Polska może nie zdążyć z wdrożeniem unijnej dyrektywy dotyczącej cyberbezpieczeństwa. 1/4 firm w kraju nie wie, że są objęte dyrektywą

– Szacuje się, że około 60 proc. organizacji może nie być jeszcze przygotowanych na spełnienie wymogów unijnej dyrektywy NIS2 – mówi Paweł Śmigielski, country manager Stormshield. Mowa o dyrektywie w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej. Akt prawny rozszerza zakres podmiotów objętych regulacją. Niespełnienie wymogów wiąże się z wysokimi karami. 

Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium UE (tzw. Dyrektywa NIS2) weszła w życie 16 stycznia 2023 roku. Państwa członkowskie muszą ją wdrożyć do swojego porządku prawnego najpóźniej do 17 października 2024 roku. Jak wynika z ocen ekspertów, ponad połowa podmiotów może nie być gotowa na nowe przepisy. 

– Około 60 proc. organizacji może nie być jeszcze przygotowane na spełnienie wymogów dyrektywy NIS2. Powodów tego stanu rzeczy jest kilka i jednym z podstawowych jest to, że wciąż brakuje polskiego aktu prawnego, który wprowadzałby dyrektywę NIS2 do porządku prawnego w Polsce, czyli właściwie mówimy o nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa – mówi agencji informacyjnej Newseria Biznes Paweł Śmigielski, country manager Stormshield.

To jednak nie koniec listy problemów, przed którymi stoją organizacje w Polsce. Pierwszym z nich jest brak specjalistów zajmujących się cyberbezpieczeństwem. Szacuje się, że tylko w 2023 roku brakowało nad Wisłą od 10 tys. do nawet kilkunastu tysięcy fachowców z tej dziedziny. Do tego dochodzą różne aspekty związane z przygotowaniem się do nowych wymogów w zakresie finansowym. 

Zasadniczą różnicą względem wcześniejszego aktu NIS, który uchwalono w połowie poprzedniej dekady, jest szerszy zakres podmiotów, które zostały objęte tą regulacją. Dotyczy m.in. takich obszarów jak bezpieczeństwo łańcuchów dostaw, mechanizmy kontrolne i nadzorcze, obowiązki informacyjne, a także zasady raportowania o zaistniałych incydentach. 

– Dyrektywa NIS2 wprowadza kilka zmian w porównaniu do pierwszej części dyrektywy i naszego krajowego aktu, czyli ustawy o krajowym systemie cyberbezpieczeństwa, przede wszystkim pierwszą poważną zmianą jest rozszerzenie listy podmiotów, które będą objęte regulacją. I tu na przykład dyrektywa NIS2 obejmuje swoimi wymaganiami także jednostki administracji publicznej. Są to także przedsiębiorstwa, które zajmują się ściekami i, co jest istotne, szczególnie w świetle ataków, z którymi mamy na co dzień do czynienia, także operatorzy pocztowi i kurierzy zostali objęci nową dyrektywą – mówi country manager Stormshield.

Dyrektywa wprowadza także podział organizacji na podmioty kluczowe oraz ważne. Co istotne, wpływa to na wysokość kar, jakie mogą zostać nałożone w przypadku niespełnienia wymagań. 

– Kary w przypadku podmiotów kluczowych mogą być liczone do 10 mln euro lub też 2 proc. rocznego obrotu, natomiast w przypadku operatorów podmiotów ważnych te kary mogą wynieść do 7 mln euro bądź też 1,4 proc. rocznych obrotów – wylicza ekspert. 

Dyrektywa NIS2 oznacza obarczenie odpowiedzialnością za niespełnienie wymagań m.in. zarządy spółek czy kadrę kierowniczą. To oznacza, że na konkretne osoby zajmujące czołowe stanowiska mogą być nałożone kary finansowe, a nawet zakaz pełnienia funkcji publicznych. Nowe prawo nakłada również nowe obowiązki.

