Dyrektywa NIS2 – przygotuj się na zmiany!
Dyrektywa NIS2 (Network and Information System Directive) to akt prawny Unii Europejskiej, którego celem jest zapewnienie wysokiego i spójnego poziomu cyberbezpieczeństwa na obszarze UE. Nakłada ona rygorystyczne przepisy dotyczące zarządzania ryzykiem i raportowania incydentów oraz rozszerza swój zakres na nowe sektory gospodarki, grożąc surowymi karami za ich naruszenie. Termin implementacji nowych wymagań wynikających z dyrektywy NIS2 przypada na 17 października 2024 roku. Po upływie tego terminu, nowe przepisy będą obowiązywać we wszystkich krajach członkowskich Unii Europejskiej.
Chcesz wiedzieć więcej o NIS2?
Wyślij formularz, a nasz konsultant oddzwoni w najbliższym możliwym terminie!
Wiadomość została wysłana
Co zmienia dyrektywa NIS2?
Dyrektywa znacząco rozszerza zakres podmiotów objętych regulacjami i będzie miała zastosowanie do podmiotów publicznych oraz prywatnych. Dokument zrównuje także obowiązki nakładane na dwie główne grupy podmiotów objętych regulacją: podmioty kluczowe i ważne, wprowadza nowe możliwości egzekwowania przepisów oraz zapewnia spójność z nowymi przepisami sektorowymi.
Zakres regulacji
NIS2 ma zastosowanie do wszystkich podmiotów, które prowadzą działalność w wymienionych w dyrektywie sektorach gospodarki oraz są uznawane za średnie lub duże przedsiębiorstwa. Do stosowania nowej dyrektywy, będą zobowiązane również mikroprzedsiębiorstwa i małe przedsiębiorstwa, które spełnią kryteria wskazujące na ich kluczową rolę dla społeczeństwa, gospodarki, określonych sektorów lub typów usług (na przykład dostawcy usług DNS czy rejestry nazw domen najwyższego poziomu).
Obowiązki wynikające z NIS2
Podmioty kluczowe i ważne będą miały takie same obowiązki i bedą musiały wprowadzić odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i sytemów informatycznych oraz zapobiegać wpływowi incydentów na odbiorców ich usług lub na inne usługi.
Obowiązki obejmują co najmniej:
- politykę analizy ryzyka i bezpieczeństwa systemów,
- obsługę incydentu,
- ciągłość działania i zarządzania kryzysowego,
- bezpieczeństwo łańcucha dostaw,
- bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów,
- politykę i procedury służące ocenie skuteczności środków zarządzania ryzykiem,
- podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa,
- polityki i procedury stosowania kryptografii,
- stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych
Nadzór i egzekucja
W celu wzmocnienia nadzoru, który pomaga zapewnić skuteczną zgodność, NIS2 zapewnia minimalny wykaz środków nadzorczych, za pomocą których właściwe organy mogą nadzorować podmioty niezbędne i istotne. Obejmują one: regularne i ukierunkowane audyty, kontrole na miejscu i poza nim, żądanie informacji, dostęp do dokumentów lub dowodów. Ponadto nowa dyrektywa ustanawia rozróżnienie systemów nadzoru między podmiotami kluczowymi i ważnymi.
Kogo dotyczy NIS2
Dyrektywa NIS2 wprowadza nowy podział na dwie główne kategorie: podmioty kluczowe oraz podmioty ważne. NIS2 przyjmuje zasadę samookreślenia podmiotów self-assessment. Z chwilą wejścia do polskiego porządku prawnego dyrektywy konieczne będzie samodzielne ustalenie, czy jest się objętym jej regulacją.
Podmioty kluczowe:
- Energetyka
- Transport
- Bankowość
- Infrastruktura rynków finansowych
- Woda pitna
- Oczyszczanie ścieków
- Infrastruktura cyfrowa
- Zarządzanie usługami ICT (B2B)
- Administracja publiczna
- Przestrzeń kosmiczna
Podmioty ważne:
- Usługi pocztowe i kurierskie
- Gospodarowanie odpadami
- Produkcja, wytwarzanie i dystrybucja żywności
- Produkcja
- Dostawcy usług cyfrowych
- Badania naukowe
Dlaczego warto zaufać EXATEL?
Ponad 30-letnie doświadczenie w branży
20 certyfikatów cyberbezpieczeństwa m.in. CISM, CISA, CISSP, OSCP, CEH, OSCE
99,98% gwarantowanego SLA
30 zatrudnionych ekspertów od cyberbezpieczeństwa
