handel detaliczny, przemysł spożywczy

Dlaczego dyrektywa NIS2 jest istotna dla Instytucji Państwowych?

Instytucje państwowe są szczególnie zobowiązane do przestrzegania przepisów NIS2, ponieważ ich działalność jest fundamentem funkcjonowania państwa i społeczeństwa. Wdrożenie dyrektywy jest istotne dla:

Zabezpieczenia infrastruktury krytycznej: Przestoje w dostarczaniu energii, usług medycznych czy działaniach transportowych mogą prowadzić do chaosu społecznego.
Ochrony danych obywateli: Państwowe bazy danych są częstym celem cyberataków, a ich naruszenie może mieć katastrofalne skutki dla bezpieczeństwa narodowego.
Zapewnienia ciągłości działania: Systemy administracji publicznej muszą być odporne na zakłócenia, aby utrzymać zaufanie obywateli.

Infrastruktura krytyczna: definicja i zakres

Infrastruktura krytyczna obejmuje systemy i zasoby kluczowe dla funkcjonowania państwa, takie jak zaopatrzenie w energię, wodę czy żywność. Dyrektywa NIS2 podkreśla znaczenie ochrony tej infrastruktury przed cyberzagrożeniami, które mogłyby prowadzić do poważnych zakłóceń społecznych lub gospodarczych. W szczególności nacisk kładzie się na bezpieczeństwo łańcucha dostaw oraz współpracę między sektorami.

Mechanizm samoidentyfikacji: procedura i znaczenie

Firmy muszą samodzielnie określić, czy podlegają dyrektywie NIS2, analizując swoją wielkość oraz zakres działalności w kontekście sektorów objętych regulacją. W przypadku spełnienia kryteriów, podmioty muszą zarejestrować się w rejestrze prowadzonym przez właściwe organy krajowe. Mechanizm samoidentyfikacji ma kluczowe znaczenie dla zapewnienia spójności w implementacji dyrektywy.

Obowiązki związane z cyberbezpieczeństwem w ramach NIS2

Obowiązki w zakresie zgłaszania incydentów

Jednym z głównych wymogów dyrektywy jest obowiązek zgłaszania poważnych incydentów cyberbezpieczeństwa do odpowiednich organów, takich jak CSIRT. Przedsiębiorstwa muszą informować o incydentach w ciągu 24 godzin od ich wykrycia, dostarczając szczegółowe raporty na temat przyczyn i skutków zdarzenia.

Zgłaszanie dobrowolne: kiedy i dlaczego?

Dyrektywa zachęca również do dobrowolnego zgłaszania cyberzagrożeń, które mogą wpłynąć na innych uczestników rynku. Dzięki temu możliwe jest budowanie kultury zaufania i współpracy między podmiotami, co zwiększa ogólny poziom bezpieczeństwa.

NIS2 a koordynacja międzynarodowa

Współpraca międzynarodowa na rzecz cyberodporności

W ramach dyrektywy państwa członkowskie zobowiązane są do współpracy na poziomie europejskim, wymiany informacji i koordynacji działań w obliczu cyberzagrożeń. Kluczową rolę odgrywa tu Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), która wspiera państwa w implementacji przepisów.

Proces konsultacji publicznych i wpływ na dyrektywę

Przy opracowywaniu dyrektywy prowadzono szeroko zakrojone konsultacje publiczne, które uwzględniały potrzeby zarówno sektora publicznego, jak i prywatnego. Dzięki temu NIS2 uwzględnia różnorodne perspektywy i potrzeby przedsiębiorstw w różnych państwach członkowskich.

Jak Wazuh pomaga w spełnieniu wymagań NIS2?

Platforma Wazuh jest kompleksowym narzędziem, które wspiera zarówno podmioty kluczowe, jak i ważne w spełnieniu wymagań dyrektywy. Oto, jak to działa:

Monitoring w czasie rzeczywistym: Wazuh umożliwia analizę logów z wielu źródeł, co pozwala na szybkie wykrywanie incydentów.
Zarządzanie podatnościami: Narzędzie identyfikuje słabe punkty w infrastrukturze IT, co jest niezbędne dla audytów i ocen ryzyka.
Automatyzacja reakcji na incydenty: Dzięki integracji z systemami SOAR, Wazuh automatycznie reaguje na zagrożenia, minimalizując ich wpływ.
Zgodność z przepisami: Wazuh wspiera przestrzeganie norm, takich jak ISO 27001 czy PCI DSS, co pomaga organizacjom osiągnąć zgodność z regulacjami NIS2.

Black Rack może wspierać instytucje w implementacji Wazuh oraz innych rozwiązań zgodnych z dyrektywą, zapewniając kompleksowe doradztwo i wdrożenia.