 – Jest określone w dyrektywie, że dana organizacja w ciągu 24 godz. powinna poinformować odpowiednie organy o incydencie, który miał miejsce, natomiast w ciągu 72 godz. powinna zostać wysłana bardziej szczegółowa informacja o tym incydencie. Natomiast kolejny obowiązek, na który zwracam uwagę, to zapewnienie odpowiednich środków proporcjonalnych do szacowanego ryzyka – mówi Paweł Śmigielski.

W praktyce oznacza to przede wszystkim zapewnienie środków technicznych i organizacyjnych, które mają się przełożyć na podniesienie poziomu bezpieczeństwa w danym podmiocie. Ekspert tłumaczy, że te przepisy nie będą de facto dotyczyły samego przedsiębiorstwa, ale także jego otoczenia. 

– Organizacja, oprócz tego, że musi zadbać o bezpieczeństwo swoich systemów teleinformatycznych, powinna także zwrócić uwagę i sprawdzać, jak wygląda stopień bezpieczeństwa czy stopień spełniania dyrektywy NIS2 u swoich dostawców i podwykonawców. To jest dość duża zmiana i z punktu widzenia specjalistów zajmujących się cyberbezpieczeństwem dość istotna – podkreśla.

Dyrektywa NIS2 wprowadza także wymóg szkoleń, w których udział powinni brać również członkowie zarządów oraz kadra kierownicza. W przypadku szeregowych pracowników mówi się także o zachowaniu zasad cyberhigieny. 

Zaskoczeniem dla wielu przedsiębiorców może być fakt, że kierowana przez nich organizacja może podlegać pod dyrektywę NIS2. Z jednej strony nowe prawo należy uważać za uzupełnienie ustawy z 5 lipca 2018 roku o krajowym systemie bezpieczeństwa (ustawa o KSC). Jej zapisami według szacunków było dotąd objętych kilkaset podmiotów. Tymczasem NIS2 może dotyczyć nawet kilku tysięcy organizacji.

– Wiele z nich nie jest przygotowanych, a szacuje się, że 1/4 firm w Polsce nawet nie wie, że powinny być objęte dyrektywą NIS2. Tak że to już stanowi dość duże wyzwanie na samym początku, bo przypomnijmy, że czas, który został nałożony, to jest październik 2024 roku na przystosowanie naszych organizacji do wymogów dyrektywy NIS2 – mówi Paweł Śmigielski.

Firma doradcza EY wskazuje, że nowa unijna dyrektywa to rewolucja w kwestii budowania cybernetycznej odporności dla wielu sektorów gospodarki. 36 proc. ankietowanych nie analizowało jeszcze tej dyrektywy. 30 proc. przyjrzało się temu zagadnieniu, ale nie odnotowało istotnego wpływu na realizowany sposób działania. To może oznaczać, że nie wszystkie organizacje zdają sobie w pełni sprawę, jakie następstwa niesie NIS2. Mowa o takich aspektach jak np. raportowanie zagrożeń czy obowiązek szyfrowania. 

W ostatnim czasie doszło do kilku groźnych incydentów w obszarze cyberbezpieczeństwa. Zdaniem ekspertów oprócz głośnych przypadków związanych z jednym z laboratorium czy platformami dostawców takie zdarzenia dzieją się każdego tygodnia. Niestety liczba podobnych zdarzeń cały czas rośnie. 

– Z mojego punktu widzenia warto zaznaczyć, że incydent to jest coś, czego nie należy się bać. Incydenty były, są i będą i także dyrektywa NIS2 kładzie na to duży nacisk, żeby firmy czy organizacje przygotowywały plany ciągłości działania i budowały kompetencje w zakresie cyberodporności, czyli przywracania firmy, organizacji do normalnego funkcjonowania po wystąpieniu incydentu – stwierdza ekspert.

W tym przypadku kluczowe jest „nauczenie się życia z takim incydentem” i odpowiednia reakcja nałożona literalnie przez przepisy NIS2. W zależności od zdarzenia podmioty mają 24 i 72 godz. na przekazanie informacji o zdarzeniu do odpowiednich organów. Z drugiej strony dyrektywę należy traktować jak drogowskaz co do koniecznych zmian w samej organizacji.